PS-00038-2020

1/7  Procedimiento Nº: PS/00038/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Don A.A.A. (*en adelante, el reclamante) con fecha 22 de noviembre de 2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra SECRETARÍA GENERAL DE INSTITUCIONES PENITENCIARIAS con NIF S2813060G (en adelante, el reclamado). Los motivos en que basa la reclamación son los siguientes: “El pasado día 6 de agosto de 2019, la Secretaria General de Instituciones Penitenciarias convoca “EL CURSO DESCENTRALIZADO EN HABILIDADES SOCIALES, INTERACCIÓN PERSONAL Y RESOLUCIÓN PRÁCTICA DE CONFLICTOS” curso dentro de la Convocatoria de acción formativa incluida en el plan de formación para el empleo del año 2019 a fin de ser impartidos en algunos centros penitenciarios a los funcionarios de prisiones. Los hechos en cuestión ocurren con ocasión del desarrollo del Curso referido el pasado día 30 de Octubre en el Centro Penitenciario de ***LOCALIDAD.1 cuando el Subdirector de Seguridad en el transcurso del mismo proyecta ante los asistentes una serie de VIDEOS donde aparecen tanto FUNCIONARIOS COMO FUNCIONARIAS así como INTERNOS siendo estos funcionarios totalmente reconocibles y las caras sin pixelar o con algún tipo de rostro difuminado en situaciones de actuaciones dentro de su entorno laboral, reducciones y agresiones de internos a los funcionarios y funcionarias. El Subdirector de Seguridad ha recopilado grabaciones de las cámaras del centro penitenciario correspondiente a los años 2016,2017,2018 y 2019 de actuaciones de los funcionarios en el ejercicio de su trabajo habitual y ha utilizado este material sin permiso ni autorización de los funcionarios que aparecen en los referidos videos ni de los internos además de utilizar un material audiovisual que se encuentra dentro del ámbito de la seguridad del centro penitenciario como material para exhibición de un curso de formación. De hecho, alguno (

1. s)de los asistentes a las jornadas pudieron reconocer a los funcionarios que aparecían en las mismas así como su intervención en las actuaciones”. “En conclusión al entender que, por parte del Subdirector de Seguridad del Centro Penitenciario de Jaén así como por el Director del Centro que ha permitido la difusión del vídeo durante las jornadas de formación, se ha llevado a cabo una intromisión ilegítima al derecho a la propia Imagen, al haber difundido sin el consentimiento de los funcionarios de prisiones datos de carácter personal, imágenes, números de carnet profesional, yendo en contra de lo dispuesto en el artículo 6 de la L.O.P.D sirva el presente escrito para llevar a cabo el correspondiente inicio de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 procedimiento sancionador incoando las actuaciones con el objeto de determinar si concurren circunstancias que justifiquen tal iniciación”. SEGUNDO: En fecha 15/01/20 se procedió a TRASLADAR la reclamación a la entidad denunciada-- SECRETARÍA GENERAL DE INSTITUCIONES PENITENCIARIAS- a los efectos de manifestar en derecho lo que estimara oportuno sobre los hechos objeto de denuncia. TERCERO. En fecha 10/02/20 se recibe en esta agencia escrito de alegaciones de la parte denunciada, manifestando lo siguiente “En el Centro no se recopilan video-grabadores. Las mismas son borradas automáticamente por el sistema a los 15 días de su grabación, salvo que alguna de ellas tuviese relación con asuntos que se encuentren judicializados, en cuyo caso se conservan a disposición de la autoridad judicial correspondiente. No se entiende la afirmación del denunciante de que se han recopilado grabaciones de las cámaras correspondientes a los años 2016, 2017, 2018 y 2019. Se desconoce la grabación o grabaciones concretas aludidas en la denuncia asi como la Identidad de las personas a las que se hubiese causado una "intromisión ilegitima al derecho a la propia imagen". Que tal Denuncia pudiera tener relación con la apertura de Información Previa nº ***INFORMACIÓN.1 llevada a cabo por la Inspección Penitenciaria al funcionario de este Centro D. B.B.B. (hermano de la persona que ha interpuesto la mencionada denuncia). Otro dato que avala lo afirmado en el punto anterior es el hecho de incriminar al Director del Centro que NO ha intervenido en ninguno de los Cursos de formación a los que hace referencia el Denunciante” CUARTO: Con fecha 23 de marzo de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: En fecha 12/06/20 se recibe en esta Agencia escrito de alegaciones de la entidad denunciada alegando de manera sucinta lo siguiente: -Se adjunta el vídeo utilizado en el curso formativo relativo al CP de ***LOCALIDAD.1 y específicamente referido en la reclamación que da lugar al procedimiento sancionador que nos ocupa. El mismo ha utilizado la técnica de pixelado y resulta difícil reconocer a los funcionarios e internos grabados. -No obstante lo anterior, y a pesar del esfuerzo realizado porque no se reconociera a los intervinientes, cabe la posibilidad comprensible de que los mismos puedan resultar identificados. Máxime si se usan imágenes grabadas en el propio centro donde se ha realizado la actuación. Por ello, en relación con la normativa específica y ponderando los diferentes intereses en juego en el sentido que indica el artículo 6.4 RGPD, se considera que el uso de las imágenes de la vídeo vigilancia de los centros para fines formativos, ha de contar en general con el consentimiento expreso de los intervinientes en las imágenes a visionar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 -En este momento, la Secretaría General de Instituciones Penitenciarias se encuentra en proceso de elaboración de una instrucción que regule la vídeo vigilancia en el interior de los establecimientos. Como apartado específico de dicha instrucción, está previsto regular el uso de las grabaciones para medios formativos bajo el régimen del consentimiento del interesado. La crisis sanitaria vivida ha ralentizado este proceso que ya ha sido retomado y se espera finalizar a lo largo del presente año. SEXTO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. SÉPTIMO. En fecha 11/09/20 se procede a emitir “Propuesta de resolución” por la infracción acreditada del contenido del art. 6 RGPD, al haber tratado datos personales (imágenes) de empleados del Centro penitenciario, si haber adoptado las medidas necesarias para obtener su consentimiento informado al respecto, no estando las mismas pixeladas. OCTAVO. En fecha 25/09/20 se recibe ESCRITO de la entidad denunciada, si bien no se adjunta alegación alguna, tras comprobar el sistema de registro de esta Agencia. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS Primero. Se recibe Denuncia en esta AEPD en fecha 22/11/19 por medio de la cual se traslada como hecho principal “grabaciones de funcionarios en el ejercicio de sus actividades profesionales” sin contar con el consentimiento informado de los mismos. Segundo. Consta como principal responsable de las grabaciones efectuadasSecretaría General Instituciones Penitenciarias—la cual es responsable de realizar grabaciones con la finalidad de cursos formativos de los empleados públicos. Tercero. Consta acreditado la obtención de imágenes de los empleados del centro, sin que información al respecto se les haya proporcionado sobre la finalidad de las mismas. Cuarto. Consta acreditado el tratamiento de los datos personales (imágenes) tal como acredita el video aportado a la instrucción del presente procedimiento administrativo. Quinto. La entidad denunciada está procediendo a la elaboración de una Instrucción que regule el tema de la “video-vigilancia” en el interior de los establecimientos penitenciarios. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 En el presente caso, se procede a examinar la reclamación de fecha 22/11/19 por medio de la cual el reclamante, considera que se ha producido un tratamiento de datos de carácter personal fuera de los casos permitidos, al ser utilizadas las imágenes de varios funcionarios (
2. as)por el Centro Penitenciario de Jaén, en el marco de un Curso formativo para empleados públicos. Las imágenes (datos personales) de los funcionarios han sido obtenidas de grabaciones de las cámaras de video-vigilancia, siendo utilizadas sin contar con el consentimiento informado de los mismos en el seno de un Curso formativo impartido por la Institución Penitenciaria. El artículo 4 apartado 11º del nuevo RGPD- REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 27 de abril de 2016-- dispone lo siguiente: «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen (…)”. El artículo 6 RGPD dispone lo siguiente: “El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones (…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 El uso de la imagen de una persona sin su autorización puede vulnerar el derecho a su intimidad. El derecho a la propia imagen comprende, en suma, el derecho a controlar la difusión del aspecto más externo, el de la figura humana. La impartición de Cursos formativos a empleados (
10. as)públicos, puede contener en principio imágenes de situaciones de la vida profesional, con la finalidad de mejorar aspectos relacionados con la integridad o seguridad de los mismos, si bien es recomendable la pixelación de estas o bien contar con el consentimiento informado de la utilización de estas para fines determinados. A raíz de la nueva normativa del RGPD, las entidades públicas deberán evaluar las distintas formas mediante las cuales obtienen el consentimiento, con el fin de garantizar que sea libre, informado, específico, y sobre todo inequívoco. Se entiende que el interesado (
11. a)presta este consentimiento cuando sabe, sin lugar a dudas, que está otorgando su beneplácito. Es por ello que no admite formas de consentimiento tácito o por omisión (que se basan en la inacción). III De conformidad con las pruebas de las que se dispone en el presente procedimiento sancionador, se considera que el reclamado “trato datos personales” de un número indeterminado de funcionarios públicos, sin contar con el consentimiento informado en el tratamiento de las imágenes (datos personales asociados a los mismos). Los hechos conocidos son constitutivos de una infracción, imputable al reclamado, por vulneración del contenido del artículo 6 RGPD, anteriormente mencionado. El artículo 83.5
12. a)RGPD dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
13. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)”. IV Cabe indicar que la entidad denunciada, es un Centro Penitenciario (***LOCALIDAD.1), motivo por el cual se tiene en cuenta su naturaleza de Administración Pública, siendo la conducta realizada en el ejercicio de sus funciones administrativas e incardinadas en un Plan de Formación dirigido para empleados públicos. Las imágenes fueron “tratadas”, aspecto sobre el que coinciden inicialmente ambas partes, sin que se haya aportado documento informando al respecto al conjunto de la plantilla del Centro Penitenciario. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 El RGPD adiciona un requisito formal, a diferencia de la primitiva LOPD (hoy derogada), para la obtención del consentimiento y así garantizar que sea inequívoco: el consentimiento deberá ser recabado mediante una declaración o mediante una clara acción afirmativa. El artículo 58 apartado 2º del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
14. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)”. El artículo 77 apartado 2º de la LOPDGDD (LO 3/2018, 5 diciembre) dispone lo siguiente: “Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso”. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo (…)”. De manera que, en el presente caso, se tiene en cuenta la condición de Administración Pública de la denunciada, así como que ha adoptado de manera inmediata medidas correctoras de su conducta, motivos que justifican la imposición de una sanción administrativa de Apercibimiento. Por último, es importante recordar que el consentimiento debe ser verificable a posteriori y quienes recopilen datos de carácter personal deberán ser capaces de demostrar que se ha obtenido el consentimiento del afectado (a). Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad SECRETARÍA GENERAL DE INSTITUCIONES PENITENCIARIAS, con NIF S2816001H, por una infracción del Artículo 6 del RGPD, tipificada en el Artículo 83.5 del RGPD, una sanción de APERCIBIMIENTO. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 SEGUNDO: NOTIFICAR la presente resolución a la entidad denunciada ---SECRETARÍA GENERAL DE INSTITUCIONES PENITENCIARIAS---. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 938-300320 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es