← España

PS-00050-2024

1/13  Expediente N.º: EXP202312082 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Don A.A.A. (*en adelante, la parte reclamante) con fecha 22 de agosto de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra B.B.B. con NIF ***NIF.1 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: “la parte reclamada es responsable de un establecimiento que cuenta con cámaras de videovigilancia que no se encuentran señalizadas mediante los preceptivos carteles informativos de zona videovigilada. Señala asimismo que las cámaras graban audio, almacenan imágenes más del tiempo establecido normativamente y el establecimiento no cuenta con área de descanso para los trabajadores, al contar con cámaras en todo el local que impiden que se pueda identificar un área a tal efecto” Aporta imágenes de ubicación de las cámaras (Anexo documental I). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada en fecha 12/09/23, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. TERCERO: En fecha 29/09/23 se recibe en esta Agencia escrito de la parte reclamada en relación a los hechos objeto de traslado, manifestando lo siguiente: -Dispongo de un Contrato con Seguritas Direct SAU en regla desde el 25 de enero del año 2020 (adjunto copia del mismo). -Actualmente el local dispone de 5 cámaras de grabación continua, con dos carteles que se observan visualmente por todos los clientes y trabajadores (…). -La única persona que tiene las claves para el acceso a las cámaras y grabaciones en el negocio es aludido C.C.C., nadie más, ni siquiera yo misma tengo acceso, delegando en él tal responsabilidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/13 -También he de decir que disponemos de cámara (

  1. s)para control laboral, ha habido algún altercado, robo que haya hecho que tengamos que vigilar también la Caja del Bar, los horarios y, demás cosas. -Adjunto fotografías solicitadas por ustedes, como se pueden observar no se aprecian clientes, tenemos carteles informativos (…). CUARTO: En fecha 29/11/23 se recibe nuevo escrito de la reclamada ampliando la documental presentada, mediante pruebas documentales diversas (Anexo II). QUINTO: Con fecha 22 de noviembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. SEXTO: Con fecha 12 de septiembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción de los artículos 13 del RGPD y 5.1.
  2. c)del RGPD, tipificada en el Artículo 83.5 del RGPD. SÉPTIMO: En fecha 02/10/24 se recibe escrito de la reclamada en relación a los hechos descritos en el Acuerdo de Inicio del presente procedimiento, argumentando lo siguiente: “Pues bien, y de conformidad con la documentación que aporté en el escrito de fecha 20 de septiembre de 2023 al presente procedimiento, la disposición de las cámaras en el local consta especificada mediante dibujo en el contrato con la empresa de seguridad que las instaló, así como por las fotografías de la propia localización de las mismas, sin que ninguna de ellas se encuentre o capte zonas prohibidas por la normativa, limitándose a grabar imágenes de las zonas públicas con el único objetivo de garantizar la seguridad del local y de salvaguardar la propia integridad de los trabajadores. En todo caso, acompaño señalado como Documento número 1, fotografías en la que aparece el campo de visión de las cámaras instaladas, para el caso de que las ya aportadas fueren insuficientes. En consecuencia, y por todo lo expuesto, consta acreditado que las imágenes que se captan por las cámaras de videovigilancia instaladas en el restaurante se hallan dentro de los límites permitidos por la normativa, al responder su colocación a evidentes motivos de seguridad del establecimiento. SEGUNDA. - Por otra parte, el acuerdo de inicio de procedimiento sancionador fundamenta una supuesta infracción del artículo 13 RGPD por cuanto “la parte reclamada si bien aporta contrato suscrito con la empresa de seguridad no aporta toda la documentación requerida por este organismo en relación al deber de información del sistema de videovigilancia al conjunto de trabajadores (
  3. as)y clientes del establecimiento”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/13 De conformidad con lo expuesto en el escrito que aporté al procedimiento, de fecha 20 de septiembre de 2023, los trabajadores eran plenamente conocedores de la existencia de las cámaras de videovigilancia, no solo por las señalizaciones ubicadas en el establecimiento, que conforme se reconoce en el propio acuerdo son acordes a la normativa en vigor, sino porque, a razón de una serie de altercados y robos que se produjeron en el local, fueron éstos los que solicitaron su instalación, así como de un botón del pánico para un aviso inmediato a la policía, informándose expresamente y en todo caso a todos ellos de su existencia. A efectos probatorios, acompaño señalado como Documento número 2, escrito firmado por los empleados del restaurante, por el que reconocen que habían sido previamente informados de la instalación de las cámaras de videovigilancia. En virtud de lo anterior, SOLICITO, que previas las comprobaciones que se estime oportuno realizar, se dicte resolución por la que se proceda al archivo de las actuaciones”. OCTAVO: En fecha 16/12/24 se emite <Propuesta de Resolución> al considerar acreditado que el sistema instalado es desproporcionado a la finalidad del mismo, habiendo procedido a la reinstalación de cartel informativo durante la tramitación del actual procedimiento, proponiendo una sanción cifrada en la cuantía de 4000€, al considerar acreditada la infracción de los artículos 5.1
  4. c)y 13 RGPD. NOVENO: Consultada la base de datos de esta AEPD consta como <entregado> en la dirección asociada en fecha 14/01/25, siendo notificado según acredita el Servicio Oficial de Correos y Telégrafos, constando la recepción y firma correspondiente. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS Primero. Los hechos traen causa de la reclamación de fecha entrada 22/08/23 por medio de la cual se trasladó la presencia de un sistema de cámaras de videovigilancia, sin estar señalizado en legal forma. Se aporta prueba documental (Anexo I) que acredita la presencia de diversas cámaras en las principales zonas del establecimiento, incluida la cocina (Doc. 1 Anexo I). Segundo. Consta identificada como principal responsable del sistema Doña B.B.B., con NIF ***NIF.1, quien no niega la instalación del sistema. Tercero. Consta acreditado que el establecimiento objeto de reclamación no disponía en el momento de traslado de los hechos cartel informativo, indicando que se trataba de <zona video-vigilada> o el modo de ejercitar los derechos, limitándose a disponer del cartel de la empresa instaladora <Cámaras Grabación Permanente>, que no indicaban ni el responsable, ni el modo de ejercitar los derechos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/13 La reclamada procede a reinstalar los carteles informativos, acreditando tal extremo en fecha 29/11/2003, lo que acredita la incorrección en la instalación inicial de los mismos, que se limitaban a la cartelería instalada por la empresa de SeguridadSecuritas Direct--. Cuarto. Consta acreditado que el establecimiento dispone de un sistema de videovigilancia, que dispone de un total de cinco cámaras, instaladas por la empresaSecuritas Direct SAU--. Se aporta copia del contrato con Securitas Direct de fecha 25/01/2020. La reclamada aporta un video en dónde indica la ubicación de dos de las cinco cámaras, justificando a tenor de las imágenes que la presencia de las mismas obedece a la seguridad de la caja registradora del establecimiento, sin que haya aportado en legal forma copia de las imágenes de todas las cámaras. Quinto. Consta acreditado que el sistema de video-vigilancia instalado, dispone de la posibilidad de grabación del sonido ambiente, registrando las conversaciones que se producen en el interior del establecimiento. Sexto. Consta acreditado que el establecimiento no dispone de formulario(
  5. s)a disposición de los clientes del mismo, que deseen ejercitar los derechos en el marco de la normativa en vigor de protección de datos. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidenta de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Antes de entrar en el fondo del asunto, cabe señalar que la reclamada manifiesta aportar nueva prueba documental (Doc. nº 1), si bien en el escrito aportado en fecha 02/10/24 no consta en el sistema operativo el contenido de la misma, por lo que no consta la misma como aportada, salvo error u omisión, al presente procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/13 En relación al escrito aportado, igualmente en la fecha reseñada, con la presunta firma de los trabajadores del establecimiento, procede desestimar la prueba aportada, no solo porque no está en el contexto de un documento individual para cada trabajador (
  6. a)debidamente informado, sino porque no va acompañado de la copia del correspondiente DNI de cada empleado (a), por lo que el documento aportado carece de las formalidades legales mínimas exigibles por este organismo, para ser considerado válido. III En el presente caso, se procede a examinar la reclamación de fecha 22/08/23 por medio de la cual se traslada “presencia de cámaras en establecimiento sin estar debidamente señalizadas” considerando el reclamante que las mismas pueden afectar a su intimidad de manera desproporcionada. Se aporta prueba documental que acredita la presencia de dispositivo (
  7. s)sin que se aprecie la orientación exacta del mismo. La reclamada aporta un video de una de las cámaras, situada en la zona de barra, con la finalidad entendemos de protección de la caja registradora, si bien no aporta imágenes del sistema de ninguna de las otras cuatro cámaras instaladas en el establecimiento, ni justifica la presencia o finalidad de las mismas. Por tanto, se considera que la reclamada no ha explicado correctamente la ubicación exacta de todas las cámaras, así como la justificación de la instalación de las mismas, que pudieran observar más de lo necesario para la finalidad del sistema. El art. 5.1
  8. c)RGPD dispone lo siguiente: Los datos personales serán: “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»). Cabe recordar que los particulares son responsables de velar por que los sistemas instalados se ajusten a la legalidad vigente, acreditando que la misma cumpla con todos los requisitos exigidos por la normativa en vigor. La instalación de este tipo de dispositivos debe contar con el preceptivo cartel informativo, indicando los fines y responsable del tratamiento en su caso de los datos de carácter personal. Las cámaras de vigilancia para bares y restaurantes son una realidad en muchos establecimientos, puesto que su instalación tiene muchas veces una finalidad disuasoria, es decir, mediante la presencia visible de las cámaras, los dueños de este tipo de establecimientos esperan que quien quiera cometer alguna clase de delito, se lo piense dos veces al saberse vigilado. Las cámaras deben ubicarse en aquellas localizaciones permitidas por la normativa, es decir, en espacios de uso público, en los que no se presuma intimidad, como serían el salón principal del bar siempre que no se orienten de manera directa a las mesas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/13 del establecimiento o zona restaurante, el comedor, la zona de caja, la cocina, la puerta o puertas de acceso, etc. Por ello, el responsable de un establecimiento que lleva a cabo un tratamiento con fines de videovigilancia en los términos antedichos podrá emplazar cámaras de videovigilancia con la finalidad anteriormente descrita solo en los lugares y con las circunstancias adecuados para preservar la seguridad dentro del propio establecimiento. Cuando se analice la proporcionalidad, debe atenderse especialmente, a si la medida es susceptible de conseguir el objetivo propuesto y si se pueden adoptar otros medios menos intrusivos en relación con el Derecho Fundamental a la Protección de Datos de Carácter personal, en cuanto lo que supone en estos casos preservar el poder de disposición y control de los datos personales por parte del interesado, así como para prevenir interferencias con otros derechos y libertades fundamentales tales como la intimidad de las personas o el libre desarrollo de su personalidad. Según el artículo 20.3 del Estatuto de los Trabajadores: "el empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales". El artículo 89 LO 3/2018 (5 diciembre) dispone: 1. Los empleadores podrán tratar las imágenes obtenidas a través de sistemas de cámaras o videocámaras para el ejercicio de las funciones de control de los trabajadores o los empleados públicos previstas, respectivamente, en el artículo 20.3 del Estatuto de los Trabajadores y en la legislación de función pública, siempre que estas funciones se ejerzan dentro de su marco legal y con los límites inherentes al mismo. Los empleadores habrán de informar con carácter previo, y de forma expresa, clara y concisa, a los trabajadores o los empleados públicos y, en su caso, a sus representantes, acerca de esta medida. En el supuesto de que se haya captado la comisión flagrante de un acto ilícito por los trabajadores o los empleados públicos se entenderá cumplido el deber de informar cuando existiese al menos el dispositivo al que se refiere el artículo 22.4 de esta ley orgánica. 1. En ningún caso se admitirá la instalación de sistemas de grabación de sonidos ni de videovigilancia en lugares destinados al descanso o esparcimiento de los trabajadores o los empleados públicos, tales como vestuarios, aseos, comedores y análogos. 1. La utilización de sistemas similares a los referidos en los apartados anteriores para la grabación de sonidos en el lugar de trabajo se admitirá únicamente cuando resulten relevantes los riesgos para la seguridad de las instalaciones, bienes y personas derivados de la actividad que se desarrolle en el centro de trabajo y siempre respetando el principio de proporcionalidad, el de intervención mínima y las garantías previstas en los apartados anteriores. La C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/13 supresión de los sonidos conservados por estos sistemas de grabación se realizará atendiendo a lo dispuesto en el apartado 3 del artículo 22 de esta ley. IV Tipificación y calificación de la infracción De conformidad con las pruebas de las que se dispone en el procedimiento sancionador, se considera que la parte reclamada no ha esclarecido legalmente los hechos objeto de reclamación en relación a la proporcionalidad del sistema instalado, pudiendo obtener grabaciones de lo que acontece en el establecimiento de manera desproporcionada a la finalidad del sistema y en espacios innecesarios para ello. La presencia de las cámaras instaladas se debe ceñir a lo necesario para la protección del establecimiento (vgr. puerta de acceso) o en puntos claves debidamente justificados, como pudiera ser el control de la zona dónde se ubica la caja registradora; la presencia de otras cámaras se considera intrusivo y desproporcionado a la finalidad del sistema. Los hechos conocidos son por tanto constitutivos de una infracción, imputable a la parte reclamada por la infracción del artículo 5.1
  9. c)RGPD, anteriormente mencionado. El artículo 83.5 RGPD dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  10. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; El artículo 72 apartado 1º letra
  11. a)establece un plazo de prescripción de tres años “las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: “
  12. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. V La parte reclamada si bien aporta contrato suscrito con la empresa de seguridad no aporta toda la documentación requerida por este organismo en relación al deber de información del sistema de video-vigilancia al conjunto de trabajadores (
  13. as)y clientes (
  14. as)del establecimiento. Con fecha ulterior al primer traslado efectuado por esta Agencia (Escrito de fecha 29/11/23) se aporta nueva imagen en dónde se ha procedido a instalar un cartel ahora si acorde a la normativa en vigor. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/13 La instalación de un sistema de cámaras de video-vigilancia requiere que se comunique al conjunto de trabajadores (
  15. as)o en su caso representante legales, la presencia de las cámaras y la finalidad del sistema (vgr. para que se utilizarán en su caso las mismas). En el presente caso, es con motivo de la tramitación del actual procedimiento cuando la reclamada aporta en fecha 02/10/24 documento con la presunta firma de los trabajadores de su establecimiento, cuya validez ha sido desestimada en el FJ II. El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, en virtud del cual: "1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  16. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  17. b)los datos de contacto del delegado de protección de datos, en su caso;
  18. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  19. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  20. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  21. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  22. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  23. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  24. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  25. d)el derecho a presentar una reclamación ante una autoridad de control; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/13
  26. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
  27. f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información." El artículo 83.5 RGPD Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  28. b)los derechos de los interesados a tenor de los artículos 12 a 22; El artículo 72 LOPDGDD (LO 3/208) dispone: “En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes
  29. h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica VI La imagen de una persona en la medida que identifique o pueda identificar a la misma constituye un <dato de carácter personal> que puede ser objeto de tratamiento para diversas finalidades. Otra de las obligaciones que conlleva el uso de la videovigilancia con fines de seguridad, en relación con la protección de datos, es cumplir con el derecho de información, mediante un distintivo informativo. El artículo 22 apartado 4º de la LOPDGDD dispone: “El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/13 tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información” (* la negrita pertenece a este organismo). VII El art. 83.5 RGPD dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  30. a)Los principios básicos para el tratamiento incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9 (…)”.
  31. b)los derechos de los interesados a tenor de los artículos 12 a 22 (..). Las multas administrativas se impondrán en función de las características de cada caso individual, a título adicional o sustitutivo de la medida (
  32. s)contemplada en el artículo 58 (…). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta: -la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación del tratamiento (art. 83.2
  33. a)RGPD): se valora la presencia de diversos dispositivos, que pudieran exceder de su finalidad; afectando a los clientes (
  34. as)y terceros que acceden al mismo. -la intencionalidad o negligencia de la infracción (art. 83.2
  35. b)RGPD): la presencia de cámaras que pudieran excederse de su cometido, orientadas hacia el puesto de trabajo, supone una negligencia grave, que además pudiera afectar a la intimidad del trabajador (
  36. a)del establecimiento, por lo que la conducta descrita se considera negligente grave. A la hora de motivar la sanción se tiene en cuenta el carácter de la entidad reclamada, al ser un establecimiento hostelero cuyos ingresos se desconocen, que debe adoptar todas las medidas necesarias para la tutela de los datos personales del conjunto de sus trabajadores (
  37. as)y/o clientes del mismo; así como la falta de acreditación inicial de la legalidad del sistema en lo referente al modo de información de la presencia de cámaras en las instalaciones, lo que denota una negligencia grave en la conducta descrita, por lo que se impone una sanción de 4000€ (2000€+2000€) por la infracción de cada uno de los artículo (
  38. s)5 apartado 1º letra C) y artículo 13 RGPD anteriormente citados, sanción situada en la escala inferior para este tipo de comportamientos. VIII Adopción de medidas En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/13 de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. Entre las medidas a adoptar por esta Agencia, este organismo requiere medidas adicionales en relación al sistema de video-vigilancia instalado, ordenando la retirada de aquellos dispositivos que se consideren innecesarios en relación a la finalidad del sistema, que no es otro que la protección del establecimiento y los enseres del mismo, en los términos ampliamente explicados. Dado que la parte reclamada ha acreditado la reinstalación de los carteles informativos, no es necesaria la aportación de prueba documental al respecto, ciñéndose a informar en legal forma al conjunto de trabajadores (
  39. as)en el documento contractual (vgr. cláusula de protección de datos) de la presencia de cámaras y la finalidad de las mismas; así como aportando copia de formulario (
  40. s)debidamente conformado a disposición de los clientes, del cual deberá disponer de varias copias en el establecimiento. A modo orientativo, bastará un formulario en dónde se indique la denominación del establecimiento, responsable de las imágenes y modo de ejercitar los derechos (vgr. facilitando una dirección mail), así como un espacio de firma del afectado. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a Doña B.B.B., con NIF ***NIF.1, por una infracción de los Artículo (
  41. s)5.1
  42. c)del RGPD y 13 del RGPD, tipificada en el Artículo 83.5 letras
  43. a)y
  44. b)del RGPD, una multa de 4000€ (Cuatro Mil euros). SEGUNDO: ORDENAR a B.B.B., con NIF ***NIF.1, que en virtud del artículo 58.2.
  45. d)del RGPD, en el plazo de UN MES desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de las siguientes medidas: -Aportar copia de los documentos contractuales en dónde se incluya la información (clausula específica) informando de la presencia de cámaras de videovigilancia. -Aportar copia de formulario debidamente adaptado al establecimiento que regenta, para su disposición al conjunto de clientes (
  46. as)del mismo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/13 -Acreditar documentalmente (fotografía antes/después) la retirada de aquellas cámaras invasivas de espacios innecesarios, debiendo ceñirse el sistema a las necesarias para la protección del establecimiento (vgr. Zona de acceso y caja principal). SEGUNDO: NOTIFICAR la presente resolución a Doña B.B.B.. TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  47. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  48. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/13 web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-101224 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.