1/24 Expediente N.º: EXP202313077 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 18 de julio de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a A.A.A. con NIF ***NIF.1 (en adelante, A.A.A. o parte reclamada). Los hechos que se pone en conocimiento de esta autoridad: La parte reclamante manifiesta que es vecino de finca contigua a la finca donde reside la parte reclamada y que éste cuenta en su vivienda sita en calle ***DIRECCIÓN.1, con un sistema de videovigilancia con cámaras que, por su ubicación y orientación, son susceptibles de captar tanto vía pública como la vivienda de la parte reclamante. Añade que se ha puesto en contacto con la parte reclamada, quien ha negado que sus cámaras capten zonas ajenas a su vivienda. Aporta imágenes de ubicación de las cámaras y contestación recibida de la parte reclamada sobre situación de las cámaras, además de una factura por suministro eléctrico en calle ***DIRECCIÓN.2, emitida a nombre de la parte reclamante, así como plano de situación de las parcelas en las que se encuentran ubicadas las viviendas de ambas partes en el que puede verse que dichas parcelas son colindantes. Entre otra documentación, aporta un total de 10 fotografías de la casa de la parte reclamada. Se trata de una vivienda unifamiliar de dos plantas construida en una parcela de terreno que se encuentra vallada. En el exterior de dicha vivienda se han instalado numerosas cámaras de videovigilancia, ubicadas en el primer y segundo forjado de la misma y sobre la cubierta, las cuales, considerando su ubicación y orientación, podrían estar captando imágenes de zonas ajenas a la parcela de terreno de A.A.A. y, por tanto, podrían igualmente captar imágenes de personas físicas. Dos de esas fotografías corresponde a la zona de acceso a la parcela de la parte reclamada y una tercera recoge un plano general de la calle, incluido este acceso. Sobre un poste de unos tres metros de altura ubicado en esta zona, junto al vallado, se encuentra instalada una cámara de videovigilancia que podría captar imágenes de la vía pública. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a A.A.A., para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/24 protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue notificado a la parte reclamada el 27 de septiembre de 2023, según consta en el acuse de recibo que obra en el expediente. En este escrito de traslado de la reclamación se solicitaba a la parte reclamada información sobre las características del sistema de videovigilancia instalado, con indicación del número de cámaras que tiene el sistema de vigilancia, aportando las fotografías de todos estos dispositivos, así como fotografías del monitor, pantalla de móvil o sistema equivalente, que utiliza para la visión de las imágenes, en las que se aprecie las zonas que quedan dentro del campo de visión de las cámaras. En caso de que las cámaras capten vía pública, se solicitó además que aportase fotografías del cartel o carteles que avisen de la existencia de una zona videovigilada, en las que se aprecie de forma clara la información que contiene el cartel, así como la ubicación de éste. Con fecha 26 de octubre de 2023 se recibió respuesta de A.A.A. a este trámite en la que manifiesta que las cámaras instaladas en la vivienda unifamiliar que constituye su domicilio son unas reales y otras ficticias, detallando seguidamente que adquirió “16 cámaras efectivamente operativas” y 8 cámaras simuladas. Añade que dichas cámaras “no graban la vía pública, excepción hecha de la cámara que vigila la puerta de entrada y cuyas fotografías se acompañan”. Con su respuesta aporta factura de adquisición de 11 cámaras (…), 5 cámaras (…), y varias facturas por la adquisición de cámaras simuladas. Asimismo, aporta una imagen del campo de visión captado por la cámara situada en la puerta de acceso a la parcela, rotulada como “Video portero 2/2”, que enfoca un largo tramo de la calle, incluyendo en la imagen la vía pública completa, las dos aceras y el vallado de las viviendas más próximas. A pesar de que le fue indicado expresamente, no aportó ninguna documentación sobre el campo de visión captado por las quince cámaras restantes, ni tampoco acreditó si dispone del preceptivo cartel informativo que debe instalarse en caso de captación de vía pública. TERCERO: Con fecha 18 de octubre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: Con fecha 07/02/2025, se dictó acuerdo de inicio de procedimiento sancionador, por la presunta infracción de los artículos 5.1.
- c)y 13 del RGPD, tipificadas, respectivamente, en los artículos 83.5.
- a)y
- b)del mismo RGPD, de las que puede ser responsable A.A.A. En el acuerdo de apertura se determinó que la sanción que pudiera corresponder, sin perjuicio de lo que resulte de la instrucción, sería de 600 euros (seiscientos euros) por cada una de las infracciones indicadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/24 Asimismo, se advertía que las infracciones imputadas, de confirmarse, podrán conllevar la imposición de medidas, según el citado artículo 58.2
- d)del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones, de fecha 19/02/2025, en el que solicita el archivo de las actuaciones en base a las consideraciones siguientes: . Existe cartel informativo y se ha dado cumplimiento a las disposiciones en materia de protección de datos. . Sobre la orientación de las cámaras a la vía pública, indica que “la única cámara enfocada a la puerta de acceso a la vivienda del compareciente lo es a efectos de protección y existiendo colocado el cartel correspondiente de aviso a los ciudadanos”. Manifiesta acompañar “justificante del cartel colocado en la entrada de la vivienda del compareciente haciendo referencia a la existencia de un cartel que claramente indica la existencia de zona vigilada y fotografía en la que se indica la situación de la cámara, que se limita a enfocar exclusivamente la puerta de acceso al edificio”. La documentación justificativa consiste en tres imágenes que muestran lo siguiente: 1. Fotografía tomada de la puerta de acceso a la parcela en la que se ubica la vivienda del reclamante en la que puede verse, junto al videoportero, un cartel informativo con la siguiente leyenda: “Zona videovigilada. Ley Orgánica 15/1999 de Protección de Datos. Le informamos que puede estar siendo vigilado por videocámaras. Puede ejercer sus derechos ante ***EMAIL.1”. 2. Imagen rotulada como “Videoportero (1/2) que corresponde a la zona captada por el videoportero. 3. Imagen rotulada como “Videoportero (2/2). Muestra lo que parece el campo de visión de la cámara situada en una zona elevada junto a la cancela metálica de acceso para vehículos. Dicha cámara está orientada a la parcela propiedad de A.A.A., captando una parte de la cancela de entrada, pero no la vía pública. La imagen incluye tres iconos que representan un micrófono inactivo, un auricular de teléfono y una llave. SEXTO: Con fecha 23/05/2025, se acordó la apertura de un período de prueba y requerir a A.A.A. para que aporte la información y/o documentación siguiente, en relación con el sistema de videovigilancia instalado en su vivienda sita en calle ***DIRECCIÓN.1: . Plano en el que conste la ubicación, orientación y ángulo de visión de todas las cámaras operativas instaladas. Deberá aportar el detalle de las características técnicas de cada una de ellas. . Imagen captada por cada una de las cámaras operativas, que muestre con nitidez el campo de visión captado por las mismas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/24 . Fotografías del monitor, pantalla de móvil o sistema equivalente, que utiliza para el visionado de las imágenes, en las que se aprecie las zonas que quedan dentro del campo de visión de las cámaras. . Fotografías del cartel o carteles que avisen de la existencia de una zona videovigilada, en las que se aprecie de forma clara la información que contiene/n, así como su ubicación. Deberá señalar las cámaras con una numeración o cualquier otro método que permita asociar cada una de ellas con la imagen captada, así como identificarlas en el plano que se aporte y en el monitor, pantalla de móvil o sistema equivalente. De lo manifestado y aportado por A.A.A. en respuesta al citado requerimiento del instructor del procedimiento cabe destacar lo siguiente: . Aporta un escrito explicativo de los dos documentos adjuntos, indicando que uno de ellos corresponde a la documentación aportada en octubre de 2023 (respuesta al trámite de traslado) y el otro “referido a plano de situación de las cámaras, explicación respecto al funcionamiento de estas, y descripción de su funcionamiento”. Este segundo documento contiene el siguiente detalle: . Imagen aérea de la parcela y vivienda, en la que se numeran del 1 al 11 las cámaras exteriores y las dos cámaras situadas en el acceso, marcando la ubicación de cada una de ellas. . Sobre las cámaras 1 a 11 se indica que graban automáticamente y que “Es inevitable pillar algo más de campo de visión, pero para solucionarlo todas las cámaras están configuradas con el fin de que no graben por movimientos fuera de los lindes (menú activación de área de visión donde activan o desactivan los pixeles en el grabador), es por ello que únicamente comienzan a grabar cuando algo o alguien se sitúa por delante del vallado de los muros, por mucha gente o coches que pasen por fuera, las cámaras no se activan ni registran transeúntes”. . Las dos cámaras situadas junto a los accesos a la parcela (peatonal y de vehículos), A.A.A. indica que no graban y corresponde la primera de ellas propiamente al videoportero y la segunda situada en el acceso de vehículos a la parcela con el fin de controlar el cierre de este acceso. Añade que ambas cámaras “únicamente se pueden consultar cuando se pulsa el botón timbre del videoportero”. . El cartel informativo ubicado justo al lado del timbre del videoportero coincide con el aportado en fecha 19/02/2025. . Detalle de la imagen captada por cada una de esas 11 cámaras operativas, con grabación automática, en las que aparece impresa la fecha 14/10/2023. Del análisis de estas imágenes resulta lo siguiente: . El campo de visión captado por las cámaras 2 y 4 incluye, en su vértice superior derecho, el muro de la parcela situada enfrente, al otro lado de la calle, siendo susceptible de captar transeúntes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/24 . La misma circunstancia se produce respecto de la imagen captada por la cámara señalada con el número 5, en su vértice superior izquierdo. . Se observa que la cámara que capta la zona de entrada de vehículos solo capta una parte de la parcela, la cancela metálica y una fracción proporcionada del muro exterior. La imagen captada no coincide con la del octubre de 2023, pero sí con la aportada en febrero de 2025. . Detalles relativos a cuatro cámaras ubicadas en zonas interiores de la vivienda. SÉPTIMO: Con fecha 11/08/2025, se formuló propuesta de resolución en el sentido de que por la Presidencia de la Agencia Española de Protección de Datos se sancione a A.A.A. por las infracciones siguientes: . por una infracción del Artículo 5.1.
- c)del RGPD, tipificada en el artículo 83.5.
- a)del mismo RGPD, con una multa de 300 euros (trescientos euros). . por una infracción del artículo 13 del RGPD, tipificada en el artículo 83.5.
- b)del mismo RGPD, con una multa de 300 euros (trescientos euros). Asimismo, se propuso que se ordene a A.A.A. que, en virtud del artículo 58.2.
- d)del RGPD, en el plazo máximo de un mes, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, proceda a la adopción de las medidas necesarias para adecuar su actuación a la normativa de protección de datos personales, con el alcance expresado en el Fundamento de Derecho XII de la citada propuesta de resolución; y acredite ante esta Agencia, en el mismo plazo, las medidas adoptadas. La notificación de esta propuesta de resolución fue debidamente entregada a la parte reclamada en fecha 11/08/2025 a través del servicio de Dirección Electrónica Habilitada Única (DEHÚ), concediéndosele plazo para formular alegaciones. Dicha notificación incluía un índice de los documentos que integran el expediente y en la misma se puso de manifiesto el procedimiento a fin de que en el plazo de diez días el interesado pudiera alegar cuanto considerase en su defensa y presentar los documentos e informaciones que considerase pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. OCTAVO: En respuesta a la notificación de la resolución, A.A.A. presentó escrito alegando indefensión al no haberle sido facilitada copia del expediente con la propuesta de resolución. Por otra parte, alega la caducidad del procedimiento administrativo por incumplimiento de la obligación de resolver en el plazo de seis meses establecida en el artículo 21 de la LPACAP y el de doce meses previsto en la “normativa de la Agencia Española de Protección de Datos”, contado desde la fecha de presentación de la reclamación que ha motivado el procedimiento sancionador, que tuvo lugar el día 18/07/2023. En otro orden, niega los hechos que se recogen en la propuesta de resolución y se remite al efecto a la manifestado en sus escritos anteriores y a la documentación aportada. En concreto, señala que no es cierto que las cámaras estén orientadas al exterior, por cuanto se enfocan directamente a la parcela de su propiedad, y que la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/24 propuesta no menciona a qué cámara se refiere cuando indica que el campo de visión captado por tres de esas cámaras es desproporcionado al incluir una zona de vía pública ni que actuaciones llevan a esa conclusión. NOVENO: Con fecha 09/10/2025, se remitió a A.A.A. copia íntegra del expediente y se le concedió un nuevo plazo de diez días hábiles para formular alegaciones y aportar la documentación que estimase oportuna. DÉCIMO: El 31/10/2025 se recibió escrito de alegaciones del reclamado, en el que da por reproducidas todas sus alegaciones anteriores y reitera su alegación de caducidad del procedimiento, “habida cuenta el tiempo trascurrido desde el inicio del mismo al momento actual, y de conformidad con lo dispuesto en el Artículo 21 de la Ley de Procedimiento Administrativo, Ley 39/2015”, más de dos años desde la presentación de la reclamación sin que se haya dictado resolución. En base a ello, solicita el archivo del expediente. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: A.A.A. es responsable de un sistema de videovigilancia instalado con fines de seguridad en el exterior de su vivienda, sita en ***DIRECCIÓN.1. Se trata de una vivienda unifamiliar de dos plantas construida en una parcela de terreno que se encuentra vallada. En el exterior de dicha vivienda se han instalado numerosas cámaras de videovigilancia, ubicadas en el primer y segundo forjado de la misma y sobre la cubierta. El sistema instalado, además de varias cámaras de simulación y otras instaladas en el interior de la vivienda, consta de 11 cámaras ubicadas en el exterior de la vivienda, las cuales disponen de grabación automática y se encuentran operativas. Asimismo, en la zona de acceso a la parcela en la que se encuentra la vivienda, sobre un poste de unos tres metros de altura situado en el vallado, junto a la cancela de entrada de vehículos, se encuentra instalada otra cámara de videovigilancia, la cual, según ha manifestado A.A.A., no dispone de grabación automática, pero puede consultarse cuando se pulsa el botón del timbre del videoportero. SEGUNDO: Con ocasión del trámite de traslado de la reclamación, con fecha 26/10/2023, A.A.A. aportó una imagen del campo de visión captado por la cámara situada en la puerta de acceso de vehículos a la parcela, comprobándose que capta un largo tramo de la calle, incluyendo en la imagen la vía pública completa, las dos aceras y el vallado de las viviendas más próximas. A pesar de que le fue indicado expresamente, A.A.A. no aportó ninguna documentación sobre el campo de visión captado por las cámaras restantes, ni tampoco acreditó si disponía del preceptivo cartel informativo que debe instalarse en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/24 caso de captación de vía pública. TERCERO: Con su escrito de alegaciones a la apertura del presente procedimiento sancionador, de fecha 19/02/2025, A.A.A. aportó nuevamente la imagen correspondiente al campo de visión de la cámara situada en una zona elevada junto a la cancela metálica de acceso para vehículos. Dicha cámara está orientada a la parcela propiedad de A.A.A., captando una parte de la parcela, de la cancela de entrada y una fracción proporcionada del muro exterior, pero no la vía pública. La imagen incluye tres iconos que representan un micrófono inactivo, un auricular de teléfono y una llave. Esta imagen no coincide con la relativa a esta cámara reseñada en el Hecho Probado Segundo, resultando que la cámara en cuestión ha sido reorientada. A.A.A., en la misma fecha, aportó una fotografía tomada de la puerta de acceso a la parcela dispuesta para peatones, en la que puede verse, junto al videoportero, un cartel informativo con la siguiente leyenda: “Zona videovigilada. Ley Orgánica 15/1999 de Protección de Datos. Le informamos que puede estar siendo vigilado por videocámaras. Puede ejercer sus derechos ante ***EMAIL.1”. CUARTO: De la documentación aportada por A.A.A. durante la fase de prueba se comprueba lo siguiente: . El cartel informativo ubicado justo al lado del timbre del videoportero coincide con el reseñado en el Hecho Probado Tercero. . La imagen captada por la cámara ubicada junto a la puerta de acceso para vehículos coincide con la reseñada en el Hecho Probado Tercero. . El campo de visión captado por las cámaras 2 y 4 incluye, en su vértice superior derecho, el muro de la parcela situada enfrente, al otro lado de la calle, siendo susceptible de captar la imagen de las personas que transiten la acera ubicada junto a dicho muro. . El campo de visión captado por la cámara 5 incluye, en su vértice superior izquierdo, el muro de la parcela situada enfrente, al otro lado de la calle, siendo susceptible de captar la imagen de las personas que transiten la acera ubicada junto a dicho muro. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/24 Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. III Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. Las imágenes captadas por un sistema de cámaras o videocámaras son datos de carácter personal, por lo que su tratamiento está sujeto a la normativa de protección de datos. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que A.A.A. realiza, entre otros tratamientos, la recogida de datos personales al contar con un sistema de videovigilancia que puede captar y gravar imágenes de personas físicas. A.A.A. realiza esta actividad en su condición de responsable del tratamiento, dado que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/24 es quien determina los fines y medios de tal actividad en virtud del artículo 4.7 del RGPD. Es por tanto pertinente analizar si el tratamiento de datos personales llevado a cabo A.A.A. a través del sistema de videovigilancia es acorde con lo establecido en el RGPD. IV Respuesta a las alegaciones formuladas 1. Respuesta a las alegaciones al acuerdo de inicio A.A.A. se ha limitado a manifestar que el sistema de videovigilancia instalado no capta vía pública. Sin embargo, según consta expuesto en los Hechos Probados, las actuaciones realizadas han permitido comprobar que varías cámaras captan una porción de vía pública susceptible de tomar imágenes de personas físicas que la transiten, por lo que dicha captación debe de calificarse como desproporcionada. En concreto, consta que la cámara instalada sobre un poste de unos tres metros de altura, ubicado en el vallado de la parcela junto a la entrada de acceso de vehículos, antes de su reorientación, que tuvo lugar después de presentada la reclamación que ha dado lugar al procedimiento, captaba un largo tramo de la calle, incluyendo en la imagen la vía pública completa, las dos aceras y el vallado de las viviendas más próximas. Respecto de esta cámara, debe señalarse que el hecho de que no grabe imágenes y que únicamente pueda consultarse cuando se pulsa el timbre, según ha manifestado la parte reclamada, no quiere decir que no se realizasen tratamiento de datos personales, consistentes en la captación de imágenes de personas físicas posibilitando su visionado. Asimismo, resulta acreditado, a partir de las imágenes sobre el campo de visión de las cámaras aportado por la propia parte reclamada, que las cámaras señaladas con los números 2, 4 y 5 captan un espacio de la vía pública, según el detalle que consta indicado en el Hecho Probado Cuarto. La captación de imágenes de personas físicas que transiten ese espacio se entiende desproporcionada, sin que afecte a esta calificación el hecho de que la función de grabación automática únicamente se accione cuando alguien se sitúe delante del vallado de la parcela, alegado por la parte reclamada. Por otra parte, cabe señalar que A.A.A. no justificó disponer del preceptivo cartel informativo antes de la apertura del procedimiento sancionador, a pesar de que le fue requerido expresamente con ocasión del trámite de traslado de la reclamación. Además, si bien en fecha 19/02/2025, con su escrito de alegaciones a la apertura del procedimiento, A.A.A. aportó una fotografía que muestra la instalación de este cartel en la zona de entrada a la parcela habilitada para peatones, junto al timbre, dicho cartel menciona una normativa ya derogada, no incluye toda la información básica exigida ni contiene ninguna referencia sobre cómo obtener más información. La única información contenida en este cartel es la siguiente: “Zona videovigilada. Ley Orgánica 15/1999 de Protección de Datos. Le informamos que puede estar siendo vigilado por videocámaras. Puede ejercer sus derechos ante ***EMAIL.1”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/24 2. Respuesta a las alegaciones a la propuesta de resolución - Indefensión al no haberle sido facilitada copia del expediente con la notificación de la propuesta de resolución. Con fecha 11/08/2025, el instructor del procedimiento dictó propuesta de resolución, que fue debidamente notificada al reclamado. En dicha notificación se le concedía plazo de diez días hábiles para formular alegaciones y se le ofrecía, dentro del mismo plazo, la posibilidad de obtener copia de la documentación incorporada a las actuaciones, de conformidad con lo establecido en el artículo 89.2 de la LPACAP, que establece lo siguiente: “2. En el caso de procedimientos de carácter sancionador, una vez concluida la instrucción del procedimiento, el órgano instructor formulará una propuesta de resolución que deberá ser notificada a los interesados. La propuesta de resolución deberá indicar la puesta de manifiesto del procedimiento y el plazo para formular alegaciones y presentar los documentos e informaciones que se estimen pertinentes”. Así, el plazo se concede tanto para solicitar la copia del expediente como para formular las alegaciones que tenga por convenientes. Posteriormente, el día en que finalizaba el plazo otorgado, se recibió escrito del reclamado, de fecha 26/08/2025, en el que alega indefensión al no haberle sido facilitada la copia de las actuaciones, a pesar de que dicha copia no había sido solicitada por su parte en ningún momento anterior. En el mismo escrito solicitó copia del expediente y plazo para presentar alegaciones una vez se facilitase el acceso a la documentación. En atención a lo solicitado, se facilitó copia del expediente y, con el fin de no perjudicar sus intereses, se concedió al interesado un nuevo plazo de diez días hábiles, del cual la parte reclamante hizo uso, según consta reseñado en el Antecedente Décimo. Por tanto, ninguna indefensión se ha generado a la parte reclamada con la tramitación del procedimiento realizada. - Caducidad del procedimiento Alega el reclamado la caducidad del procedimiento administrativo por incumplimiento de la obligación de resolver en el plazo establecido, contado desde la fecha de presentación de la reclamación que ha motivado el procedimiento sancionador, que tuvo lugar el día 18/07/2023. El artículo 64.2 de la LOPDGDD determina lo siguiente, respecto de los procedimientos en caso de posible vulneración de la normativa de protección de datos: “2. Cuando el procedimiento tenga por objeto la determinación de la posible existencia de una infracción de lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, y en la presente ley orgánica, se iniciará mediante acuerdo de inicio, adoptado por propia iniciativa o como consecuencia de reclamación, que le será notificado al interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/24 (…) El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones”. A tenor de lo dispuesto en el artículo transcrito, el procedimiento sancionador ha de entenderse caducado si, transcurridos más de doce meses contados desde la fecha del acuerdo de inicio no se ha procedido a dictar y notificar la resolución del procedimiento sancionador. En el presente caso, el acuerdo de inicio se firmó el día 07/02/2025. El plazo de doce meses de duración máxima del procedimiento sancionador finaliza, por tanto, el día 07/02/2026, por lo que no se ha producido su caducidad. Resulta improcedente añadir a ese período de doce meses, a efectos de medir la duración del expediente administrativo, ningún otro período, tal como el tiempo de las actuaciones previas de investigación, en caso de que se hubiese acordado su realización, o, en este caso, el tiempo correspondiente a la fase de admisión a trámite de las reclamaciones presentadas. Así lo ha declarado repetidamente nuestro Tribunal Supremo. En Sentencia de 21/10/2015 se cita la Sentencia de 26/12/2007 (recurso 1907/2005), que declara lo siguiente: “[…] el plazo del procedimiento […] se cuenta desde la incoación del expediente sancionador, lo que obviamente excluye del cómputo el tiempo de la información reservada";" […] la mayor o menor duración de la fase preliminar no lleva aparejada la caducidad del procedimiento ulterior". También en Sentencia del Tribunal Supremo de 13/10/2011 (recurso 3987/2008) que examina un motivo de casación relativo al cómputo del plazo de caducidad del procedimiento, se declara lo siguiente: “No podemos compartir el razonamiento que expone la Sala de instancia para fijar un dies a quo diferente al establecido por la Ley, señalando como fecha inicial del cómputo el día siguiente a la finalización de las diligencias previas informativas. […] Pues bien, una vez realizadas esas actuaciones previas, el tiempo que tarde la Administración en acordar la incoación del procedimiento […] podrá tener las consecuencias que procedan en cuanto al cómputo de la prescripción (extinción del derecho); pero no puede ser tomado en consideración a efectos de la caducidad, pues esta figura lo que pretende es asegurar que una vez iniciado el procedimiento la Administración no sobrepase el plazo de que dispone para resolver”. - Niega el reclamado que las cámaras estén orientadas al exterior y alega que la propuesta no menciona a qué cámara se refiere cuando indica que el campo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/24 de visión captado por tres de esas cámaras es desproporcionado al incluir una zona de vía pública ni que actuaciones llevan a esa conclusión. Sobre esta cuestión, basta indicar que tales conclusiones resultan de las imágenes del campo de visión captado por las cámaras aportadas por el propio reclamado durante la fase de prueba, según el detalle que consta perfectamente definido en los hechos probados, en los que se hace constar que las cámaras 2, 4 y 5, según la numeración otorgada por el reclamado, captan una porción de vía pública que se considera desproporcionada. En concreto, el Hecho Probado Cuarto señala: “. El campo de visión captado por las cámaras 2 y 4 incluye, en su vértice superior derecho, el muro de la parcela situada enfrente, al otro lado de la calle, siendo susceptible de captar la imagen de las personas que transiten la acera ubicada junto a dicho muro. . El campo de visión captado por la cámara 5 incluye, en su vértice superior izquierdo, el muro de la parcela situada enfrente, al otro lado de la calle, siendo susceptible de captar la imagen de las personas que transiten la acera ubicada junto a dicho muro”. V Obligaciones en materia de videovigilancia En cuanto al tratamiento con fines de videovigilancia, el artículo 22 de la LOPDGDD establece que las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. No obstante, el tratamiento de imágenes a través de un sistema de videovigilancia, para ser conforme con la normativa vigente (artículo 22 de la LOPDGDD) debe cumplir los requisitos específicos siguientes: 1.- La personas físicas o jurídicas, públicas o privadas, pueden establecer un sistema de videovigilancia con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. Se ha de valorar si la finalidad pretendida puede lograrse de otra forma menos intrusiva para los derechos y libertades de los ciudadanos. Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios, de acuerdo con el considerando 39 del RGPD. 2.- Las imágenes obtenidas no puedan utilizarse para una finalidad ulterior incompatible con la que motivó la instalación del sistema de videovigilancia. 3.- Se deberá cumplir con el deber de informar a los afectados previsto en los artículos 12 y 13 del RGPD, y 22 de la LOPDGDD. En tal sentido, se prevé en relación con la videovigilancia un sistema de “información por capas”. La primera capa ha de referirse, al menos, a la existencia del tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/24 (videovigilancia), la identidad del responsable, la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del RGPD y dónde obtener más información sobre el tratamiento de los datos personales. Esta información se contendrá en un dispositivo colocado en un lugar suficientemente visible y debe suministrarse por adelantado. La información de la segunda capa debe estar disponible en un lugar fácilmente accesible al afectado, ya sea una hoja informativa en una recepción, cajero, etc…, colocada en un espacio público visible o en una dirección web, y ha de referirse al resto de elementos del artículo 13 del RGPD. No es necesario especificar la ubicación precisa del equipo de videovigilancia. Este deber de información se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible, y como mínimo, en los accesos a las zonas vigiladas ya sean interiores o exteriores. En caso de que el espacio videovigilado disponga de varios accesos deberá disponerse de dicho distintivo de zona videovigilada en cada uno de ellos Esta información debe suministrarse por adelantado -considerando 39 del RGPD-. El objetivo es que quede claro el contexto de la vigilancia 4.- El tratamiento de las imágenes mediante la instalación de sistemas de cámaras o videocámaras deberá ser lícito y ajustarse al principio de proporcionalidad y al de minimización de datos, en los términos ya señalados. 5.- Las imágenes podrán conservarse por un plazo máximo de un mes, salvo en aquellos supuestos en que se deban conservar para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En este segundo supuesto, deberán ser puestas a disposición de la autoridad competente en un plazo máximo de 72 horas desde que se tuviera conocimiento de la existencia de la grabación. 6.- El responsable deberá llevar un registro de actividades de los tratamientos efectuados bajo su responsabilidad en el que se incluya la información a la que hace referencia el artículo 30.1 del RGPD. 7.- El responsable deberá realizar un análisis de riesgos o, en su caso, una evaluación de impacto en la protección de datos, para detectar los derivados de la implantación del sistema de videovigilancia, valorarlos y, en su caso, adoptar las medidas de seguridad apropiadas. 8.- Cuando se produzca una brecha de seguridad que afecte a los tratamientos de cámaras con fines de seguridad, siempre que exista riesgo para los derechos y libertades de las personas físicas, deberá notificarlo a la AEPD en un plazo máximo de 72 horas. Se entiende por brecha de seguridad la destrucción, pérdida o alteración accidental o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/24 ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizado a dichos datos. 9.- Cuando el sistema esté conectado a una central de alarma, únicamente podrá ser instalado por una empresa de seguridad privada que reúna los requisitos contemplados en el artículo 5 de la Ley 5/2014, de 4 de abril, de Seguridad Privada. La Agencia Española de Protección de Datos ofrece a través de su página web [https://www.aepd.es] acceso a: la legislación en materia de protección de datos personales, incluyendo el RGPD y la LOPDGDD (apartado “Informes y resoluciones” / “normativa”), la Guía sobre el uso de videocámaras para seguridad y otras finalidades, la Guía para el cumplimiento del deber de informar (ambas disponibles en el apartado “Guías y herramientas”). VI Obligación incumplida. Minimización de datos La letra
- c)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);" En cuanto al tratamiento con fines de videovigilancia, el artículo 22 de la LOPDGDD establece lo siguiente: “1. Las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. 2. Solo podrán captarse imágenes de la vía pública en la medida en que resulte imprescindible para la finalidad mencionada en el apartado anterior. No obstante, será posible la captación de la vía pública en una extensión superior cuando fuese necesario para garantizar la seguridad de bienes o instalaciones estratégicos o de infraestructuras vinculadas al transporte, sin que en ningún caso pueda suponer la captación de imágenes del interior de un domicilio privado. 3. Los datos serán suprimidos en el plazo máximo de un mes desde su captación, salvo cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En tal caso, las imágenes deberán ser puestas a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación. No será de aplicación a estos tratamientos la obligación de bloqueo prevista en el artículo 32 de esta ley orgánica. 4. El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/24 suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información. En todo caso, el responsable del tratamiento deberá mantener a disposición de los afectados la información a la que se refiere el citado reglamento. 5. Al amparo del artículo 2.2.
- c)del Reglamento (UE) 2016/679, se considera excluido de su ámbito de aplicación el tratamiento por una persona física de imágenes que solamente capten el interior de su propio domicilio. Esta exclusión no abarca el tratamiento realizado por una entidad de seguridad privada que hubiera sido contratada para la vigilancia de un domicilio y tuviese acceso a las imágenes. 6. El tratamiento de los datos personales procedentes de las imágenes y sonidos obtenidos mediante la utilización de cámaras y videocámaras por las Fuerzas y Cuerpos de Seguridad y por los órganos competentes para la vigilancia y control en los centros penitenciarios y para el control, regulación, vigilancia y disciplina del tráfico, se regirá por la legislación de transposición de la Directiva (UE) 2016/680, cuando el tratamiento tenga fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluidas la protección y la prevención frente a las amenazas contra la seguridad pública. Fuera de estos supuestos, dicho tratamiento se regirá por su legislación específica y supletoriamente por el Reglamento (UE) 2016/679 y la presente ley orgánica. 7. Lo regulado en el presente artículo se entiende sin perjuicio de lo previsto en la Ley 5/2014, de 4 de abril, de Seguridad Privada y sus disposiciones de desarrollo. 8. El tratamiento por el empleador de datos obtenidos a través de sistemas de cámaras o videocámaras se somete a lo dispuesto en el artículo 89 de esta ley orgánica”. El tratamiento de datos personales está sometido a los principios del tratamiento contenidos en el artículo 5 del RGPD. Destacaremos el principio de minimización de datos contenido en el artículo 5.1.
- c)del RGPD que dispone que los datos personales serán “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados”. Esto significa que en un tratamiento concreto sólo pueden tratarse los datos personales oportunos, que vengan al caso y que sean los estrictamente necesarios para cumplir la finalidad para la que son tratados. El tratamiento debe ser ajustado y proporcional a la finalidad a la que se dirige. La pertinencia en el tratamiento de los datos debe producirse tanto en el momento de la recogida de los datos como en el posterior tratamiento que se realice de los mismos. Conforme a lo antedicho, debe restringirse el tratamiento de los datos excesivos. La aplicación del principio de minimización de datos en materia de videovigilancia comporta que no puedan captarse imágenes de la vía pública, puesto que el tratamiento de imágenes en lugares públicos sólo puede ser realizado por las Fuerzas y Cuerpos de Seguridad previa autorización gubernativa. En algunas ocasiones, para la protección de espacios privados, donde se hayan C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/24 instalado cámaras en fachadas o en el interior, puede ser necesario para garantizar la finalidad de seguridad la grabación de una porción de la vía pública. Es decir, las cámaras y videocámaras instaladas con fines de seguridad no podrán obtener imágenes de la vía pública salvo que resulte imprescindible para dicho fin, o resulte imposible evitarlo por razón de la ubicación de aquéllas. Y, en tal caso extraordinario, las cámaras sólo podrán captar la porción mínima necesaria para preservar la seguridad de las personas y bienes, así como de sus instalaciones. En ningún caso se admitirá el uso de prácticas de vigilancia más allá del entorno objeto de la instalación y, en particular, no puede afectar a los espacios públicos circundantes, edificios contiguos y vehículos distintos de los que accedan al espacio vigilado. Si existiese una servidumbre de paso sobre un inmueble o terreno, el tratamiento de los datos no se encontraría excluido del ámbito de aplicación de la normativa de protección de datos, dado que, al tratarse de una zona sometida a una servidumbre de paso, resulta accesible no sólo por el titular de la vivienda y las personas autorizadas por este, sino por los terceros titulares del predio dominante de la servidumbre. Asimismo, las cámaras instaladas no pueden obtener imágenes de espacio privativo de tercero y/o espacio público sin causa justificada debidamente acreditada, ni pueden afectar a la intimidad de transeúntes que transiten libremente por la zona. No está permitida, por tanto, la colocación de cámaras hacia la propiedad privada de vecinos o afectar a su ámbito privado sin causa justificada. Tampoco pueden captarse ni grabarse imágenes en espacios propiedad de terceros sin el consentimiento de sus titulares, o, en su caso, de las personas que en ellos se encuentren. En definitiva, la instalación de sistemas de videovigilancia en viviendas familiares habrá de adaptarse a la normativa en materia de protección de datos si las cámaras se instalan en el exterior y pueden captar imágenes de personas. En el presente caso, A.A.A. cuenta con 11 cámaras de videovigilancia con función de grabación automática, instaladas en la fachada de la vivienda que constituye su domicilio. Se trata de una vivienda unifamiliar de dos plantas construida en una parcela de terreno que se encuentra vallada. Dichas cámaras se han instalado en el exterior de dicha vivienda, ubicadas en el primer y segundo forjado de la misma y sobre la cubierta, y orientadas hacia el exterior de la casa. Las actuaciones realizadas han permitido constatar que el campo de visión captado por tres de esas cámaras es desproporcionado al incluir una zona de vía pública, según el detalle descrito en el Hecho Probado Cuarto, siendo susceptible de captar imágenes de personas físicas. Además, en la zona de acceso a la parcela de la parte reclamada, sobre un poste de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/24 unos tres metros de altura ubicado en esta zona, junto al vallado, se encuentra instalada una cámara de videovigilancia que, antes de su reorientación, captaba imágenes de la vía pública. Según la imagen aportada por A.A.A. con su respuesta al trámite de traslado de la reclamación realizado por esta AEPD, el campo de visión de esta cámara enfocaba un largo tramo de la calle, incluyendo en la imagen la vía pública completa, las dos aceras y el vallado de viviendas próximas. Por tanto, se considera que los hechos acreditados son constitutivos de una infracción, imputable a A.A.A., por vulneración del artículo 5.1.
- c)del RGPD transcrito anteriormente. VII Tipificación de la infracción del artículo 5.1.
- c)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." VIII Propuesta de sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/24 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
- b)la intencionalidad o negligencia en la infracción;
- c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
- d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
- f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
- g)las categorías de los datos de carácter personal afectados por la infracción;
- h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
- i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
- j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
- k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
- k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
- a)El carácter continuado de la infracción.
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
- c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
- e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
- f)La afectación a los derechos de los menores.
- g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/24
- h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de la infracción, correspondería la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, se considera que el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
- c)del RGPD, permite fijar una sanción de multa administrativa por importe de 300 euros (trescientos euros). En el acuerdo de apertura del procedimiento se fijó una sanción inicial de 600 euros. No obstante, se estima conveniente su reducción hasta los 300 euros indicados, considerando que la cámara que captaba toda la vía pública colindante a la parcela de la parte reclamada ha sido reorientada y que inicialmente se consideraron todas las cámaras instaladas como sospechosas de captar espacio público, habiéndose confirmado durante las actuaciones que solo 3 de esas cámaras captan vía pública de forma desproporcionada en una porción mínima de su campo de visión. IX Obligación incumplida. Información que deberá facilitarse cuando los datos personales se obtengan del interesado El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, en virtud del cual: "1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
- a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
- b)los datos de contacto del delegado de protección de datos, en su caso;
- c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
- d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
- e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
- f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/24 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
- a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
- b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
- c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
- d)el derecho a presentar una reclamación ante una autoridad de control;
- e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
- f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información." Según ha quedado expuesto en los Fundamentos de Derecho precedentes, en caso de instalación de dispositivos de videovigilancia, conforme a lo dispuesto en el artículo 22 de la LOPDGDD, el deber de información se entenderá cumplido mediante la colocación de un dispositivo o cartel informativo en lugar suficientemente visible, y como mínimo, en los accesos a las zonas vigiladas ya sean interiores o exteriores. Se trata de un sistema de “información por capas”. La primera capa (el mencionado cartel informativo) ha de referirse, al menos, a la existencia del tratamiento (videovigilancia), la identidad del responsable, la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del RGPD y dónde obtener más información sobre el tratamiento de los datos personales (segunda capa). Esta segunda información debe estar disponible en un lugar fácilmente accesible al afectado, ya sea una hoja informativa en una recepción, cajero, etc., colocada en un espacio público visible o en una dirección web, y ha de referirse al resto de elementos del artículo 13 del RGPD. En el presente caso, A.A.A. no acreditó ante esta AEPD, antes de la apertura del presente procedimiento, haber dispuesto el preceptivo cartel informativo en un lugar visible, a pesar de que le fue indicado expresamente con ocasión del trámite de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/24 traslado reseñado en el Antecedente Segundo. Además, Con posterioridad al inicio del procedimiento, A.A.A. ha justificado haber instalado el preceptivo cartel informativo, pero sin el contenido mínimo exigible, según ha quedado expuesto en los Hechos Probados y Fundamento de Derecho anteriores. Por tanto, de conformidad con las evidencias obtenidas, se considera que los hechos conocidos son constitutivos de una infracción, imputable a A.A.A., por vulneración del artículo 13 del RGPD transcrito anteriormente. X Tipificación de la infracción del artículo 13 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
- b)los derechos de los interesados a tenor de los artículos 12 a 22;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica." XI Propuesta de sanción En el presente caso, considerando la gravedad de la posible infracción, correspondería la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, se considera que el balance de las circunstancias contempladas en el artículo 83.2 del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/24 RGPD y 76.2 de la LOPDGDD anteriormente reproducidos, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 13 del RGPD, permite fijar una sanción de multa administrativa por importe de 300 euros (trescientos euros). XII Medidas correctivas Confirmada la infracción, procede ordenar al reclamado que adopte las medidas oportunas para poner fin al incumplimiento de la legislación de protección de datos personales, en este caso de los artículo 5.1.
- c)y 13 del RGPD, de acuerdo con lo establecido en el citado artículo 58.2.
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Así, se podrá requerir al responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que dan lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, de conformidad con las evidencias constatadas, en la resolución que se adopte se podrá requerir a A.A.A. para que, en el plazo de un mes, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas siguientes: . Acredite haber procedido a la reorientación de las cámaras señaladas con los números 2, 4 y 5, evitando la captación de vía pública. En caso de que la reorientación de las cámaras no resultara suficiente para evitar la captación de aquellos espacios, habrá de proceder a su retirada o al establecimiento de máscaras de privacidad en la zona de su campo de visión que incluye vía pública. . Será necesaria la instalación del cartel de zona video vigilada en una zona más visible para todos los ciudadanos que incluya toda la información preceptiva. Deberá aportar fotografías con fecha y hora en las que se aprecie de forma clara la información que contiene el cartel o carteles. Sobre la identidad del responsable, se entiende suficiente con indicar los datos de contacto. La imposición de estas medidas es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento sancionador podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/24 tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a A.A.A., con NIF ***NIF.1, por las infracciones siguientes, las multas que se indican: . por una infracción del artículo 5.1.
- c)del RGPD, tipificada en el artículo 83.5.
- a)del mismo RGPD, una multa de 300 euros (trescientos euros). . por una infracción del artículo 13 del RGPD, tipificada en el artículo 83.5.
- b)del mismo RGPD, una multa de 300 euros (trescientos euros). SEGUNDO: ORDENAR a A.A.A., con NIF ***NIF.1, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo máximo de un mes desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de las medidas siguientes: . Reorientación de las cámaras señaladas con los números 2, 4 y 5, evitando la captación de vía pública. En caso de que la reorientación de las cámaras no resultara suficiente para evitar la captación de aquellos espacios, habrá de proceder a su retirada o al establecimiento de máscaras de privacidad en la zona de su campo de visión que incluye vía pública. . Instalación del cartel de zona video vigilada en una zona más visible para todos los ciudadanos que incluya toda la información preceptiva. Deberá aportar fotografías con fecha y hora en las que se aprecie de forma clara la información que contiene el cartel o carteles. Sobre la identidad del responsable, se entiende suficiente con indicar los datos de contacto. TERCERO: NOTIFICAR la presente resolución a A.A.A.. CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/24 Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es