← España

PS-00074-2023

1/8  Expediente N.º: EXP202211913 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Don A.A.A. (en lo sucesivo, la parte reclamante), en fecha 7 de noviembre de 2022, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra Don B.B.B. con NIF ***NIF.1 (en adelante, la parte reclamada), por la instalación de un sistema de videovigilancia ubicado en CALLE ***DIRECCIÓN.1, HUELVA, existiendo indicios de un posible incumplimiento de lo dispuesto en los artículos 6.1. y 13 del Reglamento General de Protección de Datos (en adelante, RGPD). Los motivos que fundamentan la reclamación son los siguientes: La parte reclamante manifiesta que la parte reclamada es vecino del inmueble ubicado en la Calle ***DIRECCIÓN.1 de Huelva y que este ha instalado, junto a la puerta de su vivienda, una cámara de videovigilancia que captaría imágenes del descansillo comunitario, sin que conste autorización previa de la Comunidad y sin que se encuentre señalizado mediante los preceptivos carteles informativos de zona videovigilada. Aporta una imagen de la ubicación de la cámara. Los documentos aportados son: - Reportaje fotográfico SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), no fue recogido por el responsable; siendo devuelto el 9 de enero de 2023, por " ausente reparto" los días 27 y 29 de diciembre de 2022. Reiterado el traslado, por correo postal certificado, fue nuevamente devuelto en fecha 31 de enero de 2023, por "ausente reparto", los días 19 y 23 de enero de 2023. Reiterado el traslado, por correo postal certificado, fue nuevamente devuelto en fecha 13 de febrero de 2023, por "ausente reparto", los días 2 y 3 de febrero de 2023. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 Dado que los tres traslados que se han efectuado de la reclamación no han sido recogidos por la parte reclamada, no se ha recibido respuesta al escrito de traslado. TERCERO: Con fecha 7 de febrero de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 24 de marzo de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 13 del RGPD y Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. Consultada la base de datos de este organismo, se procedió a publicar el Acuerdo de Inicio del PS/00074/2023 en el B.OE. en fecha ***FECHA.1. El artículo 64.2.

  1. f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
  2. f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS Primero. Los hechos traen causa de la reclamación de fecha 07/11722 por medio de la cual se traslada lo siguiente: “que sin previo aviso el vecino del bajo ha procedido a colocar una Cámara que enfoca al lugar por donde todos acceden para entrar en la comunidad sin que haya pedido permiso o al menos comunicado su instalación. Al no haber ni siquiera cartel anunciador todos los vecinos van enterándose poco a poco y quejándose de ella (…)” –folio nº 1--. Segundo. Consta acreditado como principal responsable B.B.B., con NIF ***NIF.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 Tercero. Consta acreditado que el reclamado dispone de un sistema de videovigilancia orientado hacia zonas comunes, tratando datos de terceros sin estar autorizado en Junta de propietarios (as). Cuarto. Consta acreditado la ausencia de cartel o distintivo informativo que indique que se trata de zona video-vigilada o del uso que en su caso realice de las imágenes de los comuneros (as). FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II La imagen es un dato personal La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. En el artículo 4.2 del RGPD se define el concepto de “tratamiento” de datos personales. Las imágenes generadas por un sistema de cámaras o videocámaras son datos de carácter personal, por lo que su tratamiento está sujeto a la normativa de protección de datos. Es, por tanto, pertinente analizar si el tratamiento de datos personales (imagen de las personas físicas) llevado a cabo a través del sistema de videovigilancia denunciado es acorde con lo establecido en el RGPD. III En el presente caso, se procede a examinar la reclamación de fecha 07/11/22 por medio de la cual se traslada la presunta irregularidad cometida por un propietario del inmueble “que ha instalado un sistema de video-vigilancia sin contar con autorización para ello”. Las cámaras instaladas en la parte exterior de las viviendas, al margen de las implicaciones que puedan tener en el marco de la actual LPH, pueden tener repercuC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 sión en la regulación de protección de datos, al producirse un tratamiento de datos indeterminado de terceros, afectando al margen a zonas comunitarias. La instalación de las mismas se debe poner en conocimiento del conjunto de vecinos, incluido en el correspondiente punto del Orden del día, debiendo ser autorizada la presencia de estas por el conjunto de comuneros (as). Sin la correspondiente autorización, la presencia de estas carece de base legitimadora, para un tratamiento de datos en el marco de la actual normativa de protección de datos, de manera que se estaría infringiendo con tal conducta la normativa en vigor. Las bases legitimadoras son un listado de situaciones o supuestos concretos, establecidos por ley, en los que es posible tratar datos personales. El artículo 6 apartado 1º letra
  3. e)RGPD dispone: “
  4. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; Una vez autorizadas, la presencia de las cámaras debe estar debidamente señalizada, sin perjuicio de cumplir el responsable de la instalación el resto de las obligaciones exigidas legalmente (vgr. informar que se trata de zona video-vigilada, etc). Para la instalación de servicios de vigilancia en una comunidad de propietarios se necesita los votos a favor de 3/5 del total de propietarios, que además deben representar al menos 3/5 de las cuotas de participación, sin perjuicio de lo que pueda plasmarse en los Estatutos de la misma. La finalidad de este tipo de dispositivos es proteger la vivienda y sus enseres, considerando algunos propietarios que la presencia en el exterior de los mismos supone una medida disuasoria más frente a posibles hurtos, si bien no tienen en cuenta el resto de derechos afectados o los inconvenientes para el resto de comuneros que se ven intimidados por su sola presencia o las implicaciones de colocarse en pared comunera. El responsable de la instalación de cualquier tipo de “aparato” que proceda a obtener imágenes de terceros (datos) debe poder demostrar de manera fehaciente que el mismo cumple estrictamente los requisitos marcados por el Legislador, debiendo ser estos analizados por este organismo en el contexto del caso en concreto. En consecuencia, lo primero que hay que hacer, antes de comenzar a tratar datos personales, es identificar la base legitimadora porque, de no existir, el tratamiento es ilícito con independencia de que observen las demás exigencias normativas. La falta de la mencionada autorización, conlleva que se cometa la infracción descrita, al carecer de la <base legitimadora> que le permita instalar un dispositivo de captación de imágenes (datos personales), dado que recordemos al estar instalada la cámara exteriormente afecta a zona de titularidad de la Comunidad de propietarios, de ahí que se considere igualmente que existen medidas menos invasivas, como la coloC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 cación de la cámara en el interior de la vivienda o inclusive un alarma sonora provista de detección de movimiento, pero siempre en el interior de la vivienda particular. IV De conformidad con evidencias de las que se dispone en el presente procedimiento sancionador, se considera que la parte reclamada dispone de un sistema de cámaras de video-vigilancia que afecta a derechos de terceros sin causa justificada, al estar orientadas de manera desproporcionada hacia zona comunitarias sin estar debidamente autorizadas por el conjunto de propietarios del inmueble. Igualmente, realizando una presunta valoración de derechos en juegos, se recuerda que las cámaras en el interior de la vivienda son igualmente efectivas de cara a protegerse frente a posibles robos con fuerza en las cosas, evitando la intimidación y molestia de la presencia de estas al conjunto de vecinos , que se ven intimidados en su libertad personal al afectar a zona comunitaria. Los hechos conocidos son por tanto constitutivos de una infracción, imputable a la parte reclamada, por vulneración del contenido del artículo 5.1
  5. c)RGPD. El artículo 72 apartado 1º letra
  6. a)establece un plazo de prescripción de tres años “las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: “
  7. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. V De las pruebas iniciales aportadas no se ha constatado la presencia de cartel informativo indicando que se trata de zona video-vigilada, recordando la necesidad del mismo si las cámaras están en el exterior del inmueble. El artículo 22 apartado 4º de la LOPDGDD dispone: “El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información”. Los hechos anteriormente descritos suponen una afectación al contenido del artículo 13 RGPD, al carecer de cartel (
  8. es)informativos con una dirección efectiva a la que poder en su caso dirigirse o indicar en su caso el responsable principal del tratamiento de los datos. El artículo 13 RGPD “Información que deberá facilitarse cuando los datos personales se obtengan del interesado” 1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  9. a)la identidad y los datos de conC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 tacto del responsable y, en su caso, de su representante;
  10. b)los datos de contacto del delegado de protección de datos, en su caso;
  11. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento (…). El artículo 72 apartado 1º de la LOPDGDD (LO 3/2018, 5 diciembre) en relación al plazo de prescripción de las infracciones muy graves “prescribirán a los tres años” y en particular las siguientes:
  12. h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica. Se deberá cumplir el deber de informar a los afectados previsto en los artículos 12 y 13 del RGPD, y 22 de la LOPDGDD, en los términos ya señalados. VI El art. 83.5 RGPD dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  13. a)Los principios básicos para el tratamiento incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9 (…)”.
  14. b)los derechos de los interesados a tenor de los artículos 12 a 22 (..). A la hora de motivar la sanción se tiene en cuenta la falta de alegaciones iniciales al requerimiento de este organismo, si bien las pruebas aportadas constatan la presencia de los dispositivo (
  15. s)con una mala orientación, así como la ausencia de cartel (
  16. es)informativo, lo que denota una negligencia grave en la conducta descrita, así como por no atender a los requerimientos de los órganos rectores del inmueble; por lo que se acuerda una sanción de 600€ (300€+300€) por la infracción de los artículos 6 y 13 RGPD, sanción situada en la escala inferior para este tipo de comportamientos. VII En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. Se advierte que no atender la orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Se recuerda que la permanencia de la cámara en zona comunitaria puede dar lugar a nuevas reclamaciones ante este organismo, teniendo en cuanta las recomendaciones de este organismo, a la hora de la apertura de un nuevo procedimiento sancionador en dónde se valorara a la hora de graduar una nueva sanción a imponer. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a Don B.B.B., con NIF ***NIF.1, por una infracción del Artículo 13 del RGPD y Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 letras
  17. a)y
  18. b)del RGPD, una multa de 600€ (300€+300€). SEGUNDO: ORDENAR a B.B.B., con NIF ***NIF.1, que en virtud del artículo 58.2.
  19. d)del RGPD, en el plazo de UN MES, acredite haber procedido al cumplimiento de la siguiente medida: -Proceder a la retirada de cualquier tipo de dispositivo instalado en pared comunera, que afecte a zonas comunes, acreditando tal extremo con fotografía con fecha y hora del antes y del después. SEGUNDO: NOTIFICAR la presente resolución a B.B.B.. TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  20. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00 0000 0000 0000 0000 0000 (BIC/Código SWIFT: XXXXXXXXXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  21. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-250923 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.