← España

PS-00078-2025

1/9  Expediente N.º: EXP202415225 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 16 de agosto de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a quien se identifica como A.A.A. con NIF ***NIF.1. Los hechos que se pone en conocimiento de esta autoridad: La parte reclamante manifiesta que el propietario del alojamiento, a través del portal web 'Airbnb', les remitió vía WhatsApp, por medio de una intermediaria, una serie de grabaciones de vídeo e imágenes obtenidas en el interior del inmueble alquilado (desconociendo si también el sonido), en zonas comunes (piscina y barbacoa) sin haberse informado con carácter previo, ni existir cartelería que advirtiera de este hecho. Aporta imágenes de la cámara, su ubicación y orientación, y las capturas de vídeo en las que se observa a la parte reclamante (Anexo I). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a P.A.R., para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 06/11/2024 como consta en el acuse de recibo que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 16 de noviembre de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: Con fecha 6 de agosto de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/9 QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: “Que no puedo acceder al Registro de la Agencia. La cámara objeto de este expediente NO está orientada ni a la piscina, ni al alojamiento, que alquilo en mi propiedad, está únicamente orientado hacia a la entrada de mi alojamiento personal”. SEXTO: En fecha 07/10/25 se recibe escrito de la parte reclamada en dónde de manera sucinta alega lo siguiente: “La cámara objeto de este Expediente no está orientada ni a la piscina, ni al alojamiento que alquilo en mi propiedad, únicamente va orientada a la entrada de mi alojamiento personal” SÉPTIMO: En fecha 13/10/25 se emite <Propuesta de Resolución> en la que se considera acreditada la ausencia de cartelería informativa sobre la presencia de cámara exterior y el modo de ejercitar los derechos en el marco de la normativa vigente, considerándose infringido el artículo 13 RGPD, motivo por el que se propuso una sanción económica cifrada en la cuantía de 1000€. OCTAVO: Consultada la base de datos de esta Agencia en fecha 20/11/25 no se ha recibido nueva alegación alguna en relación a la propuesta emitida. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS Primero. Los hechos traen causa de la reclamación de fecha 16/08/24 por medio de la cual se traslada la obtención de imágenes obtenidas del sistema de video-vigilancia del inmueble, careciendo de información al respecto. Segundo. Consta acreditado la presencia de cámara en la zona exterior del inmueble, según reconoce el propio reclamado. Tercero. Consta acreditado a raíz de las imágenes aportadas por la reclamante que el sistema está operativo y trata datos personales. Cuarto. Consta acreditado la ausencia de cartel informativo indicando que se trata de zona <videovigilada>. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/9 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de la(

  1. s)presunta(
  2. s)infracción(ones) cometida(s), se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  3. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). III Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/9 El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. Dada la falta de respuesta a los requerimientos de esta AEPD, se quiere recordar que la utilización de imágenes (datos) se debe realizar con la consiguiente cautela, y siempre dentro de un marco legal que justifique el uso de tales imágenes, pudiendo tener consecuencias en distintos ámbitos si se acredita que las mismas se utilizan con finalidades ajenas al marco de la protección de datos o de la legalidad vigente. La instalación de cámaras debe ponderar el equilibrio entre seguridad del inmueble y la debida protección al derecho a la intimidad de terceros, de tal manera que estas no se consideren invasivas de espacios reservados a la intimidad o instaladas de manera que el impacto sea el mínimo necesario para el equilibrio de los bienes jurídicos expuestos. De conformidad con las pruebas aportadas el reclamado ostenta la condición de <responsable> del tratamiento, al ser el titular del inmueble dónde se encuentran instaladas las mismas. IV En el presente caso, se quiere recordar que, al alquilar la vivienda, la misma deja de ser un ámbito privativo, para ceder el uso y disfrute temporal a los usuarios (
  4. as)de la misma, de manera que al disponer de un sistema de cámaras exteriores (acceso a la vivienda) la presencia de las mismas debe ser objeto de información con cartel informativo acorde a la normativa en vigor. Los usuarios de la vivienda deben durante el periodo de alquiler estar libres de intromisiones ilegitimas en su ámbito de esparcimiento mediante el control de cámaras que estén instaladas en la vivienda. Item, el uso de las imágenes está limitado en la normativa para casos tasados, sin que se permita el uso de las imágenes fuera de los casos permitidos por la ley, so pena de sanción administrativa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/9 Por último, no está legalmente permitido la obtención y almacenamiento de imágenes de zonas reservadas (vgr. zona de piscina, jardín interior, duchas, etc). Cualquier tipo de hipotética actuación irregular de los inquilinos (
  5. as)de la vivienda se puede regular mediante medios menos invasivos (vgr. cláusulas del contrato, etc), sin que sea necesario y proporcionado el uso de imágenes, más allá de casos puntuales establecidos en la normativa que se plasma. V Infracción artículo 13 RGPD En el presente caso, se procede a examinar la reclamación de fecha 16/08/2024 por medio de la cual se traslada la presencia de un sistema de cámaras de videovigilancia que obtiene imágenes (datos) en el interior de zonas de alojamiento turístico. “obtención de imágenes del inmueble alquilado sin informar de la presencia de cámaras de videovigilancia” (folio nº 1). No se observa a tenor de las pruebas aportadas, imagen de la colocación de cartel informativo, ni del modo de informar de la presencia de cámaras exteriores. Las imágenes aportadas no se obtienen del interior del inmueble, sino de la zona de acceso a la vivienda principal, lo que hace deducir que se corresponda con la presencia de una cámara instalada por motivo de seguridad del inmueble. Los <hechos> por tanto se van a centrar en la falta de información debida de la presencia de un sistema de cámaras de videovigilancia. El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, en virtud del cual: "1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  6. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  7. b)los datos de contacto del delegado de protección de datos, en su caso;
  8. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  9. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  10. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  11. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/9 garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  12. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  13. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  14. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  15. d)el derecho a presentar una reclamación ante una autoridad de control;
  16. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
  17. f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información." El artículo 83.5 RGPD Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  18. b)los derechos de los interesados a tenor de los artículos 12 a 22; El artículo 22 apartado 4º de la LOPDGDD dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/9 1. El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información. En todo caso, el responsable del tratamiento deberá mantener a disposición de los afectados la información a la que se refiere el citado reglamento” (*la negrita pertenece a este organismo). El artículo 72 LOPDGDD (LO 3/208) dispone: “En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes
  19. h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica VI Medidas correctivas En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que podrían dar lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. La imposición de esta(
  20. s)medida(
  21. s)es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/9 Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento sancionador podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a A.A.A., con NIF ***NIF.1, por una infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 1000€ (Mil euros). SEGUNDO: ORDENAR a A.A.A., con NIF ***NIF.1, que en virtud del artículo 58.2.
  22. d)del RGPD, en el plazo máximo de 1 MES desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de la siguiente medida: -Procede a colocar cartel informativo en zona exterior informando que la parte de acceso a la vivienda está siendo video-vigilada debidamente cumplimentado, aportando fotografía con fecha y hora del lugar exacto de colocación del mismo. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  23. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/9 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  24. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.