1/10 Procedimiento Nº: PS/00080/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 26 de octubre de 2020, tuvo entrada en esta Agencia Española de Protección de Datos un escrito presentado por LABORATORIO OCTOGON, S.L. (en lo sucesivo, el reclamante), mediante el que formula reclamación contra TALLERES PARRON RAMOS, S.L.U. con CIF B86245263 (en adelante, el reclamado), por la instalación de un sistema de videovigilancia instalado en CALLE ***DIRECCIÓN., ***LOCALIDAD.1, existiendo indicios de un posible incumplimiento de lo dispuesto en lo dispuesto en la normativa de protección de datos de carácter personal. Los motivos que fundamentan la reclamación son que “La empresa reclamada tiene instalada y controla la videovigilancia de una zona ajena a la misma y que excede notablemente sus instalaciones. Las cámaras apuntan visiblemente al exterior de sus instalaciones y cubren la superficie de un patio donde se albergan más negocios ajenos a dicha empresa, de este modo se están obteniendo imágenes de los clientes que acceden a dicho patio sin acercarse a sus instalaciones y que no tienen intención de visitar a la empresa reclamada. Del mismo modo, los empleados, titulares y socios de los demás negocios también están siendo grabados por la mencionada videovigilancia. (…)” Adjunta reportaje fotográfico de la ubicación de las cámaras. SEGUNDO: Con carácter previo a la admisión a trámite de esta reclamación, se trasladó al reclamado, de conformidad con lo establecido en el artículo 65.4 la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), a través del sistema Notific@, resultando devuelta por expirada. Por ello, se procede a reiterarla vía postal. Con fecha 11 de febrero de 2021 se recibe respuesta del reclamado, en la que manifiesta que cuenta con un servicio de seguridad contratado a través de la empresa HELFEN SYSTEM, S.L. inscrita en el Registro de empresas de Seguridad de la Dirección General de la Policía. Indica que con la citada empresa de seguridad se mantiene suscrito un contrato de servicios de fecha 18 de diciembre de 2017, que incluía la instalación y mantenimiento. Posteriormente, por ampliación de elementos, se suscribió Anexo al contrato principal. Aporta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/10 - factura de mantenimiento correspondiente al ejercicio en curso emitido por la empresa HELFEN SYSTEM, S.L. Informe Técnico de fecha 2 de febrero de 2021 en el que refleja tanto los elementos de los que dicho sistema se compone en la actualidad, como las características técnicas, ubicación y alcance de las cámaras. Las finalidades están destinadas, única y exclusivamente, a la preservación de la seguridad de las personas y bienes, así como a sus instalaciones, como contempla el precepto 22 de la LOPDGDD, en su apartado 1. Manifiestan que el campo de visión de las cámaras se encuentra limitado a lo mínimo imprescindible y no se captan imágenes de la vía pública, tan solo del interior de las instalaciones o de la entrada al taller. También señalan que se cumple de manera escrupulosa con el deber de información contenido en el artículo 22.4 de la LOPDGDD, a través de la instalación de diferentes carteles informativos visibles en todo momento para los interesados. En dichos carteles informativos se da cumplimiento a los requisitos mínimos de información del RGPD, esto es: Responsable del Tratamiento, Finalidad, Base jurídica del Tratamiento, Ejercicio de derechos y Posibilidad de presentar una reclamación ante la autoridad de control. En cuanto al plazo de conservación de las imágenes, indican que, como consta reflejado en el Certificado de mantenimiento del sistema, no supera en ningún caso el máximo de un mes establecido en el artículo 22.3 de la LOPDGDD, salvo que graben la comisión de actos que pudieran atentar contra la integridad de las personas, bienes o instalaciones, en cuyo caso se pondrían de inmediato, y en todo caso en el plazo máximo de 72 horas, a disposición de la autoridad competente. Por último, y al margen de los carteles de información, el responsable tiene igualmente a disposición de los interesados la información obligatoria conforme al RGPD por medio de una cláusula al efecto, aportando copia de la misma. TERCERO: De las imágenes aportadas se desprende que el Sistema instalado se compone de los siguientes elementos: 1 unidad de Grabador XVR 5 en 1 de 4 canales HDCVI/HDTVI /AHD/ 6 unidades de Mini- Domo fijo 4 en 1 Serie StarLight ANTIVANDALICO Ubicación y alcance: -. Entrada taller: visualiza el interior del taller. -. Almacén: visualiza el interior del almacén. -. Oficinas: visualiza el interior de las oficinas. -. Taller: visualiza el interior del taller. -. Entrada izquierda: visualiza la zona de la izquierda del patio de la entrada al taller. -. Entrada derecha: visualiza la zona de la derecha del patio de la entrada al taller. Las dos cámaras exteriores (cámaras identificadas con los números 2 y 4 en el monitor) que son las denunciadas, efectivamente captan con amplitud la entrada a los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/10 talleres y gran parte del patio donde se ubican otros establecimientos y negocios como los del reclamante. Captan una zona excesiva del patio. CUARTO: La reclamación fue admitida a trámite mediante resolución de 15 de febrero de 2021. QUINTO: Con fecha 24 de marzo de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 5.1.
- c)del RGPD, tipificada en el artículo 83.5 del RGPD. SEXTO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de alegaciones en el que, en síntesis, se reitera en las anteriormente presentadas. No obstante, ha contactado con la empresa de seguridad instaladora y que le presta soporte, que ha modificado la orientación de las mismas “(…) de tal manera que solo se capta ese mínimo imprescindible de la vía pública, atendiendo a los criterios de idoneidad y proporcionalidad, que se hacen necesarios para que las cámaras no pierdan su finalidad y por otro lado se preserven los derechos de terceros que pudiesen ser captados de manera accidental”. Se han aportado dos fotografías de lo que captan las cámaras exteriores, objeto de la denuncia. En ellas se observa una parte del patio, aparentemente, la entrada a su establecimiento, y varios vehículos aparcados, posibles clientes. Se comprueba que ha reducido el campo de visión. SÉPTIMO: Con fecha 06 de agosto de 2021 la instructora del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, E/09280/2020, así como los documentos aportados por el reclamado. OCTAVO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. NOVENO: Con fecha 9 de agosto de 2021 se formuló propuesta de resolución, proponiendo dirigir un apercibimiento al reclamado, sin necesidad de adoptar medidas adicionales, ya que aportó dos fotografías de lo que captan las cámaras exteriores, habiendo reducido el campo de visión. En esta propuesta se concedía un plazo de 10 días para que el reclamado pudiera alegar cuanto considerase en su defensa así como presentar los documentos e informaciones que considerase pertinentes, de acuerdo con el artículo 89.2 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP). DÉCIMO: El reclamado, en su escrito de alegaciones a la propuesta de resolución, en síntesis, se reitera en lo ya argumentado con anterioridad. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/10 HECHOS PRIMERO: Existencia de seis cámaras de videovigilancia instaladas en CALLE ***DIRECCIÓN.1***LOCALIDAD.1, siendo las dos exteriores las denunciadas y el objeto del presente procedimiento: -. Entrada izquierda: visualiza la zona de la izquierda del patio de la entrada al taller. -. Entrada derecha: visualiza la zona de la derecha del patio de la entrada al taller. SEGUNDO: El responsable del sistema de videovigilancia es TALLERES PARRON RAMOS, S.L.U. con CIF B86245263. TERCERO: El reclamado ha aportado dos fotografías de lo que captan las cámaras exteriores. En ellas se observa una parte del patio, aparentemente, la entrada a su establecimiento, y varios vehículos aparcados, posibles clientes. Se comprueba que ha reducido el campo de visión. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II La imagen física de una persona a tenor del artículo 4.1 del RGPD es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. El artículo 4.2 del RGPD define el concepto de “tratamiento” de datos personales. El artículo 22 de la LOPDGDD establece las especificidades del tratamiento de datos con fines de videovigilancia, indicando lo siguiente: “1. Las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. 2. Solo podrán captarse imágenes de la vía pública en la medida en que resulte imprescindible para la finalidad mencionada en el apartado anterior. No obstante, será posible la captación de la vía pública en una extensión superior cuando fuese necesario para garantizar la seguridad de bienes o instalaciones estratégicos o de infraestructuras vinculadas al transporte, sin que en ningún caso pueda suponer la captación de imágenes del interior de un domicilio privado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/10 3. Los datos serán suprimidos en el plazo máximo de un mes desde su captación, salvo cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En tal caso, las imágenes deberán ser puestas a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación. No será de aplicación a estos tratamientos la obligación de bloqueo prevista en el artículo 32 de esta ley orgánica. 4. El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información. En todo caso, el responsable del tratamiento deberá mantener a disposición de los afectados la información a la que se refiere el citado reglamento. 5. Al amparo del artículo 2.2.
- c)del Reglamento (UE) 2016/679, se considera excluido de su ámbito de aplicación el tratamiento por una persona física de imágenes que solamente capten el interior de su propio domicilio. Esta exclusión no abarca el tratamiento realizado por una entidad de seguridad privada que hubiera sido contratada para la vigilancia de un domicilio y tuviese acceso a las imágenes. 6. El tratamiento de los datos personales procedentes de las imágenes y sonidos obtenidos mediante la utilización de cámaras y videocámaras por las Fuerzas y Cuerpos de Seguridad y por los órganos competentes para la vigilancia y control en los centros penitenciarios y para el control, regulación, vigilancia y disciplina del tráfico, se regirá por la legislación de transposición de la Directiva (UE) 2016/680, cuando el tratamiento tenga fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluidas la protección y la prevención frente a las amenazas contra la seguridad pública. Fuera de estos supuestos, dicho tratamiento se regirá por su legislación específica y supletoriamente por el Reglamento (UE) 2016/679 y la presente ley orgánica. 7. Lo regulado en el presente artículo se entiende sin perjuicio de lo previsto en la Ley 5/2014, de 4 de abril, de Seguridad Privada y sus disposiciones de desarrollo. 8. El tratamiento por el empleador de datos obtenidos a través de sistemas de cámaras o videocámaras se somete a lo dispuesto en el artículo 89 de esta ley orgánica.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/10 III De conformidad con lo expuesto, el tratamiento de imágenes a través de un sistema de videovigilancia, para ser conforme con la normativa vigente, debe cumplir los requisitos siguientes: - Respetar el principio de proporcionalidad. - Cuando el sistema esté conectado a una central de alarma, únicamente podrá ser instalado por una empresa de seguridad privada que reúna los requisitos contemplados en el artículo 5 de la Ley 5/2014 de Seguridad Privada, de 4 de abril. - Las videocámaras no podrán captar imágenes de las personas que se encuentren fuera del espacio privado en donde esté instalado el sistema de videovigilancia, ya que el tratamiento de imágenes en lugares públicos sólo puede ser realizado, salvo que concurra autorización gubernativa, por las Fuerzas y Cuerpos de Seguridad. Tampoco pueden captarse ni grabarse espacios propiedad de terceros sin el consentimiento de sus titulares, o, en su caso, de las personas que en ellos se encuentren. Esta regla admite alguna excepción ya que, en algunas ocasiones, para la protección de espacios privados, donde se hayan instalado cámaras en fachadas o en el interior, puede ser necesario para garantizar la finalidad de seguridad la grabación de una porción de la vía pública. Es decir, las cámaras y videocámaras instaladas con fines de seguridad no podrán obtener imágenes de la vía pública salvo que resulte imprescindible para dicho fin, o resulte imposible evitarlo por razón de la ubicación de aquéllas y extraordinariamente también se recogerá el espacio mínimo para dicha finalidad. Por lo tanto, las cámaras podrían excepcionalmente captar la porción mínimamente necesaria para la finalidad de seguridad que se pretende. - Se deberá cumplir el deber de informar a los afectados previsto en los artículos 12 y 13 del RGPD, y 22 de la LOPDGDD, en los términos ya señalados. - El responsable deberá llevar un registro de actividades de los tratamientos efectuados bajo su responsabilidad en el que se incluya la información a la que hace referencia el artículo 30.1 del RGPD. - Las cámaras instaladas no pueden obtener imágenes de espacio privativo de tercero y/o espacio público sin causa justificada debidamente acreditada, ni pueden afectar a la intimidad de transeúntes que transiten libremente por la zona. No está permitida, por tanto, la colocación de cámaras hacia la propiedad privada de vecinos con la finalidad de intimidarlos o afectar a su ámbito privado sin causa justificada. - En ningún caso se admitirá el uso de prácticas de vigilancia más allá del entorno objeto de la instalación y en particular, no pudiendo afectar a los espacios públicos circundantes, edificios contiguos y vehículos distintos de los que accedan al espacio vigilado. En resumen y para facilitar la consulta a los interesados la Agencia Española de Protección de Datos ofrece a través de su página web [https://www.aepd.es] acceso a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/10 la legislación en materia de protección de datos personales, incluyendo el RGPD y la LOPDGDD (apartado “Informes y resoluciones” / “normativa”), así como a la Guía sobre el uso de videocámaras para seguridad y otras finalidades, así como la Guía para el cumplimiento del deber de informar (ambas disponibles en el apartado “Guías y herramientas”). También resulta de interés, en caso de realizar tratamientos de datos de bajo riesgo, la herramienta gratuita Facilita (en el apartado “Guías y herramientas”), que, mediante unas preguntas concretas, permite valorar la situación del responsable respecto del tratamiento de datos personales que lleva a cabo, y en su caso, generar diversos documentos, cláusulas informativas y contractuales, así como un anexo con medidas de seguridad orientativas consideradas mínimas. IV En el presente caso, la reclamación se basa en la presunta ilicitud de la instalación por parte del reclamado de un sistema de videovigilancia, compuesto por seis cámaras instaladas en CALLE ***DIRECCIÓN.1***LOCALIDAD.1, dos de las cuales podrían captar imágenes de zonas públicas de forma desproporcionada. Como prueba de estas manifestaciones, el reclamante aportó las evidencias señaladas en el apartado de “Hechos” de este acuerdo. Los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, se establecen en el artículo 58.2 del RGPD. Entre ellos se encuentran la potestad de dirigir un apercibimiento -artículo 58.2.b)-, la potestad de imponer una multa administrativa con arreglo al artículo 83 del RGPD artículo 58.2 i)-, o la potestad de ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un plazo especificado -artículo 58. 2 d)-. Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en el artículo 58.2
- d)del citado Reglamento es compatible con la sanción consistente en multa administrativa. Sin perjuicio de lo establecido en el artículo 83 del RGPD, el citado Reglamento dispone en su artículo 58.2
- b)la posibilidad de dirigir un apercibimiento, en relación con lo señalado en el Considerando 148: «En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.» C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/10 V Al decidir la imposición de una multa administrativa y su cuantía, en cada caso individual se tendrán en cuenta los factores agravantes y atenuantes que se señalan en el art. 83.2 del RGPD, así como cualquier otro que pueda resultar aplicable a las circunstancias del caso. Las infracciones se tipifican en el artículo 83.5 del RGPD: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; […]” A efectos del plazo de prescripción de las infracciones, las señaladas en el párrafo anterior se consideran muy grave y prescriben a los tres años, conforme al artículo 72.1 de la LOPDGDD, que establece que: “En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: […]
- b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.
- c)El incumplimiento de los requisitos exigidos por el artículo 7 del Reglamento (UE) 2016/679 para la validez del consentimiento […]” El artículo 22 apartado 2º de la LOPDGDD dispone: “Solo podrán captarse imágenes de la vía pública en la medida en que resulte imprescindible para la finalidad mencionada en el apartado anterior. No obstante, será posible la captación de la vía pública en la medida en que resulte imprescindible para garantizar la seguridad de bienes o instalaciones estratégicos o de infraestructuras vinculadas al transporte, sin que en ningún caso pueda suponer la captación de imágenes del interior de un domicilio privado”. Examinado el expediente en su conjunto, si bien es cierto que en el momento del inicio del presente procedimiento sancionador las cámaras instaladas en la empresa del reclamado captaban imágenes ajenas a su propiedad, durante el período de alegaciones el reclamado ha manifestado que ha procedido a la reubicación de las cámaras hacia su espacio privado, aportando dos fotografías de lo que captan las cámaras exteriores, objeto de la denuncia. En ellas se observa una parte del patio, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/10 aparentemente, la entrada a su establecimiento, y varios vehículos aparcados, posibles clientes. Se comprueba que ha reducido el campo de visión. VI De acuerdo con lo expuesto, examinadas las modificaciones del sistema instalado, el mismo se considera ajustado a derecho, captando las cámaras lo mínimo imprescindible para su labor de protección de la empresa. Se tiene en cuenta la plena colaboración con este organismo, a la hora de efectuar las correcciones precisas para evitar afectar al derecho de terceros, siendo las necesarias para preservar la seguridad del inmueble. Se recuerda a las partes la transcendencia de los derechos en juego debiendo evitar instrumentalizar a las instituciones en cuestiones ajenas a sus competencias, debiendo ajustar las relaciones entre las mismas a las mínimas exigencias de las reglas de buena vecindad. Por lo tanto, de acuerdo con la legislación aplicable, valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, y teniendo en cuenta que se ha producido la reubicación de las cámaras durante la tramitación del presente procedimiento, se mantiene dirigir un apercibimiento, ya que durante un tiempo las cámaras grabaron en exceso zonas ajenas a su propiedad, si bien no se requieren medidas complementarias al haber sido adoptadas. La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR UN APERCIBIMIENTO a TALLERES PARRON RAMOS, S.L.U. con CIF B86245263 por una infracción del artículo 5.1.
- c)del RGPD, tipificada en el artículo 83.5 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a TALLERES PARRON RAMOS, S.L.U. con CIF B86245263. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/10 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 938-131120 Mar España Martí Directora de la AEPD, P.O. la Subdirectora General de Inspección de Datos, Olga Pérez Sanjuán, Resolución 4/10/2021 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es