1/5 Procedimiento Nº: PS/00082/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (*en adelante, el reclamante) con fecha 27 de febrero de 2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra AYUNTAMIENTO DE ***LOCALIDAD.1 con CIF P2409100A (en adelante, el reclamado). Los motivos en que basa la reclamación son los siguientes: “incumplimiento de la normativa en vigor al disponer de cámaras de videovigilancia en diversos puntos de la ciudad de ***LOCALIDAD.1 cuyos carteles no indican el responsable del tratamiento de los datos (…)”—folio nº1--. SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). Como resultado de las actuaciones de investigación practicadas, se constata que el responsable del tratamiento es el reclamado. En la documentación aportada por el reclamante se comprueba que los carteles no recogen la autoridad responsable del tratamiento mediante panel complementario. El mismo reclamante aporta fotografías de los carteles reclamados junto a otro de otra comunidad autónoma que cumple con este requisito. Según establece la Disposición Adicional 8ª de la LO 4/1997, estos carteles tienen que cumplir con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos según recoge la Guía de Videovigilancia en su apartado 4.2.1 y el informe jurídico de esta Agencia al que se hace referencia en este apartado. TERCERO: Con fecha 5 de mayo de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 CUARTO: Consultada la base de datos de esta AEPD en fecha 13/06/21 no consta alegación alguna en relación a los hechos objeto de traslado. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS Primero. Los hechos traen causa de la reclamación de fecha 27/02/20 por medio de la cual se traslada a esta AEPD lo siguiente: “incumplimiento de la normativa en vigor al disponer de cámaras de videovigilancia en diversos puntos de la ciudad de León cuyos carteles no indican el responsable del tratamiento de los datos (…)”—folio nº1--. Segundo. Consta acreditado como principal responsable Ayuntamiento de ***LOCALIDAD.1. Tercero. No se ha realizado contestación alguna en relación a la disponibilidad de cartel (
- es)informativo, indicando el responsable del tratamiento. Cuarto. No se ha procedido a explicar medida alguna en relación al sistema de cámaras de video-vigilancia instaladas por el Consistorio. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II En el presente caso, se procede a examinar la reclamación de fecha 27/02/20 por medio de la cual se traslada como “hecho” principal el siguiente: “incumplimiento de la normativa en materia de protección de datos, impidiendo el ejercicio derechos en legal forma al ser insuficiente la información de los carteles informativos instalados“ (folio nº 1). Los hechos se van a limitar a tenencia de carteles informativos que no se ajustan a la normativa en vigor, tras las indagaciones realizadas por esta Agencia. La Ley Orgánica 4/1997 que regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad en lugares públicos, hace referencia al cumplimiento de la normativa en protección de datos. En concreto, esta norma les será aplicable en cuestioC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 nes tales como creación del registro de actividades, adopción de medidas de seguridad, derechos de las personas y derecho de información mediante la señalización del espacio vigilado. El RGPD obliga a los responsables del tratamiento a ofrecer a los interesados una mayor información sobre los tratamientos que se realizan y el modo de ejercer los derechos. Todos los responsables han de cumplir con esta obligación de transparencia, con independencia de su tamaño como organización. En los artículos 13 y 14 del RGPD, se establece una lista exhaustiva de la información que debe proporcionarse a los interesados (más amplia que la que contenía la hoy derogada LOPD 15/1999), en función de si los datos se han obtenido o no del interesado. El artículo 22 de la Ley Orgánica 3/2018 (5 diciembre)-LOPDGDD- dispone: “Solo podrán captarse imágenes de la vía pública en la medida en que resulte imprescindible para la finalidad mencionada en el apartado anterior. No obstante, será posible la captación de la vía pública en una extensión superior cuando fuese necesario para garantizar la seguridad de bienes o instalaciones estratégicos o de infraestructuras vinculadas al transporte, sin que en ningún caso pueda suponer la captación de imágenes del interior de un domicilio privado” III De conformidad con las “evidencias” de las que se dispone en el presente procedimiento sancionador, se considera que el reclamado (
- a)dispone de un sistema de cámaras de video-vigilancia sin que el mismo esté debidamente señalizado en lo relativo al “responsable del tratamiento” de los datos. Según el contenido de la Ley Orgánica 4/1997 las cámaras instaladas deberán utilizarse con respeto al principio de proporcionalidad, tanto desde el punto de vista de su idoneidad como el de intervención mínima. La información al interesado se realizará mediante carteles que avisen de la zona videovigilada. Los hechos conocidos son constitutivos de una infracción, imputable al reclamado, por vulneración del contenido del artículo 13 RGPD “Información que deberá facilitarse cuando los datos personales se obtengan del interesado”. IV La conducta descrita es subsumible en el tipo infractor del art. 83.5
- b)RGPD, que prescribe lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- b)los derechos de los interesados a tenor de los artículos 12 a 22; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 V El artículo 77 apartado 1º LOPDGDD dispone: “El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso (…)”. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. VI Entre los poderes correctivos que contempla el artículo 58 del RGPD, en su apartado 2
- d)se establece que cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. El resto de cuestiones excede del marco competencial de esta Agencia, debiendo ser dirimidas en su caso en las instancias correspondientes. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a AYUNTAMIENTO DE ***LOCALIDAD.1, con CIF P2409100A, por una infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5
- b)del RGPD, una sanción de APERCIBIMIENTO. SEGUNDO: NOTIFICAR la presente resolución a la entidad AYUNTAMIENTO DE ***LOCALIDAD.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 TERCERO: ORDENAR a la reclamada AYUNTAMIENTO DE LEÓN para que en el plazo improrrogable de UN MES proceda a acreditar en legal forma la disponibilidad de cartel (
- es)homologados indicando que se trata de una zona video-vigilada, con indicación del responsable del tratamiento. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 938-131120 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es