PS-00093-2022

1/8  Expediente Nº: EXP202200863 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 25 de mayo de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a CLUB NATACIO LLEIDA (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202200863 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (*en adelante, la parte reclamante) con fecha 14 de enero de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra la entidad CLUB NATACIO LLEIDA con NIF G25030651 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: “Que OMS BEG SLU ha sido arrendataria en el periodo 2012-2021del negocio Bar/restauración llevado a cabo en el local propiedad de la entidad denunciada y situado dentro del propio Club. que dicho Club ha instalado en el interior del local arrendado, sin informar a la reclamante, una cámara de videovigilancia que se orienta a la zona de caja del establecimiento, sin que, de igual forma, se encuentre señalizada mediante los preceptivos carteles informativos de zona videovigilada”. Aportan imágenes de la presunta ubicación de la cámara y Burofax remitido por representantes legales de la reclamante al Club reclamado exponiendo su desacuerdo con la instalación de la cámara. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada en fecha 27/01/22, para que procediese a su análisis e informase a esta Agencia en el plaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 zo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue notificado en fecha 27/01/22 como consta en el acuse de recibo que obra en el expediente. TERCERO: Con fecha 1 de marzo de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II En el presente caso, se procede a examinar la reclamación de fecha 14/01/22 por medio de la cual se traslada el siguiente hecho: “(…) que dicho Club ha instalado en el interior del local arrendado, sin informar a la reclamante, una cámara de videovigilancia que se orienta a la zona de caja del establecimiento, sin que, de igual forma, se encuentre señalizada mediante los preceptivos carteles informativos de zona videovigilada”-folio nº 1--. El art. 5.1

1. c)RGPD dispone lo siguiente: Los datos personales serán: “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»). Cabe recordar que los particulares son responsables de velar por que los sistemas instalados se ajusten a la legalidad vigente, acreditando que la misma cumpla con todos los requisitos exigidos por la normativa en vigor. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 La instalación de este tipo de dispositivos debe contar con el preceptivo cartel informativo, indicando los fines y responsable del tratamiento en su caso de los datos de carácter personal. En todo caso, las cámaras deben estar orientadas hacia el espacio particular, evitando intimidar a vecinos colindantes con este tipo de dispositivos, así como controlar zonas de tránsito de los mismos sin causa justificada. El Código Civil regula el contrato de arrendamiento-art. 1542 CC—“El arrendamiento puede ser de cosas, o de obras o servicios”. El derecho principal del arrendatario es el del uso y disfrute del bien durante el periodo de duración del contrato y en las condiciones pactadas por los mismos, que se rigen por el “principio de libertad de pactos” pero teniendo en cuenta lo establecido no obstante en el art. 6 LAU. Cuando se decide instalar una cámara de seguridad es imprescindible tener en cuenta que con la misma se pueden afectar a derechos de tercero (s), debiendo adoptar las medidas necesarias para preservar el derecho de las mismas e informando en legal forma al arrendatario (
2. a)del local en caso de presencia de las mismas. En el contrato que en su caso se formalice se debe especificar la presencia de las mismas en el correspondiente apartado (cláusula contractual), la responsabilidad de ambas partes en relación a las mismas (arrendador/arrendatario), la finalidad del tratamiento (vgr. motivos de seguridad de las instalaciones), así como el modo de conservar las imágenes y resto de exigencias determinadas en la normativa aplicable. Igualmente, en el caso de tratarse de un dispositivo “simulado” se debe poner en conocimiento de las partes contractuales el carácter del mismo, al crear en el mismo la expectativa de una situación de control permanente y excesivo. III De conformidad con las “evidencias” de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que la parte reclamada procedió a instalar una cámara de video-vigilancia sin informar a priori de tal aspecto a la parte arrendataria, pudiendo ejercer un control no justificado mediante el “tratamiento de datos de terceros”. Las partes debieron formalizar un “Contrato de arrendamiento” en dónde se debe plasmar todo lo relacionado con las condiciones contractuales, incluido lo relacionado con la política de protección de datos en caso de existir una cámara de video-vigilancia que trate datos de terceros, debiendo en su caso indicar el responsable y en su caso encargado del tratamiento, así como la finalidad del “tratamiento de los datos”. Los hechos conocidos podrían ser constitutivos de una infracción, imputable a la parte reclamada, por vulneración del contenido del artículo 5.1
3. c)RGPD, anteriormente transcrito. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 IV El art. 83.5 RGPD dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
4. a)Los principios básicos para el tratamiento incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9 (…)”. De acuerdo a lo expuesto se considera acertado proponer una sanción inicial de 1200€, al disponer de un dispositivo de video-vigilancia en el local objeto de arrendamiento, sin haber dado presuntamente explicación alguna sobre la presencia del mismo a la parte arrendataria, ni sobre la finalidad del mismo (objeto del tratamiento), pudiendo ser considerado una medida desproporcionada al afectar a derecho de terceros, sanción situada en la escala inferior para este tipo de comportamientos, al ser una conducta negligente en el cumplimiento de las obligaciones de la normativa de protección de datos. V De confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
5. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender a los requerimientos de este organismo puede ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. La parte reclamada deberá aportar toda la documentación necesaria para la explicación sobre el dispositivo (
6. s)en cuestión, sin perjuicio de cualquier otra alegación que estime precisa en relación a los hechos descritos. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a la entidad CLUB NATACIO LLEIDA, con NIF G25030651, por la presunta infracción del artículo 5.1
7. c)RGPD], tipificada en el artículo 83 apartado 5º letra
8. a)RGPD, siendo sancionable de conformidad con el art- 58.2 RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 SEGUNDO: NOMBRAR como instructor a B.B.B. y, como secretario, a C.C.C., indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
9. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas la sanción que pudiera corresponder sería de 1200€, sin perjuicio de lo que resulte de la instrucción. QUINTO: NOTIFICAR el presente acuerdo a CLUB NATACIO LLEIDA, con NIF G25030651, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
10. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en [Introduzca el texto correspondiente a 960 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en [Introduzca el texto correspondiente a 960 euros y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 720€. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente 960€ ò 720€, deberá hacerlo efectivo mediante su ingreso en la cuenta nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-110422 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 17 de junio de 2022, la parte reclamada ha procedido al pago de la sanción en la cuantía de 720 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202200863, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a CLUB NATACIO LLEIDA. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
11. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 936-040822 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es