1/8 Procedimiento Nº PS/00094/2017 RESOLUCIÓN: R/01562/2017 En el procedimiento sancionador PS/00094/2017, instruido por la Agencia Española de Protección de Datos a la entidad EL CORTE INGLES, S.A., vista la denuncia presentada y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 8/4/16 tiene entrada en esta Agencia escrito de D. A.A.A. (en adelante el denunciante) comunicando posible infracción a la Ley Orgánica 15/1999 motivada por cámaras de videovigilancia cuyo titular es la entidad EL CORTE INGLES, en el centro comercial ubicado en (C/....1), enfocado hacia vía pública. Adjunta: reportaje fotográfico de la ubicación de las cámaras. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad EL CORTE INGLES, S.A., teniendo conocimiento de que: <<<<< 1. El sistema de videovigilancia ha sido instalado por la empresa Plettac Electronics Seguridad S.A. empresa de seguridad registrada en el Ministerio del Interior con el número ****. 2. Las causas que han motivado la instalación son debido a que el edificio se encuentro enclavado en un núcleo urbano, lo que conlleve a una serie de riesgos y vulnerabilidades. Ello requiere que el edificio se encuentre protegido perimetralmente mediante cámaras de videovigilancia con el objetivo de la protección y vigilancia del mismo y en su caso facilitar las labores de emergencia y evacuación del centro. Además manifiestan que deben cumplir con los requisitos y las exigencias de la Ley de Seguridad Privada ya que cuanta con espacios que deben adoptar dispositivos activos y pasivos de seguridad obligatoria como son: la cámara acorazada, la Armería y la Joyería. Asimismo cuenta con cajeros automáticos de entidades bancarias en el interior del edificio. 3. Aportan copia del formulario informativo que tienen a disposición del cliente en el Servicio de Atención al Cliente ubicado en el propio edificio 4. portan fotografía del cartel donde se informa de la existencia de cámaras de videovigilancia e informan sobre el responsable ante el que se pueden ejercer los derechos de protección de datos de carácter personal. Dichos carteles están colocados en los accesos al centro comercial incluidos accesos de empleados, de carga de mercancías y parking tal y como figuran en las fotografías remitidas por la entidad. 5. Aportan plano de la ubicación de las cámaras, fotografía de las mismas y fotografías de las imágenes que captan cada una de ellas, de lo que se desprende: -- En el exterior hay instaladas 2 cámaras fijas, una de las cuales está orientada al acceso de entrada y salida de clientes con un campo de visión limitado a la puerta y la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 segunda cámara está orientada a una fachada con visión limitada a un mínimo de la acerca tal y como se observa en las fotografías. -- En el interior han sido instaladas 8 cámaras fijas orientadas hacia el exterior captando las puertas de acceso. -- La cámara número 105 capta imágenes de un aparcamiento de motos y un paso de peatones. -- La cámara número 1 capta imágenes de una de las puertas de entrada al Centro Comercial abarcando un campo visual de gran profundidad hacia el exterior. -- El resto de las cámaras fijas interiores captan un espacio mínimo del exterior. -- El sistema está también dotado de 1 cámara móvil que capta la puerta interior del acceso de clientes de Relojería. 6. El acceso al sistema de videovigilancia está reservado al Delegado de Seguridad del Centro Comercial y al Delegado de Seguridad Regional así como al personal de seguridad de la empresa MEGA 2 SEGURIDAD S.L.U. cuyo contrato aportan. 7. Las imágenes se graban en un soporte digital con una configuración temporal cíclica y limitada conservándose las imágenes durante 7 días. Existen 9 grabadores con una tecnología que impide la difusión/visualización por personal no autorizado. Para acceder a las grabaciones es necesario hacerlo a través de una clave, así como estar identificado como personal autorizado. 8. Aportan copia de la resolución del Director de la Agencia Española de Protección de Datos de inscripción del fichero de videovigilancia en el Registro General de Protección de Datos con el código ***CÓD.1. >>>>> TERCERO: Con fecha 30/3/17 la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a EL CORTE INGLES S.A. con arreglo a lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por la presunta infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.b de la citada Ley Orgánica. CUARTO: Por parte de la representante de la entidad denunciada se han presentado las siguientes alegaciones al Acuerdo de Inicio: Que en relación a las cámaras que la Agencia considera que incumple la normativa se manifiesta lo siguiente: * Cámara 105. Lo que se aprecia es una mínima parte del espacio adyacente al centro comercial, donde se pueden ver aparcadas unas motos. Se trata de uno de los accesos al centro. * Cámara 01. Se trata de una cámara fija situada en el interior del establecimiento y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 emplaza en una de los accesos y salidas del citado centro comercial. Se capta una parte de la acera adyacente al exterior siendo la captación de la misma una parte mínima imprescindible sí que se pueda identificar a las personas a esa distancia Que la vigilancia del exterior de los centros comerciales de la entidad denunciada, requiere la instalación de cámaras de videovigilancia en las fachadas de los mismos con objeto de controlar los accesos al establecimiento y las fachadas del mismo para evitar actos delictivos QUINTO: Con fecha 31/5/1 se apertura, por el instructor del procedimiento un periodo de pruebas consistente en dar por reproducidos a efectos probatorios la denuncia interpuesta y los documentos que forman parte del expediente de actuaciones previas de inspección E/2928/16. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/94/2016 presentadas por EL CORTE INGLES, S.A. y la documentación que a ellas acompaña. FUNDAMENTO DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 2.1 de la LOPD señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el apartado
- a)del artículo 3 de la LOPD, como “Cualquier información concerniente a personas físicas identificadas o identificables”. El artículo 3 de la LOPD define en su letra
- c)el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. La garantía del derecho a la protección de datos, conferida por la normativa de referencia, requiere que exista una actuación que constituya un tratamiento de datos personales en el sentido expresado. En otro caso las mencionadas disposiciones no serán de aplicación. De acuerdo con aquella definición de tratamiento de datos personales, la captación de imágenes de las personas constituye un tratamiento de datos personales incluido en el ámbito de aplicación de la normativa citada. El artículo 5.1f) del Real Decreto 1720/2007, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/99, considera datos de carácter personal a “cualquier C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables”. Atendiendo a la definición contenida en las normas citadas, que considera dato de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”, las captaciones de imágenes indicadas se ajustarán a este concepto siempre que permitan la identificación de las personas que aparecen en dichas imágenes. Por su parte, la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras (en lo sucesivo Instrucción 1/2006), en sus artículos 1.1 y 2 señala lo siguiente: “Artículo 1.1. La presente Instrucción se aplica al tratamiento de datos personales de imágenes de personas físicas identificadas o videocámaras. El tratamiento objeto de esta Instrucción comprende la grabación, captación, transmisión, conservación, y almacenamiento de imágenes, incluida su reproducción o emisión en tiempo real, así como el tratamiento que resulte de los datos personales relacionados con aquéllas. Se considerará identificable una persona cuando su identidad pueda determinarse mediante los tratamientos a los que se refiere la presente instrucción, sin que ello requiera plazos o actividades desproporcionados. Las referencias contenidas en esta Instrucción a videocámaras y cámaras se entenderán hechas también a cualquier medio técnico análogo y, en general, a cualquier sistema que permita los tratamientos previstos en la misma.” “Artículo 2. 1. Sólo será posible el tratamiento de los datos objeto de la presente instrucción, cuando se encuentre amparado por lo dispuesto en el artículo 6.1 y 2 y el artículo 11.1 y 2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. 2. Sin perjuicio de lo establecido en el apartado anterior la instalación de cámaras y videocámaras deberá respetar en todo caso los requisitos exigidos por la legislación vigente en la materia.” De acuerdo con los preceptos transcritos, la cámara reproduce la imagen de los afectados por este tipo de tratamientos y, a efectos de la LOPD, la imagen de una persona constituye un dato de carácter personal, toda vez que la información que capta concierne a personas y suministra información sobre la imagen personal de éstas, el lugar de su captación y la actividad desarrollada por el individuo al que la imagen se refiere. De conformidad con la normativa expuesta, la captación de imágenes a través de videocámaras constituye un tratamiento de datos personales, cuyo responsable se identifica, en el presente caso, con la entidad denunciada, responsable del sistema de videovigilancia instalado, toda vez que es quien decide sobre la finalidad contenido y uso del citado tratamiento. III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 El artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de carácter personal (en lo sucesivo LOPD), que señala que: “el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa.” El artículo 44.3.
- b)de la LOPD, en la redacción dada por la disposición final quincuagésima sexta de la Ley 2/2011, considera infracción grave “tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta ley y sus disposiciones de desarrollo” Debe tenerse en cuenta que las videocámaras no podrán captar imágenes de las personas que se encuentren fuera de la propiedad particular ya que el tratamiento de imágenes en lugares públicos sólo puede ser realizado, salvo que concurra autorización gubernativa, por las Fuerzas y Cuerpos de Seguridad, o que opere la excepción establecida el artículo 4.3 de la Instrucción 1/2006 de esta Agencia que establece: “las cámaras y videocámaras instaladas en espacios privados no podrán obtener imágenes de espacios públicos salvo que resulte imprescindible para la finalidad de vigilancia que se pretende, o resulte imposible evitarlo por razón de la ubicación de aquellas. En todo caso deberá evitarse cualquier tratamiento de datos innecesario para la finalidad perseguida” No obstante, en algunas ocasiones la protección de los espacios privados sólo es posible si las cámaras se ubican en espacios como las fachadas. A veces también resulta necesario captar los accesos, puertas o entradas, de modo que aunque la cámara se encuentre en el interior del edificio, resulta imposible no registrar parte de lo que sucede en la porción de vía pública que inevitablemente se capta Para que esta excepción resulte aplicable, no deberá existir una posibilidad de instalación alternativa. Debiendo tenerse en cuenta que: - El responsable del fichero adecuará el uso de la instalación de modo que el impacto en los derechos de los viandantes sea el mínimo posible. - En ningún caso se admitirá el uso de prácticas de vigilancia más allá del entorno objeto de la instalación y en particular en lo que se refiere a los espacios públicos circundantes, edificios contiguos y vehículos distintos de los que accedan al espacio vigilado. Cumplido el requisito de legitimación del tratamiento, el responsable del mismo, está sujeto a las restantes obligaciones impuestas por la normativa de protección de datos, entre las que cabe citar, en primer lugar, el deber de informar a los afectados, en los términos establecidos en el artículo 5.1 de la Ley Orgánica 15/1999 que dispone, teniendo en cuenta que en materia de videovigilancia, dadas sus especiales características, la información debe facilitarse conforme a la específica modalidad prevista en el artículo 3 de la Instrucción 1/2006, y a tal fin se deberá:
- a)Colocar, en las zonas videovigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8
- b)Tener a disposición de los/las interesados/as impresos en los que se detalle la información prevista en el artículo 5.1 de la Ley Orgánica 15/1999. En segundo lugar, si la cámara graba las imágenes se deberá de notificarse e inscribirse el fichero en el Registro General de Protección de Datos de conformidad con lo dispuesto en el artículo 7 de la Instrucción 1/2006, IV En primer lugar, hay que señalar que es la entidad EL CORTE INGLES la responsable del sistema de video vigilancia instalado en el establecimiento comercial sito en la calle (C/....1) de Madrid. Consta contrato de arrendamiento del servicio de seguridad suscrito con la empresa Plettac Instalaciones de Seguridad, cuyo objeto es la instalación y mantenimiento del sistema de seguridad, compuesto por 123 cámaras, interiores y exteriores, con objeto de proteger perimetralmente el centro para la protección y vigilancia del mismo, así como para facilitar labores de emergencia y evacuación. Debe tenerse en cuenta que la legitimación para el uso de instalaciones de videovigilancia se ciñe a la protección de entornos privados. La prevención del delito y la garantía de la seguridad en las vías públicas corresponden en exclusiva a las Fuerzas y Cuerpos de Seguridad del Estado. Por tanto la regla general es la prohibición de captar imágenes de la calle desde instalaciones privadas. No obstante, en algunas ocasiones la protección de los espacios privados sólo es posible si las cámaras se ubican en espacios como las fachadas. A veces también resulta necesario captar los accesos, puertas o entradas, de modo que aunque la cámara se encuentre en el interior del edificio, resulta imposible no registrar parte de lo que sucede en la porción de vía pública que inevitablemente se capta. Por todo ello el artículo 4.3 de la Instrucción 1/2006 dispone Para que esta excepción resulte aplicable, no deberá existir una posibilidad de instalación alternativa. Ahora bien hay que tener en cuenta que el artículo 4.3 de la Instrucción 1/2006 no constituye una habilitación para captar imágenes en espacios públicos. Y, en todo caso, el responsable del fichero adecuará el uso de la instalación de modo que el impacto en los derechos de los viandantes sea el mínimo posible. V En el caso que nos ocupa, aunque en el informe de actuaciones previas de inspección de fecha 25/1/17, Se consideró que existían dos cámaras (las catalogadas como 105 y 1) que captaban espacios de la vía pública que podrían vulnerar el principio de proporcionalidad; del análisis de las alegaciones de la entidad denunciada que manifiesta que: <<<<< * Cámara 105. Lo que se aprecia es una mínima parte del espacio adyacente al centro comercial, donde se pueden ver aparcadas unas motos. Se trata de uno de los accesos al centro. * Cámara 01. Se trata de una cámara fija situada en el interior del establecimiento y emplaza en una de los accesos y salidas del citado centro comercial. Se capta una parte de la acera adyacente al exterior siendo la captación de la misma una parte mínima imprescindible si que se pueda identificar a las personas a esa distancia >>>>> y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 analizando el espacio captado por ambas cámaras, y siempre que se mantengan en las mismas condiciones, puede entenderse existe un tratamiento proporcional que justificaría su instalación, de acuerdo al fin pretendido, siendo la porción de vía pública que se capta la mínima posible. Siendo de aplicación al Derecho administrativo sancionador, con matices pero sin excepciones, los principios inspiradores del orden penal, adquiere plena virtualidad el principio de presunción de inocencia en el ámbito de la potestad sancionadora, que desplaza a quien acusa la carga de probar los hechos y su autoría. En tal sentido, el Tribunal Constitucional, en su sentencia 76/1990, de 26/04, considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. En atención a lo expuesto, teniendo en cuenta que en el presente caso se observa una falta de acreditación en los hechos denunciados, al no haberse constatado que a través de dichas cámaras se puedan obtener imágenes de espacios o superficies pertenecientes a la vía pública frente a la certeza y concreción exigida en estos supuestos para poder calificar la conducta como sancionable, debe concluirse que no existe prueba de cargo suficiente, por lo que procede acordar en archivo del presente expediente, debiendo entenderse que las cámaras instaladas por la denunciada sólo captan un ámbito de su propiedad, por lo que se trataría de un ámbito excluido de la aplicación de la LOPD. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a EL CORTE INGLES, S.A De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es