1/7 Procedimiento Nº: PS/00094/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 26 de noviembre de 2020, tuvo entrada en esta Agencia Española de Protección de Datos un escrito presentado por A.A.A. (en lo sucesivo, el reclamante), mediante el que formula reclamación contra B.B.B. con NIF ***NIF.1 (en adelante, el reclamado), por la instalación de un sistema de videovigilancia instalado en Avenida ***DIRECCIÓN.1, ***LOCALIDAD.1 existiendo indicios de un posible incumplimiento de lo dispuesto en la normativa de protección de datos de carácter personal. El reclamante señala que la cafetería "BAR CAFETERÍA ***BAR.1", gestionada por el reclamado, cuenta con una cámara susceptible de captar la vía pública, así como la zona privativa de la comunidad de propietarios del edificio ***DIRECCIÓN.1 en la que se encuentra el establecimiento del reclamante, y que, además, no existe cartel de zona videovigilada. Aporta reportaje fotográfico de la cámara en la terraza y el posible ángulo de captación. SEGUNDO: Con carácter previo a la admisión a trámite de esta reclamación, se trasladó al reclamado, de conformidad con lo establecido en el artículo 65.4 la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). El reclamado remitió un escrito a esta Agencia aportando copia del contrato con la empresa instaladora Grupo 8x8 y tres fotografías de las captaciones que realizan las dos cámaras exteriores, de las que se deprende que una capta la terraza anexa al establecimiento y otra la puerta de acceso y un espacio bastante amplio de vía pública. Asimismo, se observa la existencia de cartel de zona videovigilada, ubicado en la fachada exterior de entrada al establecimiento, pero dada la lejanía de la captación de la fotografía, no es legible el contenido del mismo. TERCERO: La reclamación fue admitida a trámite mediante resolución de 24 de febrero de 2021. CUARTO: Con fecha 23 de abril de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción de los artículos 5.1.
- c)y 13 del RGPD, tipificada en el artículo 83.5 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 QUINTO: Con fecha 24 de junio de 2021 se reciben en esta Agencia alegaciones al acuerdo de inicio formuladas por el reclamado en las que indica que, tal como consta en las fotografías que ya aportó, una de las cámaras “(…) capta directamente la entrada a mi establecimiento, y solo en su margen izquierdo se ve, ineludiblemente, un trozo parcial y muy pequeño de la zona de paso a otros establecimientos o viviendas, siendo imposible captar menos. La zona que puede verse, al margen de la puerta de mi establecimiento, es muy limitada, sin que afecte ni a la entrada de ningún edificio, ni de ningún establecimiento público, (…)” Aporta acta notarial de presencia con varias fotografías. En algunas de esas fotografías, figura el cartel informativo de zona videovigilada colocado sobre la puerta de acceso al establecimiento. En otras, aparecen las imágenes que se captan con la cámara orientada hacia la zona privativa que señala el reclamante, en la que observa la fachada del establecimiento y una pequeña parte alrededor de ella. Sin embargo, no se visualiza la tienda del reclamante. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PRIMERO: Instalación de varias cámaras que recogen imágenes de personas que se encuentran en el interior del espacio privativo de la propiedad "BAR CAFETERÍA ***BAR.1", sita en Avenida ***DIRECCIÓN.1, ***LOCALIDAD.1 y de otra exterior, situada en la parte superior del cerramiento de la terraza, desde la que se observa una franja alrededor de la fachada del establecimiento. SEGUNDO: Instalación de cartel indicativo de zona videovigilada colocado en la fachada, sobre la puerta de acceso. TERCERO: El reclamado ha aportado un acta notarial de presencia con varias fotografías. En ellas, aparecen las imágenes que se captan con la cámara orientada hacia la zona privativa que señala el reclamante, en la que observa la fachada del establecimiento y una pequeña parte alrededor de ella. Sin embargo, no se visualiza la tienda del reclamante. CUARTO: El responsable de los dispositivos es B.B.B. NIF ***NIF.1. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II La imagen física de una persona a tenor del artículo 4.1 del RGPD es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. El artículo 4.2 del RGPD define el concepto de “tratamiento” de datos personales. El artículo 22 de la LOPDGDD establece las especificidades del tratamiento de datos con fines de videovigilancia, indicando lo siguiente: “1. Las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. 2. Solo podrán captarse imágenes de la vía pública en la medida en que resulte imprescindible para la finalidad mencionada en el apartado anterior. No obstante, será posible la captación de la vía pública en una extensión superior cuando fuese necesario para garantizar la seguridad de bienes o instalaciones estratégicos o de infraestructuras vinculadas al transporte, sin que en ningún caso pueda suponer la captación de imágenes del interior de un domicilio privado. 3. Los datos serán suprimidos en el plazo máximo de un mes desde su captación, salvo cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En tal caso, las imágenes deberán ser puestas a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación. No será de aplicación a estos tratamientos la obligación de bloqueo prevista en el artículo 32 de esta ley orgánica. 4. El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 En todo caso, el responsable del tratamiento deberá mantener a disposición de los afectados la información a la que se refiere el citado reglamento. 5. Al amparo del artículo 2.2.
- c)del Reglamento (UE) 2016/679, se considera excluido de su ámbito de aplicación el tratamiento por una persona física de imágenes que solamente capten el interior de su propio domicilio. Esta exclusión no abarca el tratamiento realizado por una entidad de seguridad privada que hubiera sido contratada para la vigilancia de un domicilio y tuviese acceso a las imágenes. 6. El tratamiento de los datos personales procedentes de las imágenes y sonidos obtenidos mediante la utilización de cámaras y videocámaras por las Fuerzas y Cuerpos de Seguridad y por los órganos competentes para la vigilancia y control en los centros penitenciarios y para el control, regulación, vigilancia y disciplina del tráfico, se regirá por la legislación de transposición de la Directiva (UE) 2016/680, cuando el tratamiento tenga fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluidas la protección y la prevención frente a las amenazas contra la seguridad pública. Fuera de estos supuestos, dicho tratamiento se regirá por su legislación específica y supletoriamente por el Reglamento (UE) 2016/679 y la presente ley orgánica. 7. Lo regulado en el presente artículo se entiende sin perjuicio de lo previsto en la Ley 5/2014, de 4 de abril, de Seguridad Privada y sus disposiciones de desarrollo. 8. El tratamiento por el empleador de datos obtenidos a través de sistemas de cámaras o videocámaras se somete a lo dispuesto en el artículo 89 de esta ley orgánica.” III De conformidad con lo expuesto, el tratamiento de imágenes a través de un sistema de videovigilancia, para ser conforme con la normativa vigente, debe cumplir los requisitos siguientes: - Respetar el principio de proporcionalidad. - Cuando el sistema esté conectado a una central de alarma, únicamente podrá ser instalado por una empresa de seguridad privada que reúna los requisitos contemplados en el artículo 5 de la Ley 5/2014 de Seguridad Privada, de 4 de abril. - Las videocámaras no podrán captar imágenes de las personas que se encuentren fuera del espacio privado en donde esté instalado el sistema de videovigilancia, ya que el tratamiento de imágenes en lugares públicos sólo puede ser realizado, salvo que concurra autorización gubernativa, por las Fuerzas y Cuerpos de Seguridad. Tampoco pueden captarse ni grabarse espacios propiedad de terceros sin el consentimiento de sus titulares, o, en su caso, de las personas que en ellos se encuentren. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 Esta regla admite alguna excepción ya que, en algunas ocasiones, para la protección de espacios privados, donde se hayan instalado cámaras en fachadas o en el interior, puede ser necesario para garantizar la finalidad de seguridad la grabación de una porción de la vía pública. Es decir, las cámaras y videocámaras instaladas con fines de seguridad no podrán obtener imágenes de la vía pública salvo que resulte imprescindible para dicho fin, o resulte imposible evitarlo por razón de la ubicación de aquéllas y extraordinariamente también se recogerá el espacio mínimo para dicha finalidad. Por lo tanto, las cámaras podrían excepcionalmente captar la porción mínimamente necesaria para la finalidad de seguridad que se pretende. - Se deberá cumplir el deber de informar a los afectados previsto en los artículos 12 y 13 del RGPD, y 22 de la LOPDGDD, en los términos ya señalados. - El responsable deberá llevar un registro de actividades de los tratamientos efectuados bajo su responsabilidad en el que se incluya la información a la que hace referencia el artículo 30.1 del RGPD. - Las cámaras instaladas no pueden obtener imágenes de espacio privativo de tercero y/o espacio público sin causa justificada debidamente acreditada, ni pueden afectar a la intimidad de transeúntes que transiten libremente por la zona. No está permitida, por tanto, la colocación de cámaras hacia la propiedad privada de vecinos con la finalidad de intimidarlos o afectar a su ámbito privado sin causa justificada. - En ningún caso se admitirá el uso de prácticas de vigilancia más allá del entorno objeto de la instalación y en particular, no pudiendo afectar a los espacios públicos circundantes, edificios contiguos y vehículos distintos de los que accedan al espacio vigilado. En resumen y para facilitar la consulta a los interesados la Agencia Española de Protección de Datos ofrece a través de su página web [https://www.aepd.es] acceso a la legislación en materia de protección de datos personales, incluyendo el RGPD y la LOPDGDD (apartado “Informes y resoluciones” / “normativa”), así como a la Guía sobre el uso de videocámaras para seguridad y otras finalidades, así como la Guía para el cumplimiento del deber de informar (ambas disponibles en el apartado “Guías y herramientas”). También resulta de interés, en caso de realizar tratamientos de datos de bajo riesgo, la herramienta gratuita Facilita (en el apartado “Guías y herramientas”), que, mediante unas preguntas concretas, permite valorar la situación del responsable respecto del tratamiento de datos personales que lleva a cabo, y en su caso, generar diversos documentos, cláusulas informativas y contractuales, así como un anexo con medidas de seguridad orientativas consideradas mínimas. IV En el presente caso, la reclamación se presentó porque el reclamado ha instalado cámaras de videovigilancia susceptibles de captar la vía pública, así como la zona privativa de la comunidad de propietarios del edificio ***EDIFICIO.1 en la que se encuentra el establecimiento del reclamante, y que, además, no existe cartel de zona videovigilada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 Como prueba de estas manifestaciones, se aportaron las evidencias señaladas en el apartado de “Hechos” de este acuerdo. Los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, se establecen en el artículo 58.2 del RGPD. Entre ellos se encuentran la potestad de dirigir un apercibimiento -artículo 58.2.b)-, la potestad de imponer una multa administrativa con arreglo al artículo 83 del RGPD -artículo 58.2 i)-, o la potestad de ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un plazo especificado -artículo 58. 2 d)-. V De conformidad con las evidencias de las que se dispone y que han quedado acreditadas en el procedimiento sancionador, el reclamado tiene instaladas varias cámaras que recogen imágenes de personas que se encuentran en el interior del espacio privativo de la propiedad "BAR CAFETERÍA ***BAR.1", sita en ***DIRECCIÓN.1, ***LOCALIDAD.1 y de otra exterior, situada en la parte superior del cerramiento de la terraza, desde la que se observa una franja alrededor de la fachada del establecimiento. Asimismo, dispone de cartel indicativo de zona videovigilada colocado en la fachada, sobre la puerta de acceso. Los hechos probados ponen de manifiesto la existencia de una cámara instalada en el exterior del inmueble que graba mínimamente el espacio imprescindible para los fines de vigilancia para los que se han instalado dichas cámaras. VI De acuerdo con lo expuesto, no cabe concluir que los dispositivos objeto de la reclamación capten imágenes más allá de un espacio mínimo fuera de su propiedad particular, y además, dispone de cartel informativo de la existencia de dichas cámaras, de manera que no cabe hablar de conducta infractora en el ámbito del marco de la normativa reguladora de protección de datos, motivo por el cual se procede al Archivo del presente procedimiento. Por lo tanto, de acuerdo con la legislación aplicable, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ORDENAR el ARCHIVO del presente procedimiento al no quedar acreditada infracción administrativa alguna. SEGUNDO: NOTIFICAR la presente resolución a B.B.B., con NIF ***NIF.1. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 948-161220 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es