1/8 Procedimiento Nº PS/00095/2017 RESOLUCIÓN: R/01680/2017 En el procedimiento sancionador PS/00095/2017, instruido por la Agencia Española de Protección de Datos a la entidad EL CORTE INGLES, S.A., vista la denuncia presentada y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 22/4/16 tiene entrada en esta Agencia escrito de D. A.A.A. (en adelante el denunciante) comunicando posible infracción a la Ley Orgánica 15/1999 motivada por cámaras de videovigilancia cuyo titular es la entidad EL CORTE INGLES, S.A. (en adelante el denunciado) instaladas en el centro ubicado en (C/...1) Santander, enfocado hacia vía pública. SEGUNDO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/02908/2016. Concluyéndose la investigación con el informe de la Inspección de Datos de fecha 7/2/17 del que se deduce lo siguiente: * El sistema de videovigilancia ha sido instalado por la empresa Plettac Electronics Seguridad S.A. empresa de seguridad registrada en el Ministerio del Interior con el número *****. * Las causas que han motivado la instalación son debido a que el edificio se encuentro enclavado en un núcleo urbano, lo que conlleve a una serie de riesgos y vulnerabilidades. Ello requiere que el edificio se encuentre protegido perimetralmente mediante cámaras de videovigilancia con el objetivo de la protección y vigilancia del mismo y en su caso facilitar las labores de emergencia y evacuación del centro. Además manifiestan que deben cumplir con los requisitos y las exigencias de la Ley de Seguridad Privada ya que cuanta con espacios que deben adoptar dispositivos activos y pasivos de seguridad obligatoria, como son la cámara acorazada, Armería y Joyería. * Aportan copia del formulario informativo que tienen a disposición del cliente. * Aportan fotografía del cartel donde se informa de la existencia de cámaras de videovigilancia e informan sobre el responsable ante el que se pueden ejercer los derechos de protección de datos de carácter personal. Dichos carteles están colocados en los accesos al centro comercial. * Aportan plano de la ubicación de las cámaras, fotografía de las mismas y fotografías de las imágenes que captan cada una de ellas, de lo que se desprende: -- En el exterior hay instaladas 19 cámaras y según se observa en las fotografías, captan distintas fachadas y accesos del edificio. Las cámaras identificadas como “Entrada puerta6” y ”C6” captan parte de la vía pública. -- En el interior han sido instaladas 22 cámaras orientadas hacia el exterior captando las puertas de acceso y muelle de carga. La cámara identificada como número C42, capta la parte de la vía pública correspondiente al ancho de la puerta de acceso. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 -- El resto de las cámaras están instaladas en el interior y captan zonas interiores del Centro comercial. * El acceso al sistema de videovigilancia está reservado al Delegado de Seguridad del Centro Comercial y al Delegado de Seguridad Regional así como al personal de seguridad de la empresa Securitas, S.A., cuyo contrato aportan. * Las imágenes se graban en un soporte digital con una configuración temporal cíclica y limitada conservándose las imágenes durante 7 días. Para acceder a las grabaciones es necesario hacerlo a través de una clave, así como, estar identificado como personal autorizado. * Aportan copia de una circular expuesta en el tablón de anuncios de la empresa en el que se informa a los trabajadores de la existencia de un sistema de videovigilancia y de la finalidad del mismo. * Aportan copia de la resolución del Director de la Agencia Española de Protección de Datos de inscripción del fichero de videovigilancia en el Registro General de Protección de Datos con el código ***CÓD.1. TERCERO: Con fecha 28/3/17 la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a EL CORTE INGLES S.A. con arreglo a lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por la presunta infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.b de la citada Ley Orgánica. CUARTO: Por parte de la representante de la entidad denunciada se han presentado las siguientes alegaciones al Acuerdo de Inicio: Que en relación a las cámaras que la Agencia considera que incumple la normativa se manifiesta lo siguiente: * Cámara “Entrada puerta 6”. Se trata de una cámara exterior fija situada en uno de los accesos y salidas de clientes. Se capta una parte adyacente del espacio exterior del Centro Comercial y que forma parte de uno de los accesos del mismo. * Cámara c6. Es una cámara fija situada en el exterior del establecimiento, emplazada en un acceso y salida de clientes del citado establecimiento, captando parte de la fachada y del espacio adyacente. * Cámara c36. Es una cámara fija situada en el interior, se capta una parte mínima imprescindible del espacio exterior adyacente al centro comercial, no se distingue claramente el exterior que en cualquier caso sería una captación proporcional al fin legítimo. Que la vigilancia del exterior de los centros comerciales de la entidad denunciada, requiere la instalación de cámaras de videovigilancia en las fachadas de los mismos con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 objeto de controlar los accesos al establecimiento y las fachadas del mismo para evitar actos delictivos QUINTO: Con fecha 7/6/17 se apertura, por el instructor del procedimiento un periodo de pruebas consistente en dar por reproducidos a efectos probatorios la denuncia interpuesta y los documentos que forman parte del expediente de actuaciones previas de inspección E/2908/16. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/95/2017 presentadas por EL CORTE INGLES, S.A. y la documentación que a ellas acompaña. FUNDAMENTO DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 2.1 de la LOPD señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el apartado
- a)del artículo 3 de la LOPD, como “Cualquier información concerniente a personas físicas identificadas o identificables”. El artículo 3 de la LOPD define en su letra
- c)el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. La garantía del derecho a la protección de datos, conferida por la normativa de referencia, requiere que exista una actuación que constituya un tratamiento de datos personales en el sentido expresado. En otro caso las mencionadas disposiciones no serán de aplicación. De acuerdo con aquella definición de tratamiento de datos personales, la captación de imágenes de las personas constituye un tratamiento de datos personales incluido en el ámbito de aplicación de la normativa citada. El artículo 5.1f) del Real Decreto 1720/2007, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/99, considera datos de carácter personal a “cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables”. Atendiendo a la definición contenida en las normas citadas, que considera dato de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”, las captaciones de imágenes indicadas se ajustarán a este concepto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 siempre que permitan la identificación de las personas que aparecen en dichas imágenes. Por su parte, la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras (en lo sucesivo Instrucción 1/2006), en sus artículos 1.1 y 2 señala lo siguiente: “Artículo 1.1. La presente Instrucción se aplica al tratamiento de datos personales de imágenes de personas físicas identificadas o videocámaras. El tratamiento objeto de esta Instrucción comprende la grabación, captación, transmisión, conservación, y almacenamiento de imágenes, incluida su reproducción o emisión en tiempo real, así como el tratamiento que resulte de los datos personales relacionados con aquéllas. Se considerará identificable una persona cuando su identidad pueda determinarse mediante los tratamientos a los que se refiere la presente instrucción, sin que ello requiera plazos o actividades desproporcionados. Las referencias contenidas en esta Instrucción a videocámaras y cámaras se entenderán hechas también a cualquier medio técnico análogo y, en general, a cualquier sistema que permita los tratamientos previstos en la misma.” “Artículo 2. 1. Sólo será posible el tratamiento de los datos objeto de la presente instrucción, cuando se encuentre amparado por lo dispuesto en el artículo 6.1 y 2 y el artículo 11.1 y 2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. 2. Sin perjuicio de lo establecido en el apartado anterior la instalación de cámaras y videocámaras deberá respetar en todo caso los requisitos exigidos por la legislación vigente en la materia.” De acuerdo con los preceptos transcritos, la cámara reproduce la imagen de los afectados por este tipo de tratamientos y, a efectos de la LOPD, la imagen de una persona constituye un dato de carácter personal, toda vez que la información que capta concierne a personas y suministra información sobre la imagen personal de éstas, el lugar de su captación y la actividad desarrollada por el individuo al que la imagen se refiere. De conformidad con la normativa expuesta, la captación de imágenes a través de videocámaras constituye un tratamiento de datos personales, cuyo responsable se identifica, en el presente caso, con la entidad denunciada, responsable del sistema de videovigilancia instalado, toda vez que es quien decide sobre la finalidad contenido y uso del citado tratamiento. III El artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de carácter personal (en lo sucesivo LOPD), que señala que: “el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 El artículo 44.3.
- b)de la LOPD, en la redacción dada por la disposición final quincuagésima sexta de la Ley 2/2011, considera infracción grave “tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta ley y sus disposiciones de desarrollo” Debe tenerse en cuenta que las videocámaras no podrán captar imágenes de las personas que se encuentren fuera de la propiedad particular ya que el tratamiento de imágenes en lugares públicos sólo puede ser realizado, salvo que concurra autorización gubernativa, por las Fuerzas y Cuerpos de Seguridad, o que opere la excepción establecida el artículo 4.3 de la Instrucción 1/2006 de esta Agencia que establece: “las cámaras y videocámaras instaladas en espacios privados no podrán obtener imágenes de espacios públicos salvo que resulte imprescindible para la finalidad de vigilancia que se pretende, o resulte imposible evitarlo por razón de la ubicación de aquellas. En todo caso deberá evitarse cualquier tratamiento de datos innecesario para la finalidad perseguida” No obstante, en algunas ocasiones la protección de los espacios privados sólo es posible si las cámaras se ubican en espacios como las fachadas. A veces también resulta necesario captar los accesos, puertas o entradas, de modo que aunque la cámara se encuentre en el interior del edificio, resulta imposible no registrar parte de lo que sucede en la porción de vía pública que inevitablemente se capta Para que esta excepción resulte aplicable, no deberá existir una posibilidad de instalación alternativa. Debiendo tenerse en cuenta que: - El responsable del fichero adecuará el uso de la instalación de modo que el impacto en los derechos de los viandantes sea el mínimo posible. - En ningún caso se admitirá el uso de prácticas de vigilancia más allá del entorno objeto de la instalación y en particular en lo que se refiere a los espacios públicos circundantes, edificios contiguos y vehículos distintos de los que accedan al espacio vigilado. Cumplido el requisito de legitimación del tratamiento, el responsable del mismo, está sujeto a las restantes obligaciones impuestas por la normativa de protección de datos, entre las que cabe citar, en primer lugar, el deber de informar a los afectados, en los términos establecidos en el artículo 5.1 de la Ley Orgánica 15/1999 que dispone, teniendo en cuenta que en materia de videovigilancia, dadas sus especiales características, la información debe facilitarse conforme a la específica modalidad prevista en el artículo 3 de la Instrucción 1/2006, y a tal fin se deberá:
- a)Colocar, en las zonas videovigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados y
- b)Tener a disposición de los/las interesados/as impresos en los que se detalle la información prevista en el artículo 5.1 de la Ley Orgánica 15/1999. En segundo lugar, si la cámara graba las imágenes se deberá de notificarse e inscribirse el fichero en el Registro General de Protección de Datos de conformidad con lo dispuesto en el artículo 7 de la Instrucción 1/2006, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 IV En primer lugar, hay que señalar que es la entidad EL CORTE INGLES la responsable del sistema de video vigilancia instalado en el establecimiento comercial sito en el polígono XXX (Santander) Consta contrato de arrendamiento del servicio de seguridad suscrito con la empresa Plettac Instalaciones de Seguridad, cuyo objeto es la instalación y mantenimiento del sistema de seguridad, compuesto por cámaras, interiores y exteriores, con objeto de proteger perimetralmente el centro para la protección y vigilancia del mismo, así como para facilitar labores de emergencia y evacuación. Debe tenerse en cuenta que la legitimación para el uso de instalaciones de videovigilancia se ciñe a la protección de entornos privados. La prevención del delito y la garantía de la seguridad en las vías públicas corresponden en exclusiva a las Fuerzas y Cuerpos de Seguridad del Estado. Por tanto la regla general es la prohibición de captar imágenes de la calle desde instalaciones privadas. No obstante, en algunas ocasiones la protección de los espacios privados sólo es posible si las cámaras se ubican en espacios como las fachadas. A veces también resulta necesario captar los accesos, puertas o entradas, de modo que aunque la cámara se encuentre en el interior del edificio, resulta imposible no registrar parte de lo que sucede en la porción de vía pública que inevitablemente se capta. Por todo ello el artículo 4.3 de la Instrucción 1/2006 dispone Para que esta excepción resulte aplicable, no deberá existir una posibilidad de instalación alternativa. Ahora bien hay que tener en cuenta que el artículo 4.3 de la Instrucción 1/2006 no constituye una habilitación para captar imágenes en espacios públicos. Y, en todo caso, el responsable del fichero adecuará el uso de la instalación de modo que el impacto en los derechos de los viandantes sea el mínimo posible. V En el caso que nos ocupa, aunque en el informe de actuaciones previas de inspección, de fecha 7/2/17, se consideró que existían tres cámaras (las catalogadas como “entrada puerta 6”, “C6” y “C42”) que captaban espacios de la vía pública que podrían vulnerar el principio de proporcionalidad; del análisis de las alegaciones de la entidad denunciada que manifiesta que: <<<<< * Cámara “Entrada puerta 6”. Se trata de una cámara exterior fija situada en uno de los accesos y salidas de clientes. Se capta una parte adyacente del espacio exterior del Centro Comercial y que forma parte de uno de los accesos del mismo. * Cámara c6. Es una cámara fija situada en el exterior del establecimiento, emplazada en un acceso y salida de clientes del citado establecimiento, captando parte de la fachada y del espacio adyacente. * Cámara c36. Es una cámara fija situada en el interior, se capta una parte mínima imprescindible del espacio exterior adyacente al centro comercial, no se distingue claramente el exterior que en cualquier caso sería una captación proporcional al fin legítimo.>>>>> y analizando el espacio captado por ambas cámaras, y siempre que se mantengan en las mismas condiciones, puede entenderse existe un tratamiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 proporcional que justificaría su instalación, de acuerdo al fin pretendido, siendo la porción de vía pública que se capta la mínima posible. Siendo de aplicación al Derecho administrativo sancionador, con matices pero sin excepciones, los principios inspiradores del orden penal, adquiere plena virtualidad el principio de presunción de inocencia en el ámbito de la potestad sancionadora, que desplaza a quien acusa la carga de probar los hechos y su autoría. En tal sentido, el Tribunal Constitucional, en su sentencia 76/1990, de 26/04, considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. En atención a lo expuesto, teniendo en cuenta que en el presente caso se observa una falta de acreditación en los hechos denunciados, al no haberse constatado que a través de dichas cámaras se puedan obtener imágenes de espacios o superficies pertenecientes a la vía pública frente a la certeza y concreción exigida en estos supuestos para poder calificar la conducta como sancionable, debe concluirse que no existe prueba de cargo suficiente, por lo que procede acordar en archivo del presente expediente, debiendo entenderse que las cámaras instaladas por la denunciada sólo captan un ámbito de su propiedad, por lo que se trataría de un ámbito excluido de la aplicación de la LOPD. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a EL CORTE INGLES, S.A De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es