PS-00096-2020

1/8  Procedimiento Nº: PS/00096/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 5 de noviembre de 2019, tuvo entrada en esta Agencia Española de Protección de Datos un escrito presentado por A.A.A. (en lo sucesivo, el reclamante), mediante el que formula reclamación contra B.B.B. con NIF ***NIF.1 (en adelante, el reclamado), por la instalación de un sistema de videovigilancia en un inmueble sito en ***DIRECCION.1 ESQUINA ***DIRECCION.2, existiendo indicios de un posible incumplimiento de lo dispuesto en la normativa de protección de datos personales. Los motivos que fundamentan la reclamación son los siguientes: “HA INSTALADO UNA CÁMARA DE VIDEOVIGILANCIA, GRABANDO LA VÍA PÚBLICA Y A LOS VIANDANTES, EN LA ***DIRECCION.1 ESQUINA ***DIRECCION.2. LA CÁMARA LA HA ESCONDIDO DETRÁS DE UN CARTEL PUBLICITARIO […]. YA PUSE UNA PRIMERA DENUNCIA EL 4 DE JUNIO Y AÚN NO SE HA ACTUADO […]” Adjunta reportaje fotográfico de la cámara en cuestión. SEGUNDO: Con carácter previo a la admisión a trámite de esta reclamación, se trasladó al reclamado, de conformidad con lo establecido en el artículo 65.4 la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). El citado traslado fue devuelto por “ausente” “Sobrante (No retirado en oficina)” el 5/12/2020. El día 12/12/2019 se efectuó una reiteración del traslado de la reclamación, siendo nuevamente devuelto por “ausente y “Sobrante (No retirado en oficina)” el 28/12/2019. TERCERO: La reclamación fue admitida a trámite mediante resolución de 13 de marzo de 2020. CUARTO: En el sistema de información de la Agencia no consta la denuncia anterior a que hace referencia el reclamante en su escrito. QUINTO: Con fecha 16 de junio de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 5.1.

1. c)del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), tipificada en el artículo 83.5 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 SEXTO: Al haber resultado infructuosa la notificación del acuerdo de inicio, se procedió a publicar un anuncio de notificación en el Tablón Edictal Único del Boletín Oficial del Estado el 25 de agosto de 2020, de conformidad con lo establecido en el artículo 44 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP). SÉPTIMO: Con fecha 20 de octubre de 2020 el instructor del procedimiento acordó y procedió a notificar la apertura de un período de práctica de pruebas, solicitando al Ayuntamiento de Puente Genil para que, en el plazo de 30 días y previo traslado de la Policía Local al estabelecimiento, emitiera el correspondiente informe donde se constatase:  Dirección efectiva del establecimiento comercial en la dirección indicada y estado actual del mismo.  Existencia de dispositivo de videovigilancia referido.  Orientación de las cámaras instaladas y zona de captación de estas. De permitirlo el reclamado, se solicita se observen y se informe acerca de las imágenes visualizadas en el monitor.  Cualquier otro aspecto que se considere oportuno reseñar. OCTAVO: El 18 de noviembre de 2020 el reclamado presenta un escrito en la Sede Electrónica de la Agencia Española de Protección de Datos en el que solicita copia del expediente y realiza las siguientes manifestaciones: “SOLICITO EXPEDIENTE COMPLETO DEL PROCEDIMIENTO N.º PS/00096/2020, YA QUE SOLO HE RECIBIÓ EN FECHA 03-11-2020 UNA CARTA CERTIFICADA DONDE SE ME INFORMA QUE SE HA ABIERTO UN PERIODO DE 30 DÍAS PARA LA FORMULACIÓN DE PRÁCTICAS DE PRUEBAS, PERO NO TENGO INFORMACIÓN NINGUNA SOBRE LO QUE SE REFIERE PARA LA REALIZACIÓN DE ELLAS Y NI CONOZCO NADA DE ESTE EXPEDIENTE. POR LO QUE SOLICITO LO ANTES QUE SEA POSIBLE EL MENCIONADO EXPEDIENTE PARA PODER ATENDER A SUS PETICIONES.” NOVENO: El día 19 de diciembre de 2020 el reclamado presenta un nuevo escrito en el que expone los siguiente: “LE INFORMO QUE HE RECIBIDO UNA CARTA CERTIFICADA A MI NOMBRE EL DÍA 03/11/2020, HACIENDO MENCIÓN AL PROCEDIMIENTO PS/00096/2020, QUE LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS HA INICIADO CONTRA MI PERSONA, B.B.B.. YO NO TENGO NINGUNA RELACIÓN CON EL DOMICILIO AL QUE HACEN REFERENCIA, EN SU ESCRITO DE FECHA 21/10/2020 CON EL DOMICILIO DE LA ***DIRECCION.2, AL QUE HAN ASOCIADO CON MI PERSONA, B.B.B.. POR LO QUE ENTIENDO QUE PRESUNTAMENTE ESTE PROCEDIMIENTO SE HA REALIZADO DE UNA FORMA ERRÓNEA O INCORRECTA, POR LO QUE DE C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 FACTO SE ENTIENDE QUE PUEDE SER NULO DE HECHO, YA QUE NO SOY ESA PERSONA A LA QUE ESTÁ BUSCANDO LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS. POR TAL MOTIVO LES RUEGO PROCEDA A SU ARCHIVO DEL MENCIONADO PROCEDIMIENTO SANCIONADOR, POR NO TENER NINGUNA RELACIÓN CON LO QUE HAN EXPRESADO EN DICHA CARTA.” DÉCIMO: El día 23 de noviembre de 2020 se remite copia del expediente al reclamado. La notificación de esta copia es devuelta por “Sobrante (No retirada en oficina”) UNDÉCIMO: El 9 de diciembre tiene entrada en esta Agencia el escrito de contestación de la Jefatura de la Policía Local del Ayuntamiento de Puente Genil en referencia a la solicitud de colaboración acordada como prueba. Este escrito manifiesta lo siguiente: “[…] En fecha 17 de noviembre de 2020, se traslada al lugar indicado la patrulla con indicativo (...), compuesta por los Funcionarios de Policía Local firmantes, pudiendo constatar en relación con lo solicitado lo siguiente: 1. Que efectivamente, en el ***DIRECCION.1 ESQUINA ***DIRECCION.2, se observa el establecimiento comercial: “***EMPRESA.1.” con C.I.F. ***CIF.1, encontrándose completamente cerrado, con la persiana bajada y colocado sobre esta un cartel en el que se puede leer la leyenda “CERRADO”. 2. Que en relación con la existencia del dispositivo de videovigilancia objeto del procedimiento, en el día de la fecha no se observa instalación de dispositivo alguno en ningún punto de la superficie de la fachada perteneciente al establecimiento referido. Que posteriormente y tras las gestiones oportunas, se localiza al reclamado D. B.B.B., con DNI ***NIF.1, […] domiciliado en ***DIRECCION.3 […], quien manifiesta ser el Administrador único de la empresa ***EMPRESA.1. (y así consta según publicación realizada en el Boletín del Registro Mercantil núm. 121 de 28 de junio de 2017 del anuncio de nombramientos de la empresa ***EMPRESA.1., inscrito en el Registro Mercantil el día ***FECHA.1 con los datos de inscripción (…)), recibiendo a los actuantes frente al Establecimiento objeto del procedimiento, informando a los mismos que efectivamente y de forma voluntaria, instaló una cámara de videovigilancia con el único propósito de controlar la entrada adyacente del establecimiento, ya que no podía controlar el acceso al mismo cuando se desplazaba entre las dependencias del propio establecimiento durante la realización de su actividad profesional. Que asimismo el Sr. B.B.B. reitera en varias ocasiones que el referido dispositivo no disponía de grabador ni ningún otro sistema de almacenamiento de imágenes, y que su único propósito era el visionado de la imagen estática de la referida entrada del establecimiento, limitándose el área de visionado única y exclusivamente al umbral de la misma, no captando esta, imagen alguna perteneciente al ámbito de la vía pública, por lo que insiste que no dispone de imagen o vídeo que mostrar a los intervinientes ya que las mismas no se almacenaban en soporte o dispositivo alguno. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 Que por lo anteriormente expuesto, el Sr. B.B.B. indica a los intervinientes que no entiende el objeto de la presente reclamación, ya que el reclamante no reside en la zona ni se dirigió a él en ninguna ocasión o de modo alguno por entender sus derechos vulnerados. No obstante, el reclamado manifiesta que el citado dispositivo apenas permaneció instalado unas semanas y que fue retirado por iniciativa propia con anterioridad a la notificación de este procedimiento. Que el reclamado, mostrando su voluntad de colaboración, invita a los actuantes a acceder al establecimiento objeto del presente procedimiento, a fin de que comprueben como efectivamente, al día de la fecha no se encuentra realizando actividad alguna, mostrando a estos, tanto el dispositivo de videovigilancia desconectado objeto del presente procedimiento, como la zona en la fachada donde tuvo lugar la instalación de este. Que se hace constar que el Sr. B.B.B. desea aportar los siguientes documentos para que se adjunten al presente informe a los efectos que procedan:  Escrito de alegaciones ‘A la atención de la Policía Local de Puente Genil’.  Copia DNI B.B.B..  Certificado de Empadronamiento.  Carta recibida de la Agencia Española de Protección de Datos, sobre procedimiento PS/00096/2020.  Certificado de correos.  Copia escrito de alegaciones presentado a la Agencia Española de Protección de Datos N.º O00007128E2000011069.  Copia escrito de alegaciones presentado a la Agencia Española de Protección de Datos N.º O00007128E2000011250 […]” El informe de la Policía Local adjunta un reportaje fotográfico de:  Establecimiento y sus entradas.  Lugar de la fachada donde se instaló el dispositivo y de la zona videovigilada según las declaraciones realizadas por el reclamado.  Dispositivos de videovigilancia retirados. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 HECHOS PRIMERO: En las imágenes anexas a la reclamación presentada el 5 de noviembre de 2019, se comprueba que en el establecimiento comercial situado en ***DIRECCION.1 ESQUINA ***DIRECCION.2, existió una cámara instalada en el soporte de iluminación de un rótulo publicitario. SEGUNDO: El ***EMPRESA.1. establecimiento comercial se corresponde con la mercantil TERCERO: De acuerdo con la información obrante en el Registro Mercantil, ***EMPRESA.1. es una empresa cuyo objeto social es la compra, almacenamiento, importación, exportación, reparación, instalación y venta al detalle o al por mayor de artículos de electrodomésticos eléctricos, de butano o de cualquier tipo de energía. Su dirección se corresponde con la dirección del inmueble del establecimiento comercial y figura como Administrador Único el reclamado. CUARTO: De acuerdo con las manifestaciones realizadas por el reclamado a la Policía Local de Puente Genil, el dispositivo instalado no disponía de capacidad de almacenamiento de imágenes, sirviendo únicamente para visualizar la imagen estática de una de sus entradas. Asimismo manifiesta que únicamente captaba la imagen correspondiente al umbral y que fue retirada con anterioridad por decisión propia. QUINTO: La zona que el reclamado señala como el lugar donde estaba colocada la cámara concuerda con la que se observa en las fotografías que adjunta el reclamante en su reclamación. SEXTO: En el momento de la actuación llevada a cabo por los agentes de la Policía Local, el dispositivo se encuentra desinstalado. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Se imputa al reclamado la comisión de una infracción por vulneración del artículo 5.1.
2. c)del RGPD, que señala que los datos personales serán «adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados (“minimización de datos”).» C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 Esta infracción se tipifica en el artículo 83.5 del RGPD: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
3. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
4. b)los derechos de los interesados a tenor de los artículos 12 a 22; […].” A efectos del plazo de prescripción de la infracción, la misma se considera muy grave y prescribe a los tres años, conforme al artículo 72.1 de la LOPDGDD, que establece que: “En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
5. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. […]” III El presente procedimiento tiene su origen en la instalación de una cámara de videovigilancia en el establecimiento comercial ubicado en la dirección indicada en el antecedente primero que podría estar captando de manera desproporcionada vía pública. Por lo que se refiere a la posibilidad de instalar un sistema de videovigilancia con fines de seguridad, el artículo 22 de la LOPDGDD —relativo a tratamientos con fines de videovigilancia— dispone que, con la finalidad de garantizar la seguridad de personas y bienes, podrán captarse imágenes de vía pública «en la medida en que resulte imprescindible», en correspondencia con el principio mencionado de minimización de datos. Se informa de que la facultad de captar imágenes en vía pública está atribuida, con carácter general, a las Fuerzas y Cuerpos de Seguridad de conformidad con lo dispuesto en la Ley Orgánica 4/1997 por la que se regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad en lugares públicos y su normativa de desarrollo. Teniendo en cuenta lo anterior, en el supuesto de que se trate de garantizar la seguridad de un bien en su acceso o perímetro, la zona de vía pública adyacente que se capte habrá de reducirse al mínimo. Por otra parte, y aun cuando este extremo no formaba parte de la imputación, es necesario señalar que el artículo 13 del RGPD —en cumplimiento del deber de información recogido en el precedente artículo 12 del mismo texto legal— regula la información que ha de proporcionarse cuando los datos personales se obtengan del interesado, situación que se produce en los supuestos en que se captan imágenes por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 un sistema de videovigilancia. En este sentido, el artículo 22.4 de la LOPDGDD establece que “El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información”. En relación con lo expuesto, los hechos probados en el presente procedimiento ponen de manifiesto que existía un dispositivo colocado tras un rótulo publicitario de una de las fachadas del inmueble que cuyo propósito era vigilar uno de los accesos al establecimiento y que por su orientación, era susceptible de estar captando de manera desproporcionada imágenes de la vía pública y de los viandantes y vehículos que transitaran por ella. Ahora bien, no obstante lo indicado en el párrafo anterior, en este caso el establecimiento comercial lo conforma, tal y como se recoge asimismo en los hechos probados, una persona jurídica —***EMPRESA.1.— y es esta mercantil la que la que ostentaría la titularidad de las obligaciones respecto al cumplimiento de lo dispuesto en el ordenamiento jurídico que se relacionasen con el desarrollo de la actividad del establecimiento comercial. Por tanto, debe considerarse a ésta como responsable del tratamiento de datos que hubiera podido llevarse a cabo a través del dispositivo de videovigilancia. Esto conlleva la necesidad de archivar las actuaciones del presente procedimiento contra el reclamado, en aras del principio de responsabilidad aplicable a la potestad sancionadora y que regula el artículo 28 de la Ley 40/2015, de 1 de octubre, del Régimen Jurídico del Sector Público. Por otra parte, se señala que aun cuando el procedimiento sancionador se hubiera dirigido al correcto responsable, el reclamado realizó una serie de manifestaciones a la Policía Local acerca de la naturaleza del dispositivo y sobre la limitación de la zona captada al umbral de la puerta de acceso, sin alcanzar vía pública. En este sentido, como quiera que el día de la visita de los agentes el dispositivo se encontraba retirado, no ha sido posible comprobar dichos extremos y en su caso, desvirtuar lo manifestado por el reclamado. En conclusión, y en aplicación del principio de presunción de inocencia, no sería posible imponer una sanción administrativa cuando no se hubiera obtenido y constatado una prueba de cargo acreditativa de los hechos que motivan la imputación o de la intervención en los mismos del presunto infractor. IV De acuerdo con lo expuesto, el reclamado no es el responsable del tratamiento llevado a cabo a través de la cámara de videovigilancia instalada y por tanto, no puede considerarse responsable de la presunta infracción cometida. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 Por lo tanto, de acuerdo con la legislación aplicable, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ORDENAR el ARCHIVO del presente procedimiento al no quedar acreditada infracción administrativa alguna. SEGUNDO: NOTIFICAR la presente resolución a B.B.B. e informar a A.A.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
6. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-131120 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es