1/13 Expediente N.º: EXP202415629 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 20 de septiembre de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a A.A.A. con NIF ***NIF.1. Los hechos que se pone en conocimiento de esta autoridad: La parte reclamante manifiesta que en el alojamiento turístico había una alarma de (…). También dos cámaras interiores de vigilancia, ubicadas en la zona de SalónCocina, la más amplia (donde hay también un sofá cama), y a la entrada del dormitorio principal, que sacan imágenes y/o video para visionado por la empresa de seguridad. Aporta imágenes de las dos cámaras, su ubicación, orientación y espacio que captarían (Anexo I). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a A.A.A., para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante correo postal certificado, fue devuelta por "ausente". La notificación se reiteró de forma electrónica, constando aceptada la notificación puesta a disposición de la parte reclamante en la sede electrónica de esta Agencia el día 16/12/2024. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 20 de diciembre de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: Con fecha 31 de agosto de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/13 con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: En fecha 03/10/25 se recibe escrito de alegaciones de la reclamada en relación a los hechos objeto de traslado argumentando lo siguiente: “El presente documento tiene por finalidad responder al expediente abierto por la Agencia Española de Protección de Datos relativo a la instalación de un sistema de alarma con cámaras (…) en la vivienda de alquiler vacacional ubicada en Calle (…), justificando la licitud del tratamiento de datos personales derivado del uso de cámaras fotográficas de verificación y las medidas implantadas para proteger la intimidad de los ocupantes. El sistema no está destinado a la vigilancia de los ocupantes ni se emplea para monitorizar su conducta, sino exclusivamente para garantizar la seguridad de la vivienda cuando existe riesgo de intrusión. Se ha implementado un mecanismo técnico (cierre manual de visor) que permite a los inquilinos mantener su privacidad durante toda la estancia, asegurando así que la captación de imágenes no sea permanente ni invasiva Se cumplen las obligaciones de transparencia y deber de información (arts. 12 y 13 RGPD) mediante: ● Comunicación previa en la plataforma de reserva sobre la existencia de cámaras y su posibilidad de desactivación. ● Información directa a la llegada, con explicación de cómo desactivar los dispositivos. ● Presencia de carteles informativos en el inmueble sobre la existencia de sistema de alarma con cámaras, conforme a la Instrucción 1/2006 de la AEPD y normativa aplicable (…)” Consideramos que el sistema implantado cumple con el principio de proporcionalidad, garantiza el derecho a la intimidad de los huéspedes al permitir la desactivación física de las cámaras y responde a un interés legítimo de protección frente a intrusiones y ocupaciones ilegales. No obstante, quedamos a disposición de la AEPD para aportar documentación adicional (manual del sistema de cámaras, fotografías del mecanismo de bloqueo, capturas de la información en plataformas de reserva, cartelería informativa) o para introducir mejoras si se estimaran necesarias”. SEXTO: En fecha 20/10/25 se emite <Propuesta de Resolución> en la que se considera acreditada la presencia de dispositivos de captación de imágenes y/o audio, sin que estén debidamente informados y careciendo de base legitimadora para su presencia, lo que acredita la infracción del artículo 6 RGPD, proponiendo una sanción de 3000€, sanción situada en la escala inferior para este tipo de actuaciones contrarias derecho. SÉPTIMO. En fecha 14/11/25 se recibe escrito de la reclamada en relación a la <propuesta de resolución> en la que expresa lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/13 “Que ha recibido Propuesta de Resolución en el expediente EXP202415629 por presunta infracción del art. 6 RGPD, con propuesta de multa de 3.000€ y medida correctiva al amparo del art. 58.2.d RGPD consistente en dar de baja el contrato de seguridad durante los periodos de alquiler y/o retirar los dispositivos interiores, y acreditarlo en 1 mes. Entiendo y asumo la especial sensibilidad de la intimidad en alojamientos temporales y, en atención a la Propuesta, ha decidido orientar su actuación al pleno cumplimiento de la normativa. En concreto: ● Se han retirado los dispositivos interiores, dando de baja el contrato de cámaras de seguridad suscrito con (…) y que adjunto a este escrito. ● Se ha implementado cartelería e información completa identificando al responsable, con fines, base y vías de derechos (artículos 12 y 13 Reglamento Europeo de Protección de Datos). ● Se sustituyen las cámaras interiores por medidas menos intrusivas (cerraduras reforzadas y alarma sonora). II.— Atención al principio de responsabilidad proactiva: se aportan evidencias de la corrección inmediata y de la implementación de medidas menos intrusivas. III.— Graduación (Artículo. 83.2 RGPD / Artículo 76 LOPDGDD): se solicita valoración atenuante por colaboración, cese del riesgo y rápida adopción de medidas correctoras, sin perjuicio de lo que se resuelva. Por ello SOLICITA: Que, vistas las medidas adoptadas y el compromiso de cumplimiento, se valore el archivo o, subsidiariamente, la reducción de la cuantía a la mínima procedente. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS Primero. Los hechos traen causa de la reclamación presentada en fecha 20/09/24 por medio de la cual se traslada la existencia de dispositivos de captación de imágenes en el interior de apartamento turístico, sin que se haya informado debidamente a los inquilinos (
- s)del mismo. Se acompaña prueba documental que acredita la presencia de los dispositivos en la zona indicada por el reclamante (Prueba D4-5). Segundo. Consta acreditado como principal responsable de la instalación A.A.A., con NIF ***NIF.1, quien no niega la presencia de un sistema de cámaras por motivos de seguridad interior. Tercero. Consta acreditado la instalación de sistema de video-vigilancia por la empresa (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/13 Cuarto. Consta acreditado que el sistema está <operativo> y no se ha acreditado que el/los mismos haya sido desactivado en modo alguno. Quinto. Consta acreditada las carencias en la obligación de informar sobre la presencia de cámaras en el interior del inmueble, así como la falta de identificación clara del responsable del tratamiento. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de la presunta infracción cometida, se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
- f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). III Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/13 indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En este caso, de acuerdo a lo expuesto la reclamada ostenta presuntamente la condición de responsable del tratamiento, puesto que dispone de un sistema de seguridad instalado en la vivienda, que destina a alquiler temporal. IV Los <hechos> traen causa de la reclamación de fecha 20/09/24 por medio de la cual se traslada la presencia de dispositivos interiores de captación de imágenes, en un apartamento turístico de alquiler temporal, desconociendo si han sido filmados en el interior del mismo. En la sociedad actual, asistimos al fenómeno extendido de alquiler ocasional de viviendas a través de conocidas plataformas on line, en dónde el usuario (cliente) puede contratar fácilmente una vivienda o inclusive una habitación, a través de un sencillo sistema de pago, pudiendo observar previamente las características del inmueble en cuestión. A través de esta figura el arrendatario (
- a)dispone del uso y disfrute de una habitación en el inmueble, debiendo quedar reflejado en el contrato correspondiente todo lo relativo a duración, precio, así como la finalidad y demás condiciones del mismo. A modo de ejemplo, cuando se alquila una habitación de hotel, se paga un precio cierto por la estancia temporal en una habitación situada en un establecimiento de tal naturaleza; siendo esta figura asimilable al alquiler turístico (bien sea de una vivienda completa o de una habitación individual en la misma); que pasa a convertirse en una espacio reservado a la <intimidad> del arrendatario (a), libre por tanto de miradas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/13 furtivas o invasivas de espacios reservados para ello; como ocurriría en cualquier habitación de hotel. La regulación actual no es uniforme, ni obedece un patrón determinado, estando en manos de las Comunidades autónomas la legislación territorial del fenómeno comentado, asistiendo a una casuística diversa y en ocasiones no exenta de problemas, ante la evolución del concepto tradicional de <domicilio>. En el ámbito legal, una misma conducta puede infringir diferentes preceptos constitucionales, e inclusive normas de diferentes niveles (penales, administrativo, civil, etc). El artículo 10 apartado 1º CE dispone: “La dignidad de la persona, los derechos inviolables que le son inherentes, el libre desarrollo de la personalidad, el respeto a la ley y a los derechos de los demás son fundamento del orden político y de la paz social” Para nuestro Tribunal Constitucional, el principio al libre desarrollo de la personalidad conlleva un principio general de libertad que consagra los artículos 1 .1 y 10 .1 CE que autoriza a los ciudadanos a llevar a cabo todas aquellas actividades que la Ley no prohíba o cuyo ejercicio no subordine a requisitos o condiciones determinadas. Sin duda ninguna, la protección de la autonomía y de la de vida privada, sin intromisiones, sin estar perseguido, observado o grabado, es una condición imprescindible para poder autodeterminarse y desarrollarse. Las eventuales restricciones e injerencias, cualquiera que sea su naturaleza y proveniencia, obstaculizan estos objetivos y cuando fueran ilegítimas, injustificadas o desproporcionadas no resultan aceptables. Por otra parte, el artículo 18 apartado 1º CE dispone: “Se garantiza el derecho al honor, a la intimidad personal y familiar a la propia imagen” La protección de las personas físicas en relación con el tratamiento de datos de carácter personal es un derecho fundamental reconocido en los artículos 18.4 de la Constitución, 8.1 de la Carta de los Derechos Fundamentales de la Unión Europea y 16.1 del Tratado de Funcionamiento de la Unión. El artículo 18.4 de la Constitución Española de 1978 establece que «la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos». Este derecho fundamental a la <protección de datos>, a diferencia del derecho a la intimidad del art. 18.1 C.E., con quien comparte el objetivo de ofrecer una eficaz protección constitucional de la vida privada personal y familiar, atribuye a su titular un haz de facultades que consiste en su mayor parte en el poder jurídico de imponer a terceros la realización u omisión de determinados comportamientos cuya concreta regulación debe establecer la Ley, aquella que conforme al art. 18.4 C.E. debe limitar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/13 el uso de la informática, bien desarrollando el derecho fundamental a la protección de datos (art. 81.1 C.E.), bien regulando su ejercicio (art. 53.1 C.E.) (vgr. STC Sentencia 292/2000, de 30 de noviembre de 20009. Según tiene reiteradamente declarado el TC (Tribunal Constitucional), el derecho a la intimidad personal implica la existencia de un ámbito propio y reservado frente a la acción y el conocimiento de los demás, necesario, según nuestra cultura, para mantener una calidad mínima de la vida humana. Ello supone el poder jurídico de imponer a terceros, sean particulares o poderes públicos, el deber de abstenerse de toda intromisión en la esfera íntima y la prohibición de hacer uso de lo asíí́ conocido. Asíí́ pues, el derecho a la intimidad personal reconocido en el art.18.1 CE se configura como un derecho de la personalidad, derivado de la dignidad humana (art. 10.1 CE), que atribuye a su titular, como ya se ha señalado en el fundamento jurídico precedente, la facultad de reservarse un espacio resguardado de la curiosidad ajena, de una publicidad no querida, y, en consecuencia, el poder jurídico de imponer a terceros, sean particulares o poderes públicos, el deber de abstenerse de toda intromisión en la esfera íntima y la prohibición de hacer uso de lo asíí́ conocido, a fin de asegurar un ámbito privativo para el desarrollo de la propia personalidad ajeno a las injerencias externas. Para el Alto Tribunal, el domicilio es el espacio donde e individuo vive ejerciendo su libertad más íntima, al margen de convenciones sociales, así como todo espacio apto para que, eventualmente o de forma permanente, pueda ocurrir lo anterior. En concreto, se consideran domicilio a efectos constitucionales: las segundas viviendas, los vehículos o caravanas, las habitaciones de hotel (STC 10/2002, de 17 de enero o el domicilio empresarial de las personas jurídicas, aunque en algunos de estos casos con ciertas cortapisas derivadas de las propias características del alojamiento. En cambio, no tendrán la consideración de domicilio, las celdas de los reclusos en los centros penitenciarios (STC 11/2006). Para que se admita la vulneración del derecho no es necesaria la penetración física, sino que se comprende también la que se efectúa mediante aparatos visuales o auditivos (STC 22/1984, de 17 de febrero). Conviene reflejar otros pronunciamientos-- Sentencia Contencioso-Administrativo Nº 2923/2020, Tribunal Superior de Justicia de Cataluña, Sala de lo Contencioso, Sección 3, Rec 237/2019 de 02 de Julio de 2020--. "Como se afirmaba en la STC 10/2002, de 17 de enero (FFJJ 5 y 6), citada por el Fiscal y por el recurrente en amparo, y se ha recordado después en la STC 22/2003, de 10 de febrero, la norma constitucional que proclama la inviolabilidad del domicilio y la interdicción de la entrada y registro domiciliarios ( art. 18.2 CE), a pesar de la autonomía que la Constitución española reconoce a ambos derechos, constituye una manifestación de la norma precedente ( art. 18.1 CE) que garantiza el derecho fundamental a la intimidad personal y familiar. De modo que si el derecho proclamado en el art. 18.1 CE tiene por objeto la protección de un ámbito reservado de la vida de las personas excluido del conocimiento de terceros, sean éstos poderes públicos o particulares, en contra de su voluntad, el derecho a la inviolabilidad domiciliaria protege "un ámbito espacial determinado" dado que en él ejercen las personas su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/13 libertad más íntima, libres de toda sujeción a los usos y convenciones sociales, siendo objeto de protección de este derecho tanto el espacio físico en sí mismo considerado, como lo que en él hay de emanación de la persona y de su esfera privada. Por ello, hemos afirmado que la protección constitucional del domicilio es una protección de carácter instrumental, que defiende los ámbitos en que se desarrolla la vida privada de la persona. Entre otras consecuencias, tal carácter instrumental determina que el concepto constitucional de domicilio tiene mayor amplitud que el concepto jurídico privado o jurídico administrativo de domicilio y no admite "concepciones reduccionistas" (por todas SSTC 94/1999, de 31 de mayo, FJ 5, y 10/2002, de 17 de enero, FJ 6 in fine). Por ello, hemos afirmado en el fundamento jurídico 8 de la citada STC 10/2002 que "el rasgo esencial que define el domicilio a los efectos de la protección dispensada por el art. 18.2 CE reside en la aptitud para desarrollar en él vida privada y en su destino específico a tal desarrollo aunque sea eventual. Ello significa, en primer término, que su destino o uso constituye el elemento esencial para la delimitación de los espacios constitucionalmente protegidos, de modo que, en principio, son irrelevantes su ubicación, su configuración física, su carácter mueble o inmueble, la existencia o tipo de título jurídico que habilite su uso, o, finalmente, la intensidad y periodicidad con la que se desarrolle la vida privada en el mismo. En segundo lugar, si bien el efectivo desarrollo de vida privada es el factor determinante de la aptitud concreta para que el espacio en el que se desarrolla se considere domicilio, de aquí no se deriva necesariamente que dicha aptitud no pueda inferirse de algunas de estas notas, o de otras, en la medida en que representen características objetivas conforme a las cuales sea posible delimitar los espacios que, en general, pueden y suelen ser utilizados para desarrollar vida privada". Así como que "el propio carácter instrumental de la protección constitucional del domicilio respecto de la protección de la intimidad personal y familiar exige que, con independencia de la configuración física del espacio, sus signos externos revelen la clara voluntad de su titular de excluir dicho espacio y la actividad en él desarrollada del conocimiento e intromisiones de terceros". De ahí extrajimos la consecuencia, al declarar la inconstitucionalidad de lo dispuesto en el art. 557 de la Ley de enjuiciamiento criminal que "las habitaciones de los hoteles pueden constituir domicilio de sus huéspedes, ya que, en principio, son lugares idóneos, por sus propias características, para que en las mismas se desarrolle la vida privada de aquéllos habida cuenta de que el destino usual de las habitaciones de los hoteles es realizar actividades enmarcables genéricamente en la vida privada" (*la negrita y el subrayado pertenece a este organismo) V En fecha 03/10/25 se recibe escrito de alegaciones de la reclamada en dónde reconoce tener instalado un sistema de cámaras interiores en apartamento turístico esgrimiendo como principal motivo de la instalación “el alto índice de ocupación ilegal” de viviendas en España. Expresa que los potenciales clientes (
- as)del apartamento son informados mediante cartelería expuesta, sin embargo, de la documental aportada solo se exhibe el cartel informativo de la empresa de Seguridad (…) instalado en el exterior de la vivienda. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/13 En este caso, se recuerda que dicho cartel solo informa de la empresa instaladora, como hipotética <encargada del tratamiento>, no pudiendo el cliente del apartamento turístico ejercer derecho alguno de manera eficaz, pues quien debe estar en todo momento identificado es el <responsable del tratamiento>, en este caso el titular de la propiedad objeto de alquiler. Respecto al hecho de que a los clientes (
- as)se les informa del modo de desconexión manual del sistema de alarma, no consta documento alguno informando de tal posibilidad, mediante clausula legible y entendible, que pudiera acreditar tal extremo, debidamente firmado en aras de su comunicación a los clientes (
- as)del apartamento. Finalmente, argumenta que la presencia de cámaras ha sido informada debidamente en la plataforma de contratación (…), si bien no aporta tampoco documental alguna a tal efecto. De acuerdo a lo anterior, hay primeramente una palmaria falta de información de la presencia y finalidad del sistema en el interior del apartamento, lo que concuerda con lo manifestado por la parte reclamante en su reclamación, considerando la información facilitada insuficiente para que el cliente pudiera no solo conocer la presencia de cámaras, sino la finalidad del sistema y tratamiento de sus imágenes. Se ha indicado en el FJ V que mediante la figura del alquiler se ostenta el derecho a disfrutar de un espacio a cambio de un precio en dónde se va a disfrutar del mismo preservando la intimidad como garantía <de un ámbito o reducto en el que se veda que otros penetren> (vgr. STC 73/1082, 2 de diciembre entre otras). No requiere mayor explicación que cuando alguien paga una habitación de hotel/hostal, la misma está libre de cámaras interiores del tipo que sea, que le permiten disfrutar de una serie de derechos, entre ellos el de la intimidad personal, libre de cualquier tipo de intromisión por parte de tercero (s). Las nuevas modalidades en el uso alternativo de las viviendas (, apartamentos turísticos, coliving o “flex living”) no puede ser ajenas a las limitaciones expresadas, debiendo existir un cierto equilibrio entre la evolución de estas nuevas tendencias de uso inmobiliario y los derechos fundamentales de las personas, que se pueden ver afectados por un excesivo control del interior de las viviendas. La parte reclamada esgrime “riesgo de intrusión” cuando lo cierto es que el mismo sería mínimo durante el periodo de alquiler temporal, al estar ocupada la vivienda por los inquilinos, siendo los custodios de la misma y sus enseres. A mayor abundamiento existen medios menos lesivos para la protección de la misma, como puertas de seguridad reforzadas, sistemas de alarmas sonoros, etc. Se considera por tanto que este tipo de dispositivos interiores cuando la propiedad es objeto de alquiler o cesión a un tercero a cambio de un precio cierto, como limitativo de sus derechos, entre ellos el de <protección de datos> al verse afectado por la presencia de cámaras, coartando su más amplia libertad individual en su más amplia expresión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/13 Respecto a la posibilidad de desconexión del audio en su caso del sistema reseñado tampoco se ha producido en su caso explicación alguna al respecto. De acuerdo a lo argumentado, no se considera que los hechos expuestos puedan justificarse en base a respaldo legal que lo justifique, debiendo asumir el propietario la carga de la instalación de este tipo de cámaras interiores, cuya presencia no se justifica al ceder ese espacio a un tercero, con pleno derecho a su intimidad personal y/o familiar, libre de injerencias ajenas. VI Infracción administrativa artículo 6 RGPD El artículo 6.1 del RGPD establece los supuestos que permiten considerar lícito el tratamiento de datos personales. El RGPD mantiene el principio de que todo tratamiento de datos necesita apoyarse en una base que lo legitime. En cuanto al tratamiento con fines de videovigilancia, el artículo 22 de la LOPDGDD establece que las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. En materia de video-vigilancia debe tenerse en cuenta lo establecido en el artículo 6 letra
- e)RGPD, a la hora de acotar la base legitimadora. el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; La presencia de cámaras en el interior de la vivienda supone una afectación a un espacio que deja de ser “privativo” del titular, para ser objeto de disfrute de un tercero cuyos derechos han de ser respetados, tanto el derecho a la intimidad como el derecho a la “protección de datos personales”. Asimismo, se debe tener en cuenta el considerando
(32)del RGPD, pues indica que: “El consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada, e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernen…” La presencia de cláusulas establecidas de manera expresa en dónde se solicita el <consentimiento> informado, se considera según criterio de esta AEPD una cláusula abusiva, no acorde al carácter del espíritu de la normativa actual en materia de protección de datos “manifestación de voluntad libre, específica, informada e inequívoca por la cual el interesado acepta el tratamiento de sus datos personales”, lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/13 contrario sería poco más o menos que admitir que cualquier cláusula establecida en un contrato es válida por el mero hecho de haberla establecido en el mismo. VII De conformidad con las <pruebas > de las que se dispone en el presente procedimiento sancionador, se considera que los hechos expuestos vulneran lo establecido en el Artículo 6 del RGPD, lo que supone la comisión de una infracción tipificada en el artículo 83.5 del RGPD, que dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)”. A efectos del plazo de prescripción de las infracciones, la infracción señalada en el párrafo anterior se considera muy grave conforme al artículo 72.1 de la LOPDGDD, que establece que: “En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…). La sanción se cifra en la cuantía de 3000€, por la infracción del artículo 6 RGPD, considerándose la conducta como negligencia<grave> a tenor de los hechos objeto de traslado, dada la afectación a zonas reservadas, libres de la presencia de dispositivos que afecten a las mismas, procediendo al tratamiento de datos sin base legal justificada, sanción situada en la escala inferior para este tipo de infracciones. VIII Medidas correctivas En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/13 Dado que la reclamada durante la tramitación del actual procedimiento y tras la notificación de la <propuesta de resolución> ha adoptado medidas adicionales para la tutela de los derechos afectados, como la retirada de los dispositivos objeto de reclamación, no procede imponer medida alguna, bastando con la acreditación del ingreso de la multa impuesta en los términos que se explican en la misma. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a A.A.A., con NIF ***NIF.1, por una infracción del Artículo 6 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 3000€ (Tres mil euros). SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/13 Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es