1/8 Procedimiento Nº PS/00103/2016 RESOLUCIÓN: R/01763/2016 Mediante Acuerdo de fecha 29/3/16 se inició procedimiento sancionador nº PS/00103/2016 instruido por la Agencia Española de Protección de Datos a SEGURIDAD INTEGRAL CANARIA S.A.. por presuntas infracciones a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 9 de abril de 2015 tiene entrada en esta Agencia un escrito de Dña. C.C.C. y D. B.B.B. (en adelante los denunciantes) comunicando la posible infracción a la Ley Orgánica 15/1999 motivada por las cámaras de videovigilancia cuyo titular es la entidad SEGURIDAD INTEGRAL CANARIA S.A.. (en adelante el denunciado) instaladas en denominación comercial " SEGURIDAD INTEGRAL CANARIA S.A.." situado en la calle D.D.D. de Las Palmas de Gran Canaria. Las imágenes han sido utilizadas para el control de los trabajadores. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación que finalizó con la elaboración del Informe E/03772/2015 TERCERO: Con fecha 29/3/16 la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la entidad SEGURIDAD INTEGRAL CANARIA S.A. por la presunta infracción de los artículos 6.1 y 4.1 de la LOPS CUARTO: Se presentaron con fecha 27/4/16 las siguientes alegaciones al Acuerdo de Inicio: * Que en caso de existencia de incumplimiento de las obligaciones de los trabajadores, las imágenes se recuperan por el personal autorizado y se remiten a recursos humanos para que los mismos dispongan de las imágenes por si fueran precisas para el inicio de expedientes disciplinarios. * La utilización de las imágenes se encuentra incluida dentro del fichero de personal y no del fichero de videovigilancia, no existiendo un tratamiento de datos distintos para las finalidades que se recabaron * Que la entidad había procedido a la comunicación a todos los trabajadores de la utilización de las cámaras de seguridad para el control de las obligaciones laborales. Y que dicha legitimación viene en el art. 20.3 del Estatuto de los Trabajadores. A tal efecto aporta comunicado de 2/3/15 en el que se manifiesta que “la empresa procederá a la utilización de las imágenes obtenidas de las cámaras de seguridad con fines de control laboral”; así mismo se remite fotografías de la ubicación del comunicado en el Tablón de anuncios de la entidad. QUINTO: Por Acuerdo de 24/5/16, notificado a las partes se acordó el cambio de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 instructor en el presente procedimiento. SEXTO: Con fecha 11/7/16 se procedió a aperturar un periodo de prueba consistente en: dar por reproducidos a efectos probatorios la denuncia interpuesta y la documentación generada en las actuaciones previas de investigación; y, así mismo, dar por reproducidos a efectos probatorios las alegaciones al Acuerdo de Inicio presentadas por Seguridad Integral Canaria. HECHOS PROBADOS 1º Consta que SEGURIDAD INTEGRAL CANARIA SA., es una empresa de seguridad acreditada por el Ministerio del Interior, como empresa de seguridad inscrita en el Registro de Empresas de Seguridad con el n° *****, desde el 11/01/1996, 2º Que la instalación del circuito de videovigilancia, fue instalada por la entidad E.E.E., F.F.F.., en virtud del contrato suscrito de fecha 15 de octubre de 2001. Se adjunta, copia del contrato (aportado como documento n° 4). E.E.E., F.F.F.., en lo que se refiere a CCTV (videovigilancia), únicamente prestó los servicios de instalación de las cámaras, sin tener acceso ni visionado a los datos de carácter personal o imágenes obtenidas de las mismas, haciéndose cargo SIC del mantenimiento de las mismas, y por el cual en enero de 2010 se suscribió un contrato entre el Jefe de Seguridad de la empresa SIC y la propia entidad SIC, de arrendamientos de servicio de mantenimiento e instalación de las cámaras de seguridad, aportado como documento n° 5, en cumplimento con la normativa de Seguridad Privada. 3º Que las cámaras, se encuentran ubicadas en el interior de las dependencias del edificio, siendo zonas de la entidad, a excepción de dos cámaras, ubicadas en la fachada que graban únicamente la puerta de entrada al edificio de los usuarios y trabajadores, y la puerta del garaje, además de la fachada donde existen ventanas, por lo que dichas cámaras, se han tenido que colocar en la propia fachada, no grabando más espacios públicos de los estrictamente necesarios. 4º El motivo de la instalación de las cámaras es mantener la seguridad de las instalaciones, al ser SIC una entidad que se dedica, entre otras actividades, al transporte y custodia de dinero, y disponer de un armero para las armas de los vigilantes de seguridad debidamente autorizados. 5º Que se graba la vía pública únicamente en la fachada del edificio, esto es desde la entrada de garaje por la que acceden los furgones hasta la entrada de acceso de los usuarios y personal de la entidad. En dichos accesos existe un cartel identificativo de zona videovigilada. 6º Consta que los monitores de las cámaras se encuentran ubicados en la sala de control, siendo una central receptora de alarmas, al dedicarse SIC a prestar estos servicios a sus clientes, teniendo acceso único y exclusivamente el personal dispuesto, vigilantes de seguridad identificados por su TIP (Tarjeta Identificativa Profesional) 7º Que transcurrido el periodo de tiempo establecido en función de los videograbadores, las imágenes son borradas, a excepción de que las mismas se hayan tenido que comunicar a las Fuerzas y Cuerpos de Seguridad del Estado en caso de alguna C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 vulneración de seguridad. 8º Que La entidad dispone de los preceptivos carteles en cumplimiento con la Instrucción 1/2006 de la Agencia Española de Protección de Datos, en la entrada al edificio, en el acceso de los furgones blindados, y tanto en los accesos a las instalaciones como en la zona de oficinas donde se encuentra el personal que trabaja. 9º Consta que Seguridad Integral Canaria había procedido a la comunicación a todos los trabajadores de la utilización de las cámaras de seguridad para el control de las obligaciones laborales. Y que dicha legitimación viene en el art. 20.3 del Estatuto de los Trabajadores. Que a tal efecto aporta comunicado de 2/3/15 en el que se manifiesta que “la empresa procederá a la utilización de las imágenes obtenidas de las cámaras de seguridad con fines de control laboral”; así mismo se remite fotografías de la ubicación del comunicado en el Tablón de anuncios de la entidad. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II Con carácter previo, debe señalarse que el artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. La LOPD, viene a regular el derecho fundamental a la protección de datos de las personas físicas, esto es, el derecho a disponer de sus propios datos sin que puedan ser utilizados, tratados o cedidos sin su consentimiento, con la salvedad de las excepciones legalmente previstas. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el apartado
- a)del artículo 3 de la LOPD, como “Cualquier información concerniente a personas físicas identificadas o identificables”. El artículo 3 de la LOPD define en su letra
- c)el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. La garantía del derecho a la protección de datos, conferida por la normativa de referencia, requiere que exista una actuación que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 constituya un tratamiento de datos personales en el sentido expresado. En otro caso las mencionadas disposiciones no serán de aplicación. El artículo 5.1.
- f)del Reglamento de desarrollo de la Ley Orgánica 15/1999, (aprobado del Real Decreto 1720/2007, de 21 de diciembre), define datos de carácter personal como: “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2.
- a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, según el cual, a efectos de dicha Directiva, se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Asimismo, el Considerando 26 de esta Directiva se refiere a esta cuestión señalando que, para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona para identificar a aquélla. Por su parte, la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras, (BOE del 12/12/06), en sus artículos 1.1 y 2 señala lo siguiente: “Artículo 1.1. La presente Instrucción se aplica al tratamiento de datos personales de imágenes de personas físicas identificadas o identificables, con fines de vigilancia a través de sistemas de cámaras y videocámaras. El tratamiento objeto de esta Instrucción comprende la grabación, captación, transmisión, conservación, y almacenamiento de imágenes, incluida su reproducción o emisión en tiempo real, así como el tratamiento que resulte de los datos personales relacionados con aquéllas. Se considerará identificable una persona cuando su identidad pueda determinarse mediante los tratamientos a los que se refiere la presente instrucción, sin que ello requiera plazos o actividades desproporcionados. Las referencias contenidas en esta Instrucción a videocámaras y cámaras se entenderán hechas también a cualquier medio técnico análogo y, en general, a cualquier sistema que permita los tratamientos previstos en la misma.” “Artículo 2. 1. Sólo será posible el tratamiento de los datos objeto de la presente instrucción, cuando se encuentre amparado por lo dispuesto en el artículo 6.1 y 2 y el artículo 11.1 y 2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. 2. Sin perjuicio de lo establecido en el apartado anterior la instalación de cámaras y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 videocámaras deberá respetar en todo caso los requisitos exigidos por la legislación vigente en la materia.” El Grupo de protección de las personas, en lo que respecta al tratamiento de datos personales, creado en virtud del artículo 29 de la citada Directiva 95/46/CE, en su Dictamen 4/2004, adoptado en fecha 11/02/2004, relativo al tratamiento de datos personales mediante vigilancia por videocámara, formula distintos criterios para evaluar la legalidad y conveniencia de instalar sistemas de captación de imágenes en zonas públicas. Por otra parte, para determinar si en el supuesto que se analiza implican el tratamiento de datos relacionados con personas identificables, el citado Grupo considera que los datos constituidos por imagen y sonido son personales aunque las imágenes se utilicen en el marco de un sistema de circuito cerrado y no estén asociados a los datos personales del interesado, incluso, si no se refieren a personas cuyos rostros hayan sido filmados, e independientemente del método utilizado para el tratamiento, la técnica, el tipo de equipo, las características de la captación de imágenes y las herramientas de comunicación utilizadas. A efectos de la Directiva, se añade, el carácter identificable también puede resultar de la combinación de los datos con información procedente de terceras partes o, incluso, de la aplicación, en el caso individual, de técnicas o dispositivos específicos. En cuanto a las obligaciones y precauciones que deberán respetarse por los responsables del tratamiento de los datos se mencionan, entre otras, la de evitar las referencias inadecuadas a la intimidad; especificar de forma clara e inequívoca los fines perseguidos con el tratamiento y otras características de la política de privacidad (momento en que se borran las imágenes, peticiones de acceso); obtención del consentimiento del interesado basado en una información clara; mantener la necesaria proporcionalidad entre los datos y el fin perseguido, obligándose al empleo de sistemas idóneos con respecto a dicho fin y a minimizar los datos por parte del responsable del tratamiento; datos que han de ser adecuados, pertinentes y no excesivos y deberán retenerse durante un plazo en consonancia con las características específicas de cada caso. Por tanto, la captación de imágenes con fines de vigilancia y control, como es el caso que nos ocupa, se encuentra plenamente sometida a lo dispuesto en la LOPD, ya que constituye un tratamiento de datos de carácter personal. En el caso que nos ocupa SEGURIDAD INTEGRAL CANARIA S.A. es el titular del sistema de video vigilancia instalado por lo que está sometida al régimen de responsabilidad contemplado en la LOPD III El artículo 6 de la LOPD exige el consentimiento de los afectados para el tratamiento de sus datos personales salvo que la Ley determine otra cosa o cuando concurra alguna de las circunstancias previstas en el apartado 2 del citado artículo 6. En el caso que nos ocupa, la habilitación legal para el tratamiento de las imágenes de las personas físicas con fines de vigilancia procede de la Ley 25/2009, de 27/12, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 modificación de diversas leyes para su adaptación a la Ley 17/2009, de 23 de noviembre, sobre el libre acceso a las actividades de servicios. Esta modifica la Ley 23/1992, de 30/06, de Seguridad Privada añadiendo una Disposición Adicional Sexta en la que se determina que cualquier particular o empresa cuya actividad no sea la propia de una empresa de seguridad privada podrá “vender, entregar, instalar y mantener equipos técnicos de seguridad” sin necesidad de cumplir las exigencias previstas en la Ley de Seguridad Privada para tales empresas. De este modo, dado que la ley permite la instalación y mantenimiento de dichos equipos por empresas distintas a las de seguridad privada, legitima a quienes adquieran de estos dispositivos para tratar los datos personales derivados de la captación de las imágenes sin necesidad de acudir a empresas de seguridad privada, siendo dicho tratamiento conforme a lo previsto en la Ley Orgánica de Protección de Datos de Carácter Personal. En todo caso, el tratamiento de las imágenes deberá cumplir los restantes requisitos exigibles en materia de protección de datos de Carácter Personal, recogidos en la Ley Orgánica y, en particular, en la instrucción 1/2006 de la Agencia Española de Protección de Datos. Las videocámaras no podrán captar imágenes de las personas que se encuentren fuera del establecimiento ya que el tratamiento de imágenes en lugares públicos sólo puede ser realizado, salvo que concurra autorización gubernativa, por las Fuerzas y Cuerpos de Seguridad. Por otra parte, el artículo 3 de la citada instrucción, recoge el deber de informar a los interesados, tanto a través de la colocación de carteles informativos como mediante la puesta a disposición de aquéllos de impresos en que se detalle la información; el artículo 4 recoge que las imágenes que se capten serán las necesarias y no excesivas para la finalidad perseguida; el artículo 7 obliga a notificar de la existencia de los ficheros a la Agencia Española de Protección de Datos y el artículo 8 obliga a implantar de medidas de seguridad. IV En cuanto al consentimiento para el tratamiento de los datos personales, el artículo 6 de la LOPD dispone lo siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado” (el subrayado es de la Agencia Española de Protección de Datos). Se deduce que el tratamiento de datos de carácter personal debe contar con el consentimiento del interesado, el titular de dichos datos. A no ser que medien una de las circunstancias eximentes de dicho consentimiento contempladas en el art. 6.2. Y entre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 las que podía considerarse las contempladas en el art. 20.3 del Estatuto de los Trabajadores que establece: “3. El empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para la verificación del cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a la dignidad humana y teniendo en cuenta la capacidad real de los trabajadores disminuidos en su caso”. No obstante si bien se dicho artículo 20.3 faculta al empresario para adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad humana. No cabe duda que en la cuestión del control laboral del empleado se debe tener en cuenta el debido equilibrio entre las facultades que le son reconocidas al empleador en el artículo 20.3 del E.T. y los derechos que le son reconocidos al trabajador en el artículo 4.2.
- e)del E.T. que reconoce al trabajador el derecho “al respeto de su intimidad y a la consideración debida a su dignidad”. En este sentido hay que tener en cuenta la Sentencia del Tribunal Supremo 2618/14 en un supuesto muy similar (fundamentación del despido de una trabajadora a través de las imágenes captadas por un sistema de videovigilancia), dispone lo siguiente: “ por la empresa no se dio información previa a la trabajadora de la posibilidad de tal tipo de grabación ni de la finalidad de dichas cámaras instaladas permanentemente, ni, lo que resultaría más trascendente, tampoco se informó, con carácter previo ni posterior a la instalación, a la representación de los trabajadores de las características y alcance del tratamiento de datos que iba a realizarse” En este supuesto Por tanto, cabe hacer constar que los denunciantes prestaban servicios como trabajadores en la entidad denunciada, de modo que existía una relación laboral que le vinculaba con la citada entidad, que justifica la obtención, cesión y tratamiento de sus datos personales objeto de la denuncia, al resultar aplicable la excepción del consentimiento prevista en el citado artículo 6.2 de la LOPD antes transcrito, incluidos, obviamente, los datos relativos al cumplimiento laboral, pero también al control de la seguridad relacionado con las personas o equipos de la entidad. Asimismo, debe tenerse en cuenta que en el presente caso lo que se examina, entre otras cuestiones, es la legitimación de la utilización por parte de la entidad del sistema de videovigilancia para el control laboral de sus trabajadores, así como el hecho de que los trabajadores hubieran sido informados previamente de que dicho sistema podría ser utilizado para el control laboral. V En presente supuesto, consta acreditado que la entidad SEGURIDAD INTEGRAL CANARIA S.A. dispone de un sistema de videovigilancia y que ha informado a los trabajadores de la finalidad por la que se han instalado las cámaras. Asimismo, se constata que reúne los requisitos anteriormente descritos, por lo que no se aprecia infracción a la normativa de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a SEGURIDAD INTEGRAL CANARIA S.A y a Dª C.C.C. y D. B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es