1/19 Procedimiento Nº PS/00106/2014 RESOLUCIÓN: R/01442/2014 En el procedimiento sancionador PS/00106/2014, instruido por la Agencia Española de Protección de Datos a la entidad DECATHLON ESPAÑA S.A, vista la denuncia presentada por Dª. A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO:Con fecha 21 de marzo de 2013 tiene entrada en esta Agencia escrito de Dña. A.A.A. (en adelante la denunciante) comunicando posible infracción a la Ley Orgánica 15/1999 motivada por cámaras de videovigilancia cuyo titular es la entidad DECATHLON ESPAÑA S.A. (en adelante el denunciado) instaladas en el establecimiento de la sociedad ubicado en el Polígono Comercial (C/..........1), Toledo. La denunciante manifiesta que el establecimiento denunciado tiene instalada una cámara de video próxima a los probadores que pudiera recoger imágenes de las personas que hacen uso de los probadores. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 10 de febrero de 2014 se realiza una visita de inspección en el establecimiento denunciado, poniéndose de manifiesto los siguientes hechos recogidos así en el Acta de Inspección: 1.1 El sistema consta de 15 cámaras de video: 6 instaladas en el interior de la tienda, 2 en la puerta de entrada del público y 7 en el exterior. 1.2 Disponen además de una cámara de video instalada en la sala en la que se encuentra la caja fuerte con el objetivo de vigilar dicha caja. Esta cámara es autónoma y no se encuentra conectada al sistema de videovigilancia general. 1.3 El sistema de videovigilancia es gestionado mediante una aplicación informática instalada en un ordenador personal en el que además se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/19 registran las imágenes capturadas por cada una de las cámaras de video. 1.4 No disponen de monitores en el que se reproducen las imágenes capturadas, ya que estas son grabadas directamente en el ordenador personal al efecto. El acceso a las imágenes grabadas solo se realiza cuando se produce alguna incidencia o son requeridas por alguna autoridad. 1.5 Al sistema de videovigilancia solamente accede el Director de la tienda y la Organizadora de la tienda. 1.6 El sistema de videovigilancia ha sido instalado con la finalidad de la seguridad del personal, empleados y bienes así como para evitar el robo de mercancías. 1.7 Disponen además de carteles informativos colocados en cada una de las entradas al establecimiento en los que se informa de la existencia de una zona videovigilada y del responsable ante el que ejercer los derechos de protección de datos de carácter personal. 1.8 Ninguna de las cámaras instaladas captan imágenes de lugares sensibles, como probadores, aseos, vestuarios, etc. El representante de DECATHLON ESPAÑA, S.A. manifiesta que actualmente no hay ninguna cámara de video próxima a los probadores, aunque hace aproximadamente un año los probadores se ubicaban próximos a la cámara identificada con el número 13, sin embargo dicha cámara es fija y siempre ha estado orientada hacia el pasillo donde se encuentra los despachos privados por lo que los probadores quedaban fuera de campo de visión de la cámara. 1.9 Las cámaras exteriores recogen imágenes del perímetro del establecimiento, incluido el parking de su propiedad. La cámara identificada como número 1 recoge también imágenes de la entrada al supermercado de la cadena LIDL cercano al establecimiento denunciado. 1.10 En la zona de entrada al establecimiento existe un monitor en el que se reproduce en tiempo real las imágenes que captan las dos cámaras ubicadas en dicha zona y que recogen imágenes de la puerta de entrada al establecimiento. 1.11 Las imágenes más antiguas que se conservan grabadas datan del día 1 de enero de 2014, de lo que se desprende que se conservan durante 40 días. 1. Se ha verificado por la inspección de datos que consta en el Registro General de Protección de Datos de la Agencia Española de Protección de Datos un fichero inscrito con denominado VIDEOVIGILANCIA cuyo responsable es DECATHLON ESPAÑA, SAU con el código de inscripción ***CÓD.1. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/19 TERCERO: Con fecha 28 de febrero de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a DECATHLON ESPAÑA S.A, por presunta infracción de los artículos 4.5 y 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como graves en los artículos44.3.
(14)Considerando que, habida cuenta de la importancia que, en el marco de la sociedad de la información, reviste el actual desarrollo de las técnicas para captar, transmitir, manejar, registrar, conservar o comunicar los datos relativos a las personas físicas constituidos por sonido e imagen, la presente Directiva habrá de aplicarse a los tratamientos que afectan a dichos datos;”. El Grupo de protección de las personas, en lo que respecta al tratamiento de datos personales, creado en virtud del artículo 29 de la citada Directiva 95/46/CE, en su Dictamen 4/2004, adoptado en fecha 11/02/2004, relativo al tratamiento de datos personales mediante vigilancia por videocámara, formula distintos criterios para evaluar la legalidad y conveniencia de instalar sistemas de captación de imágenes en zonas públicas. Por otra parte, para determinar si el supuesto que se analiza implica el tratamiento de datos relacionados con personas identificables, el citado Grupo considera que los datos constituidos por imagen y sonido son personales aunque las imágenes se utilicen en el marco de un sistema de circuito cerrado y no estén asociados a los datos personales del interesado, incluso, si no se refieren a personas cuyos rostros hayan sido filmados, e independientemente del método utilizado para el tratamiento, la técnica, el tipo de equipo, las características de la captación de imágenes y las herramientas de comunicación utilizadas. A efectos de la Directiva, se añade, el carácter identificable también puede resultar de la combinación de los datos con información procedente de terceras partes o, incluso, de la aplicación, en el caso individual, de técnicas o dispositivos específicos. En cuanto a las obligaciones y precauciones que deberán respetarse por los responsables del tratamiento de los datos se mencionan, entre otras, la de evitar las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/19 referencias inadecuadas a la intimidad; especificar de forma clara e inequívoca los fines perseguidos con el tratamiento y otras características de la política de privacidad (momento en que se borran las imágenes, peticiones de acceso); obtención del consentimiento del interesado basado en una información clara; mantener la necesaria proporcionalidad entre los datos y el fin perseguido, obligándose al empleo de sistemas idóneos con respecto a dicho fin y a minimizar los datos por parte del responsable del tratamiento; datos que han de ser adecuados, pertinentes y no excesivos y deberán retenerse durante un plazo en consonancia con las características específicas de cada caso. Por tanto, la captación de imágenes con fines de vigilancia y control, como es el caso que nos ocupa, se encuentra plenamente sometida a lo dispuesto en la LOPD, ya que constituye un tratamiento de datos de carácter personal. De acuerdo con los preceptos transcritos, la videocámara reproduce la imagen de los afectados por este tipo de tratamientos y, a efectos de la LOPD, la imagen de una persona constituye un dato de carácter personal, toda vez que la información que capta concierne a personas y suministra información sobre la imagen personal de éstas, el lugar de su captación y la actividad desarrollada por el individuo al que la imagen se refiere. Por lo tanto, la legitimación para el uso de instalaciones de videovigilancia se ciñe a la protección de entornos privados. La prevención del delito y la garantía de la seguridad en las vías públicas corresponden en exclusiva a las Fuerzas y Cuerpos de Seguridad del Estado. De manera que la regla general es la prohibición de captar imágenes de la vía pública por parte de instalaciones privadas, al ser competencia de los Cuerpos y Fuerzas de Seguridad del Estado. Sin embargo, en determinadas ocasiones la instalación de un sistema de videovigilancia privada puede captar imágenes parcialmente de la vía pública. Estos casos deben ser una excepción y respetar la proporcionalidad en el tratamiento. En primer lugar, no deberá existir una posibilidad de instalación alternativa. Por otra parte, las videocámaras deberán orientarse de modo tal que su objeto de vigilancia principal sea el entorno privado y la captación de imágenes de la vía pública sea la mínima imprescindible. En este sentido, se pronuncia la Instrucción 1/2006, en el artículo 4 como ya se vio anteriormente. Para que la excepción recogida en el artículo 4.3 de la Instrucción 1/2006 resulte aplicable no deberá existir una posibilidad de instalación alternativa, sin que pueda interpretarse que dicho precepto constituye una habilitación para captar imágenes en espacios públicos, puesto que en ningún caso puede admitirse el uso de prácticas de vigilancia más allá del entorno objeto de la instalación y en particular en lo que se refiere a los espacios públicos circundantes, edificios contiguos y vehículos distintos de los que accedan al espacio vigilado. En el presente caso, en la inspección llevada a cabo el día 10 de febrero de 2014 en el establecimiento objeto de denuncia, se comprobó mediante documento gráfico (página 7) que la cámara identificada como número 1 recoge imágenes de la entrada al supermercado de la cadena LIDL cercano al establecimiento videovigilado, lo que supone prácticas de vigilancia que superan el entorno objeto de la instalación. Se alega al acuerdo de inicio que no se ha probado el carácter desproporcionado de la captación de imágenes ni que existan datos vinculados a una persona física C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/19 identificada o identificable. A este respecto ya se ha visto que los datos de imagen son datos personales aunque las imágenes no estén asociados a los datos personales del interesado y en este caso se observa claramente la entrada del establecimiento situado enfrente y en ella se ve a una persona saliendo y a otra persona de espaldas. Tampoco cabe estimar lo alegado respecto de la proporcionalidad de lo captado toda vez que se ha acreditado que se capta el establecimiento situado frente al denunciado lo que, como ya se ha expresado, supera el entorno objeto de la instalación. Por otra parte la propia entidad denunciada expone que ha procedido a rectificar el enfoque de esa cámara nº 1 y en prueba de ello aporta el certificado de la empresa encargada del mantenimiento del sistema en el que consta que se ha realizado el siguiente trabajo: “Ajustar el campo de captación de imágenes de los domos móviles exteriores situados en la entrada principal y zona de reserva, para que no capten imágenes del exterior del recinto propiedad de Decathlon”. Se adjuntan también 3 fotografías que, según la entidad denunciada, son la secuencia de imágenes que graba ahora la cámara nº 1. Así, de conformidad con la normativa y jurisprudencia expuesta, la captación de imágenes a través de videocámaras, como es el caso que nos ocupa, constituye un tratamiento de datos personales, cuyo responsable se identifica, en el presente caso, con el denunciado, toda vez que es éste el que decide sobre la finalidad, contenido y uso del citado tratamiento. Dicho responsable carece de legitimación para el tratamiento de las imágenes realizando un tratamiento de datos personales sin cumplir la normativa reguladora de protección de datos. VI El artículo 44.3.
- b)de la LOPD considera infracción grave: “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En función de lo expuesto cabe apreciar la existencia de la infracción denunciada por cuanto el motivo de la instalación de las videocámaras es la captación de imágenes de personas, que, tal y como anteriormente se ha referido, constituyen datos de carácter personal, no acreditándose que se cuente con el consentimiento de los afectados cuyos datos personales se tratan por las cámaras instaladas, tal y como establece el artículo 6.1 de la LOPD. VII La seguridad y la vigilancia, elementos presentes en la sociedad actual, no son incompatibles con el derecho fundamental a la protección de la imagen como dato de carácter personal, lo que exige al responsable del tratamiento respetar la normativa existente en materia de protección de datos y cumplir el principio de calidad de datos recogido en el artículo 4.5 de la LOPD cuya vulneración se imputa a la entidad DECATHLON ESPAÑA S.A., y cuyo tenor literal dispone que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/19 “5. Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados... No serán conservados de forma que permita la identificación del interesado durante un periodo superior al necesario para los fines en base a los cuales hubieran sido recabados o registrados. Reglamentariamente se determinará el procedimiento por el que, por excepción, atendidos los valores históricos, estadísticos o científicos de acuerdo con la legislación específica se decida el mantenimiento íntegro de determinados datos”. Esta exigencia deriva del principio de calidad de los datos y hay que ponerla a su vez en relación con el artículo 6 de la Instrucción 1/2006 de la AEPD sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras, que establece: “Cancelación.- Los datos serán cancelados en el plazo máximo de un mes desde su captación.” Es decir, que las imágenes captadas deberán cancelarse tal y como se recoge en la Instrucción 1/2006 como máximo en un plazo de 30 días para de esta forma respetar el principio de calidad de datos recogido en el artículo 4 de la LOPD. En las alegaciones presentadas a la notificación del acuerdo de inicio del procedimiento sancionador se ha manifestado que “La imagen aportada por los inspectores que consta en el procedimiento (folios 11 y 29) y que es la base de la imputación de la supuesta infracción del art. 4 LOPD, no es, por tanto, del día 1/01/2014 (parte inferior izquierda), sino que esa es la fecha que los inspectores seleccionaron en el programa. Y se puede probar que esa imagen no puede ser del 1/01/2014 porque ese día todas las tiendas Decathlon de España (al igual que la mayoría de comercios de este país) se encuentran cerradas (Año Nuevo) y no se realiza ni limpieza ni vigilancia dentro. La fecha de la imagen es la que aparece en la parte superior derecha, fecha que aparece borrosa y no se aprecia, por lo que no es posible determinar de qué día se mostró la imagen.” En el presente caso, consta acreditado que, durante la inspección realizada el día 10 de febrero de 2014 en el establecimiento denunciado, para la comprobación del tiempo durante el que se conservan las imágenes grabadas se captó una imagen en la que se puede verse que en la esquina inferior izquierda figura la leyenda “reproduciendo fecha y hora: 2014/01/01” y en la superior derecha figura la fecha “03/01/2014”. La entidad denunciada ha alegado también que “tras la inspección, se comprobó que el sistema estaba desactualizado en cuanto a fechas y horas, por lo que ha sido necesaria la intervención de la empresa encargada del mantenimiento del programa, AGÜERO PROYECTOS E INSTALACIONES, S.L. En el certificado de la intervención realizada el día 12 de marzo como consecuencia de la rectificación del enfoque de la cámara nº 1 señalado en la alegación SEGUNDA y que ha sido aportado como DOCUMENTO N 2, los técnicos de esta empresa realizan, entre otros, los siguientes trabajos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/19 • “Puesta en hora de los grabadores digitales, verificando que coincide la fecha y hora actual con la que marcan los grabadores. • Verificar que los grabadores digitales conservan las grabaciones durante 30 días.” En este caso si bien se admite que el día 1 de enero es un día no autorizado para la apertura de establecimientos comerciales, lo cierto es que la fecha que aparece en la parte superior derecha de la imagen captada en la inspección de esta Agencia y que la entidad manifiesta que es “la fecha de la imagen”, es el día 3 de enero de 2014 y que hasta el día 10 de febrero de 2014 en que se realiza la inspección, continúa superando el máximo de 30 días de conservación de las imágenes grabadas. Por otra parte la entidad denunciada ha procedido, tras la inspección, a solicitar la intervención de la empresa de mantenimiento del sistema de videovigilancia que ha certificado que el día 12 de marzo de 2014 se verifica que los grabadores digitales conservan las grabaciones durante 30 días. Con ello se constata que a partir de esa fecha las grabaciones no superan el plazo máximo desde su captación y que se ha procedido a subsanar la infracción. En el presente caso, consta acreditado que, en el momento en que tuvo lugar la inspección, la entidad DECATHLON ESPAÑA S.A. dispone, en el establecimiento situado en el Polígono Comercial El Golf, Km 104 de Talavera de la Reina, Toledo, de un sistema de videovigilancia que capta y graba imágenes que se conservan por un plazo superior al máximo establecido en el artículo 6 de la instrucción 1/2006 de la AEPD. VIII Dicha infracción aparece tipificada como grave en el artículo 44.3.
- c)de la LOPD, en la redacción dada por la LES, que considera como tal: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. Tal y como ya se ha indicado, ha quedado acreditado que la entidad denunciada conserva las imágenes durante un plazo superior al máximo establecido en el art. 6 de la Instrucción 1/2006, de acuerdo con lo dispuesto en el art. 4.5 de la LOPD, conducta que encuentra su tipificación en el artículo 44.3.
- c)de la LOPD. IX La entidad denunciada expone, en las alegaciones al acuerdo de inicio, que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/19 concurren todos los presupuestos y requisitos para acordar el apercibimiento. A este respecto cabe exponer que la Ley 2/2011, de 4 de marzo, de Economía Sostenible (en adelante LES), en su Disposición final Quincuagésima Sexta, introduce importantes modificaciones en el Título VII de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD). En relación con dicha reforma, procede indicar que la Ley 30/1992, de 26 de noviembre de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común –que, al decir de su Exposición de Motivos (punto 14) recoge “los principios básicos a que debe someterse el ejercicio de la potestad sancionadora de la Administración y los correspondientes derechos que de tales principios se derivan para los ciudadanos extraídos del Texto Constitucional y de la ya consolidada jurisprudencia sobre la materia”- sanciona el principio de aplicación retroactiva de la norma más favorable estableciendo en el artículo 128.2 que “las disposiciones sancionadoras producirán efecto retroactivo en cuanto favorezcan al presunto infractor”. Por ello, deberá analizarse si el régimen sancionador derivado de la reforma operada en la LOPD por la LES, que entró en vigor al día siguiente de su publicación en el B.O.E., resulta más beneficioso para la presunta infractora en el presente procedimiento. Por lo que aquí interesa, la LES ha modificado el intervalo de las cuantías de las sanciones correspondientes a las infracciones graves y leves, imputadas en este caso, en el sentido de reducir el límite máximo y mínimo en las infracciones graves y el límite máximo en las infracciones leves. Por tanto, resulta aplicable al presente procedimiento la modificación introducida por la LES, debiendo aplicarse esta norma de forma íntegra. A lo anterior ha de añadirse que la LES ha añadido un nuevo apartado 6 al artículo 45 de la LOPD del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
- a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
- b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. Sin embargo la nueva redacción del artículo 45.4 de la LOPD incluye nuevos elementos, entre los que deben destacarse los siguientes: - El volumen de negocio y actividad del infractor C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/19 - La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal. Del análisis de la concurrencia de los citados nuevos criterios se concluye que, en el presente caso, no concurre la circunstancia que exige el apartado b del citado artículo 45.6 de la LOPD al haber sido apercibida con anterioridad la entidad imputada, en el procedimiento de referencia A/00211/2012, por lo que no procede la aplicación de la previsión contenida en el nuevo apartado 6 del artículo 45 LOPD, que permite no acordar la apertura de un procedimiento sancionador, y en su lugar, apercibir al sujeto responsable. X El artículo 45 .1 .2 .4 y .5 de la LOPD, establece lo siguiente: 1. Las infracciones leves serán sancionadas con multa de 900 € a 40.000 €. 2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 €. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/19 fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» De conformidad con el análisis realizado se ha incurrido en las infracciones descritas. Así, ha quedado acreditado que la entidad DECATHLON ESPAÑA S.A. utiliza sus cámaras de videovigilancia que captan imágenes de la vía pública y de edificios contiguos de forma inadecuada y excesiva, sin contar con el consentimiento de los afectados para el tratamiento de sus datos personales, así como que dicha entidad conserva las imágenes durante un plazo superior al máximo establecido en el art. 6 de la Instrucción 1/2006 de la AEPD, actuaciones que no responden a la intervención mínima que exige la ponderación entre la finalidad de vigilancia y control de bienes y personas y la posible afectación por la utilización de las mencionadas videocámaras al derecho al honor, a la propia imagen, a la intimidad de las personas y a la normativa de protección de datos, constituyendo tales conductas las infracciones graves tipificadas en los artículos 44.3.
- b)y 44.3.c). Se solicita, en las alegaciones al acuerdo de inicio que en caso de no valorar la petición de exención de responsabilidad o de aplicación del apercibimiento se tenga en cuenta el artículo 45.5 LOPD para aplicar la escala relativa a las infracciones leves. En el presente caso, aunque ha quedado acreditada la comisión por parte de la entidad DECATHLON ESPAÑA S.A. de las infracciones graves imputadas a dicha empresa, en lo que respecta a la actuación infractora se estima que concurren una serie de circunstancias que suponen una disminución cualificada de la culpabilidad. Si bien se ha producido un tratamiento de datos personales inconsentido y se ha producido una vulneración del principio de calidad de datos por la falta de cancelación de los datos en el plazo máximo permitido, sin embargo, en el presente caso ha de tenerse en cuenta que el sistema de videocámaras instalado tenía como finalidad el control y protección de bienes y personas del establecimiento, debiendo valorarse la concurrencia de la circunstancia prevista en el artículo 44.5.
- b)sobre la regularización diligente de la situación irregular, toda vez que se ha acreditado por medio de certificado de la empresa de mantenimiento del sistema denunciado y de documentación gráfica al respecto, que se ha ajustado el ángulo de captación de imágenes de los domos móviles exteriores situados en la entrada principal y zona de reserva, para que no capten imágenes del exterior del recinto propiedad de Decathlon y se ha verificado que los grabadores digitales conservan las grabaciones durante 30 días. Por todo ello, se considera que procede la aplicación de lo previsto en el artículo 45.5 de la LOPD que permite establecer la cuantía de la sanción aplicando la escala relativa a las infracciones que preceden en gravedad. Por otra parte, el art. 45.4 de la LOPD recoge una serie de criterios relativos a la aplicación del principio de proporcionalidad en la graduación del importe de la sanción, según las indicaciones del art. 131.3 de la LRJPAC (Ley 30/92 de 26 de noviembre), que establece: “en la determinación normativa del régimen sancionador, así como en la imposición de sanciones por las Administraciones Públicas se deberá guardar la debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada, considerándose especialmente los siguientes criterios para la graduación de la sanción a aplicar:
- a)la existencia de intencionalidad o reiteración,
- b)la naturaleza de los perjuicios causados,
- c)la reincidencia”. Pues bien la secuencia de hechos expuesta en esta resolución, valorada en aplicación de dichos criterios, y teniendo en cuenta los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/19 criterios expuestos en los puntos b y d del punto 4 del artículo 45 de la LOPD, respecto del volumen de los tratamiento efectuados en una entidad como la aquí imputada y con un elevado volumen de negocio, permiten, que en este caso, se considere procedente la imposición de una sanción en la cuantía de 3.000 € por la infracción del artículo 4.5 de la LOPD y una sanción en la cuantía de 20.000 € por la infracción del artículo 6.1 de la LOPD. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad DECATHLON ESPAÑA S.A., por una infracción del artículo 4.5 de la LOPD, tipificada como grave en el artículo 44.3.
- c)de dicha norma, una multa de 3.000 € (tres mil euros) de conformidad con lo establecido en el artículo 45.1, . 2, .4 y .5 de la citada Ley Orgánica. SEGUNDO: IMPONER a la entidad DECATHLON ESPAÑA S.A., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de dicha norma, una multa de 20.000 € (veinte mil euros) de conformidad con lo establecido en el artículo 45.1, .2, .4 y .5 de la citada Ley Orgánica. TERCERO: NOTIFICAR la presente resolución a DECATHLON ESPAÑA S.A. y a Dª. A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/19 Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es