← España

PS-00111-2019

1/14  Procedimiento Nº: PS/00111/2019 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 27 de julio de 2018 se registra de entrada en la Agencia Española de Protección de Datos reclamación formulada por Don A.A.A. (en adelante, el reclamante) contra la COMUNIDAD DE PROPIETARIOS R.R.R., (en adelante, el reclamado), sita en la ***DIRECCION.1, por la instalación de un sistema de videovigilancia sin cumplir el deber de informar a los interesados afectados por dicho tratamiento mediante la colocación de distintivos informativos de zona videovigilada en lugares suficientemente visibles, tanto en espacios abiertos como cerrados, así como en los lugares con distintos accesos como son la piscina, el club social y la zona de juegos infantiles de la Comunidad de Propietarios. El reclamante adjunta un reportaje fotográfico de las reseñadas zonas de la Urbanización a fin de justificar la inexistencia de distintivo informativo en las diferentes puertas de acceso a la piscina y el club social o los accesos a la zona de juegos infantiles. En las fotografías aportadas, aunque de escasa calidad y sin fechar, no se aprecia la existencia de distintivos informativos de zona videovigilada en el espacio mostrado por las mismas. Asimismo, el reclamante aporta copia de un correo electrónico enviado con fecha 20 de junio a la cuenta ***EMAIL.1, en el que además de requerir información sobre las finalidades a las que respondía la instalación de videocámaras en las mencionadas zonas y los motivos a los que respondía su falta de señalización con distintivos informativos, solicitaba el acta donde se reflejase el acuerdo de la Junta de Propietarios para la instalación de videocámaras en la piscina, la zona de juegos infantiles y el club social. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante la Subdirección General de Inspección de Datos solicitó, con fecha 3 de octubre de 2018, determinada información al reclamado a fin de valorar la adecuación de la instalación de las cámaras de videovigilancia a la normativa de protección de datos, entre la que se encontraba: Información facilitada de la existencia de una zona videovigilada mediante fotografías del cartel o carteles informativos en las que sea posible apreciar tanto su ubicación como los datos mostrados; Marca y modelo de las cámaras, aportando los documentos (manual de instalación, ficha técnica, factura o ticket de compra,…) que permitan verificar sus características y modo de funcionamiento; alcance de las cámaras y lugares donde están instaladas, acreditando mediante fotografía de las imágenes captadas por las cámaras, tal y como se visualizan en el monitor o sistema equivalente, que se ha limitado el espacio de captación para no afectar a terrenos y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 viviendas colindantes, la vía pública o cualquier otro espacio ajeno o reservado; aportación de copia de copia del acta de la Junta de la Comunidad de Propietarios en la que se apruebe la instalación de las cámaras de videovigilancia, indicación del plazo de conservación de las imágenes que se registran y detalle de las medidas adoptadas para garantizar que sólo el personal autorizado accede a las grabaciones. 2.1 Con fecha 19 de noviembre de 2018, se registra de entrada en esta Agencia escrito del representante legal del reclamado aportando una serie de documentación de la que se desprenden los siguientes hechos: Que el reclamado es el responsable del tratamiento que responde a fines de videovigilancia (control de accesos al recinto) y cuya base legitimadora es el interés legítimo en mantener y garantizar la seguridad y control de los accesos e instalaciones. Las imágenes se almacenan durante 30 días. El reclamado, con fecha 23 de mayo de 2018, suscribió “Contrato de Instalación y Mantenimiento” del sistema de seguridad analizado con la entidad ALTATEC SISTEMAS, S.L. Que con fecha 12 de agosto de 2017 se celebró Junta General Ordinaria de la Comunidad de Propietarios. El punto nº 5 del Orden del día tenía como asunto, según se desprende de la copia del Acta aportada por el reclamado: “Propuestas de Seguridad. Acuerdos a Tomar”, apareciendo en el mismo detalle de tres propuestas relacionadas con la ampliación del sistema de Videovigilancia. Respecto de dicha cuestión, en el Acta levantada consta que a la vista el resultado de la votación, “de 27 votos a favor de propuestas de seguridad y 17 en contra, se acuerda realizar una Junta Extraordinaria para el próximo sábado día 19 de Agosto y volver a proponer estas opciones, preguntando antes por el SI o NO a la seguridad.”. En relación con este acuerdo, el reclamado no aporta copia del Acta levantada con motivo del resultado de la Junta Extraordinaria convocada a los efectos señalados para el 19 de agosto de 2017. El reclamado aporta copia del documento denominado “Anexo para cumplimiento del nuevo Reglamento Europeo de Protección de Datos 2016/79”, sin fechar. En este documento no aparece identificada la entidad a la que ALTATEC SISTEMAS, S.L. prestará servicios de instalación y/o mantenimiento del sistema de videovigilancia y/o control de accesos como encargado del tratamiento, no figurando tampoco ninguna información que permita asociar dicho Anexo con el reclamado. 2.2 Con fecha 27 de noviembre de 2018 se requiere al reclamado complementar la documentación inicialmente remitida aportando la siguiente información “imágenes de los carteles en los que se avisa de la existencia de una zona videovigilancia en las que se pueda apreciar su ubicación, además deberán facilitar imágenes del campo de visión de las cámaras de su sistema de videovigilancia y por último deben aportar el acta de la Junta de Propietarios en la que efectivamente se aprueba la instalación del sistema de videovigilancia (ya que el acta que presentaron con sus últimas alegaciones dejaba pendiente la aprobación de la instalación).” Con fecha 10 de diciembre de 2018, el representante del reclamado aporta reportaje fotográfico mostrando el distintivo informativo de zona videovigilada colocado por el reclamado en los accesos y salidas, tanto peatonales como de vehículos, del recinto de la Urbanización. En el distintivo se identifica al reclamado como responsable del tratamiento de videovigilancia señalizado, se indica el domicilio postal al que los interesados pueden dirigirse para ejercitar sus derechos y se indica que se puede C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 obtener “Más información sobre el tratamiento de los datos personales en los impresos informativos correspondientes, que se encuentran a su disposición en estas instalaciones.”. 2.3 Con fecha 11 de febrero de 2019 se requiere nuevamente al reclamado para que aporte “por un lado, las imágenes del campo de visión de todas las cámaras que forman parte del sistema de videovigilancia de la comunidad de propietarios y por otro, deberán facilitar el acta de la Junta de Propietarios en la que efectivamente se aprueba la instalación del sistema de videovigilancia (ya que el acta que presentaron con sus últimas alegaciones dejaba pendiente la aprobación de la instalación).” Con fecha 1 de marzo de 2019, el representante del reclamado aporta nuevo reportaje fotográfico mostrando capturas de imágenes de distintas instalaciones y/o accesos de la urbanización. Una de las imágenes se obtuvo el día 4 de octubre de 2018 y correspondiente a la cámara 15. El resto de las capturas aportadas son imágenes obtenidas el día 5 de noviembre de 2018 por las cámaras 1, 2, 3, 4, 6, 7, 8, 9, 10, 11, 12, 13, 14, 16, 17 algunas de las cuales muestran que se han introducido máscaras de privacidad para ocultar las viviendas colindantes. También presenta captura de una imagen de la piscina y de la zona de césped aledaña a la misma obtenida por la cámara 5 el día 5 de noviembre de 2018. No obstante lo cual, el reclamado no presentó, a pesar de habérselo requerido expresamente en tres ocasiones, copia del Acta de la Comunidad de Propietarios en la que se acordó aprobar la instalación del sistema de videovigilancia en zonas comunes de la Comunidad de Propietarios, en particular, la cámara de la piscina. TERCERO: Con fecha 13 de junio de 2019, la Directora de la Agencia Española de Protección de Datos, acordó iniciar procedimiento sancionador al reclamado, de conformidad con lo previsto en el artículo 58.2.

  1. b)del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, (en adelante RGPD), por presunta infracción a lo previsto el artículo 6.1.
  2. f)del RGPD, tipificada en el artículo 83.5.
  3. a)del RGPD. Asimismo, a los efectos previstos en el artículo 58.2.
  4. d)del RGPD en dicho acuerdo de inicio se notificaban las medidas correctivas que, de confirmarse la existencia de infracción, podrían imponerse en la resolución que se adoptase, consistentes, a la vista de los elementos de juicio disponibles en ese momento, en ORDENARLE la implementación de medidas técnicas y organizativas apropiadas para adecuar el tratamiento estudiado al principio de licitud del tratamiento. A saber: - Identificar y justificar los intereses legítimos perseguidos por el reclamado que prevalecen sobre los intereses o los derechos en materia de protección de datos de los interesados cuyas imágenes son recogidas a través de las cámaras de videovigilancia instaladas en zonas comunes de la Comunidad de Propietarios, particularmente en lo que afecta a las zonas de la piscina, de juegos y club social. - Aportar copia del Acta de la Junta de Propietarios en la que se aprobó la instalación del sistema de videovigilancia estudiado en zonas comunes de la Comunidad de Propietarios, y en la que habrá de constar el acuerdo expreso de instalar cámaras de videovigilancia en la zona de la/s piscina/s comunitaria/s y sus aledaños. - Acreditar que se adoptan las medidas organizativas necesarias para regularizar en forma efectiva la situación descrita, describiéndose las mismas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 Dichas medidas se habrían de adoptar, en su caso, en el plazo que se estableciese a tales efectos, computado desde el día siguiente al de la notificación de la resolución sancionadora que pueda recaer, debiendo aportarse los medios de prueba acreditativos de su cumplimiento. Intentando notificar el citado acuerdo de inicio a través de la Sociedad Estatal Correos y Telégrafos, S.A., fue devuelto a origen por Sobrante al no ser retirado de la oficina de Correos por el reclamado, pudiendo ser notificado al reclamado el día 26 de junio de 2019 a través de un servicio de mensajería. CUARTO: Con fecha 10 de julio de 2019, el reclamado presentó escrito de alegaciones solicitando el archivo del procedimiento sancionador con fundamento en la inexistencia de la infracción imputada al RGPD, lo que justifica, en síntesis, en lo que sigue: - Que por un error en el envío de la documentación a aportar, en su día no se adjuntó copia del Acta de la Junta Extraordinaria de fecha 19 de agosto de 2017, en la que se acordó mejorar el servicio de seguridad de la Comunidad a través de la videovigilancia. Este acuerdo fue aprobado, no siendo impugnado judicialmente por vecino alguno, ni tan siquiera por el reclamante. Al tratarse de un error subsanable, se viene a corregir en este momento. - Que la propuesta de las medidas de seguridad se debe al interés de incrementar la seguridad en la Comunidad por temor a actos vandálicos. Aunque señala que adjunta copia de las Actas de fechas 08/04/2017, 12/08/2017 y 19/08/2017 justificativas de la existencia de unos intereses legítimos para su instalación, como son la protección de la integridad física de los moradores de la Comunidad y la inviolabilidad de los bienes comunes, en realidad únicamente adjunta impresión de captura de dos correos electrónicos de fechas 5 y 8 de julio de 2019 vinculadas a la aportación de esa documentación. - Que la instalación de las videocámaras se produjo con posterioridad a su aprobación en Junta de Propietarios convocada a esos únicos efectos, por lo que en modo alguno se ha infringido el RGPD. QUINTO: Con fecha 11 de julio de 2019, se registra de entrada escrito del reclamado adjuntando documento relativo a las “Medidas de Seguridad del Sistema de videovigilancia y control de accesos” de la Comunidad, elaborado por ALTATEC SEGURIDAD. Posteriormente, el 16 de julio de 2019 se registra de entrada escrito del reclamado reiterando las alegaciones efectuadas con anterioridad y adjuntando la siguiente documentación: Acta de la Junta Extraordinaria de la Comunidad, de fecha 08/04/2017; Acta de la Junta General Ordinaria de la Comunidad, de fecha 12/08/2017; Acta de la Junta General Extraordinaria de la Comunidad, de fecha 19/08/2017 SEXTO: Con fecha 10 de diciembre de 2019 se formula propuesta de resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se archivasen las actuaciones practicadas en el procedimiento sancionador de apercibimiento instruido al reclamado, de conformidad con lo previsto en el artículo 58.2.
  5. b)del RGPD, por una infracción del artículo 6.1.
  6. e)del RGPD, tipificada en el artículo 83.5.
  7. a)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 La reseñada propuesta se dirigió tanto al reclamado como a la sociedad MEDITERRÁNEO SERVICIOS DE GESTIÓN INTEGRAL, SAU, (en adelante, MSGI), entidad que había venido actuando en representación legal del reclamado en algunos de los actos obrantes en el procedimiento. Con fecha 21 de diciembre de 2019 fue devuelta por rechazo automático la notificación de la propuesta de resolución puesta a disposición de la sociedad MSGI por medios electrónicos. Con fecha 26 de diciembre de 2019 la Sociedad Estatal Correos y Telégrafos, S.A. devolvió a origen por “Sobrante” la notificación de la propuesta de resolución remitida al reclamado, al no haber sido retirado el envío de la oficina de Correos por el reclamado, ello después de haber resultado “Ausente” en los dos intentos de entrega practicados en el domicilio postal fijado por el reclamado a efectos de notificaciones. Con fechas 2 y 3 de enero de 2020 la Instructora reiteró el intento de notificación de dicha propuesta de resolución a MSGI y al reclamado, respectivamente, a través de la Sociedad Estatal Correos y Telégrafos, S.A., constando en el procedimiento que el citado acto fue notificado a MSGI con fecha 8 de enero de 2020 y que la Sociedad Estatal Correos y Telégrafos, S.A. devolvió a origen el envío por “Sobrante” con fecha 17 de enero de 2020, al no ser retirado el mismo de la oficina de Correos por el reclamado después de los intentos de notificación practicados en el domicilio del reclamado. HECHOS PROBADOS Primero.- Con fecha 27 de julio de 2018 se registra de entrada en la Agencia Española de Protección de Datos reclamación formulada por el reclamante contra la COMUNIDAD DE PROPIETARIOS R.R.R., (el reclamado), cuya ubicación consta en el Antecedente de Hecho Primero de este acto, por la instalación de un sistema de videovigilancia sin cumplir el deber de informar a los interesados afectados por dicho tratamiento mediante la colocación de distintivos informativos de zona videovigilada en lugares suficientemente visibles, tanto en espacios abiertos como cerrados, así como en los lugares con distintos accesos como son la piscina, el club social y la zona de juegos infantiles de la Comunidad de Propietarios. Segundo.- Con fecha 23 de mayo de 2018 el reclamado y la empresa de seguridad ALTATEC SISTEMAS, S.L. suscribieron “Contrato de Instalación y Mantenimiento” del sistema de seguridad en el que se integran las cámaras de videovigilancia reseñadas en la reclamación. Tercero.- El reclamado es responsable del tratamiento de las imágenes obtenidas a través del sistema de videovigilancia instalado en la Urbanización en cuestión para mantener y garantizar la seguridad y control de los bienes y personas en los accesos e instalaciones comunes de la misma. Las imágenes captadas por las cámaras que integran el sistema de videovigilancia son grabadas y almacenadas durante 30 días. Cuarto.- Mediante reportaje fotográfico aportado con fecha 10 de diciembre de 2018, el reclamado ha acreditado que en los accesos y salidas, tanto peatonales como de vehículos, del recinto de la Urbanización hay colocado un distintivo informativo de zona videovigilada, en el que se identifica al reclamado como responsable del tratamiento de videovigilancia señalizado, se incluye el domicilio postal al que los interesados pueden dirigirse para ejercitar sus derechos y se señala que se puede C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 obtener “Más información sobre el tratamiento de los datos personales en los impresos informativos correspondientes, que se encuentran a su disposición en estas instalaciones.” . Quinto.- Con fecha 16 de julio de 2019, el reclamado ha presentado copia de la siguiente documentación: - Acta de la Junta Extraordinaria de la Comunidad, de fecha 08 de abril de 2017. - Acta de la Junta General Ordinaria de la Comunidad, de fecha 12 de agosto de 2017, en cuyo punto nº 5 del Orden del día, bajo el título “Propuestas de Seguridad. Acuerdos a Tomar”, se detallaban tres propuestas que partían de la ampliación del sistema de Videovigilancia “para los accesos principales, zonas comunes centrales y todos los pasillos perimetrales conectados a una central Receptora de Alarma” y se complementaban con otros servicios en cada una de ellas. A la vista del resultado de la votación efectuada en relación con dicho punto, “de 27 votos a favor de propuestas de seguridad y 17 en contra” consta en dicha Acta que se acordó “realizar una Junta Extraordinaria para el próximo sábado día 19 de Agosto y volver a proponer estas opciones, preguntando antes por el SI o NO a la seguridad.”. - Acta de la Junta General Extraordinaria de la Comunidad, de fecha 19 de agosto de 2017, que tenía como único punto de orden del día el siguiente: 1. PROPUESTAS DE SEGURIDAD. ACUERDOS A TOMAR. A) ¿Quiere mejoras en el Servicio de Seguridad de la Comunidad?(…) B) ¿Qué mejora de las siguientes propuestas cubre sus expectativas? (Si la votación en el apartado A ha sido positiva, se procederá a la votación de este apartado que conllevará integrar en el presupuesto de gastos para 2017/2018 la propuesta aprobada)”. En este apartado se detallaban tres propuestas que, como mínimo, contemplaban la ampliación del sistema de Videovigilancia para los accesos principales, zonas comunes centrales y todos los pasillos perimetrales conectados a una central Receptora de Alarma, opción mínima que se complementaba con otros servicios en las restantes propuestas, suponiendo cada una de ellas un incremento determinado mensual por propietario. En esta Acta figura que aprobado por mayoría la propuesta de mejorar el Servicio de Seguridad de la Comunidad, se pasa al apartado B) y que, efectuada la votación del apartado B) se aprueba “por mayoría de los asistentes la OPCIÓN a)”. Es decir, la “ampliación del sistema de Videovigilancia para los accesos principales, zonas comunes centrales y todos los pasillos perimetrales conectados a una central Receptora de Alarma”. Asimismo, “también se aprueba por mayoría la integración del gasto de esta propuesta aprobada en el presupuesto de gastos para el ejercicio 2017/2018, que supone un incremento de aproximadamente entre (…) por propietario y mes, dependiendo de su coeficiente” FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 55.1, 56.2 y 58.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 personales y a la libre circulación de estos datos (Reglamento General de Protección de Datos, en adelante RGPD) reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Los hechos analizados fueron calificados en el Acuerdo de Inicio de este expediente sancionador como constitutivos de una infracción del apartado
  8. f)del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
  9. a)de la misma norma. No obstante, en esta fase del procedimiento se considera conveniente modificar la calificación jurídica efectuada imputando al reclamado una infracción del apartado
  10. e)del artículo 6.1 del RGPD, también tipificada en el artículo 83.5.
  11. a)del RGPD. Respecto a si es o no procedente cambiar en fase de propuesta la calificación jurídica de los hechos objeto de la reclamación efectuada en el Acuerdo de Inicio, y a la incidencia que tal cambio puede tener en el derecho de defensa del reclamado, conviene señalar que nada impide hacer esta modificación siempre y cuando, como ahora sucede, permanezcan invariables los hechos en los que se funda la imputación formulada. El artículo 53.2 de la Ley 39/2015, del Procedimiento Administrativo Común de las Administraciones Públicas, relativo a los “Derechos del interesado en el procedimiento administrativo”, establece lo siguiente: “2. Además de los derechos previstos en el apartado anterior, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables tendrán los siguientes derechos:
  12. a)A ser notificado de los hechos que se le imputen, de las infracciones que tales hechos puedan constituir y de las sanciones que, en su caso, se les pudieran imponer, así como de la identidad del Instructor, de la autoridad competente para imponer la sanción y de la norma que atribuya tal competencia.
  13. b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” El Tribunal Constitucional ha venido señalando que “el contenido esencial del derecho constitucional a ser informado de la acusación se refiere a los hechos considerados punibles que se imputan al acusado” (STC 95/1995). (El subrayado es de la AEPD). Por el contrario, y a diferencia de lo que acontece con los hechos, el TC, en Sentencia 145/1993 advierte que la comunicación al presunto infractor de la calificación jurídica y de la eventual sanción a imponer no integra el contenido esencial del derecho a ser informado de la acusación. Hasta tal punto es importante la puesta en conocimiento de los hechos constitutivos de la infracción administrativa, que el T.C. ha declarado que las exigencias del artículo 24.2 de la CE se satisfacen fundamentalmente con la sola comunicación de los hechos imputados para poder defenderse sobre los mismos (STC 2/1987 y 190/1987). En esta línea el Tribunal Supremo, Sentencia de 3 de marzo de 2004, señala que “la finalidad primordial del acuerdo de inicio es informar sobre los hechos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 imputados y no sobre la calificación jurídica, de lo que se encargará la propuesta de resolución”. (El subrayado es de la AEPD). III En el presente caso se trata de dilucidar si la conducta del reclamado se ajusta a lo establecido en el mencionado artículo 6 del RGPD, precepto que establece los supuestos concretos bajo los cuales se considera lícito el tratamiento de los datos personales de los interesados. El citado precepto establece lo siguiente: “Artículo 6. Licitud del tratamiento “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones: (…)
  14. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; A estos efectos se recuerda que el artículo 4 del RGPD, bajo la rúbrica “Definiciones”, dispone que: “A efectos del presente Reglamento se entenderá por: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” 7) «responsable del tratamiento>> o <<responsable>>: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; >> 10) <<tercero>>: persona física o jurídica, autoridad pública, servicio u organismo distinto del interesado, del responsable del tratamiento, del encargado del tratamiento y de las personas autorizadas para tratar los datos personales bajo la autoridad directa del responsable o del encargado; De conformidad con dichas definiciones, la captación de imágenes concernientes a personas físicas a través de las cámaras de videovigilancia que integran el sistema de seguridad instalado en los diferentes accesos y zonas comunes de la Urbanización, así como la posterior visualización, almacenamiento y grabación de dichas imágenes, constituye un tratamiento de datos de carácter personal respecto del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 cual el responsable del mismo, en este caso el reclamado, ha de dar cumplimiento al principio de licitud del tratamiento recogido en el artículo 6.1 del RGPD. Por su parte, la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), en su artículo 22, relativo a “Tratamiento con fines de videovigilancia”, en sus apartados 1, 3 y 4, establece que: “1. Las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. (…) 3. Los datos serán suprimidos en el plazo máximo de un mes desde su captación, salvo cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En tal caso, las imágenes deberán ser puestas a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación. No será de aplicación a estos tratamientos la obligación de bloqueo prevista en el artículo 32 de esta ley orgánica. 4. El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información. En todo caso, el responsable del tratamiento deberá mantener a disposición de los afectados la información a la que se refiere el citado reglamento.” IV Atendido que la finalidad de la videovigilancia es garantizar la seguridad de las personas, bienes e instalaciones, la legitimación del tratamiento analizado viene dada por el apartado
  15. e)del artículo 6.1 del RGPD. De este modo, la captación de imágenes por cámaras de videovigilancia en los accesos y espacios comunes de una comunidad de propietarios queda incardinada en la esfera del interés público para garantizar la seguridad de la misma, tanto de las personas que utilicen esas zonas comunes, como de los bienes e instalaciones Por otra parte, dado que la captación de imágenes de videovigilancia se produce en zonas o elementos comunes de la Comunidad de Propietarios, la instalación del sistema de videovigilancia con fines de seguridad ha de acordarse en Junta de Propietarios conforme a lo previsto en los artículos 14 y 17.3 la Ley 49/1960, de 21 de julio, de Propiedad Horizontal, (en adelante, LPH). Así, el artículo 14 de la citada Ley 49/1960 establece que: “Corresponde a la Junta de propietarios: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14
  16. a)Nombrar y remover a las personas que ejerzan los cargos mencionados en el artículo anterior y resolver las reclamaciones que los titulares de los pisos o locales formulen contra la actuación de aquéllos.
  17. b)Aprobar el plan de gastos e ingresos previsibles y las cuentas correspondientes.
  18. c)Aprobar los presupuestos y la ejecución de todas las obras de reparación de la finca, sean ordinarias o extraordinarias, y ser informada de las medidas urgentes adoptadas por el administrador de conformidad con lo dispuesto en el artículo 20.c).
  19. d)Aprobar o reformar los estatutos y determinar las normas de régimen interior.
  20. e)Conocer y decidir en los demás asuntos de interés general para la comunidad, acordando las medidas necesarias o convenientes para el mejor servicio común.” El artículo 17.3 de la reseñada ley, que regula los Quorums y régimen de la aprobación de acuerdos por la Junta de propietarios, señala que: “Los acuerdos de la Junta de propietarios se sujetarán a las siguientes normas: (…) 3. El establecimiento o supresión de los servicios de portería, conserjería, vigilancia u otros servicios comunes de interés general, supongan o no modificación del título constitutivo o de los estatutos, requerirán el voto favorable de las tres quintas partes del total de los propietarios que, a su vez, representen las tres quintas partes de las cuotas de participación. Idéntico régimen se aplicará al arrendamiento de elementos comunes que no tengan asignado un uso específico en el inmueble y el establecimiento o supresión de equipos o sistemas, no recogidos en el apartado 1, que tengan por finalidad mejorar la eficiencia energética o hídrica del inmueble. En este último caso, los acuerdos válidamente adoptados con arreglo a esta norma obligan a todos los propietarios. No obstante, si los equipos o sistemas tienen un aprovechamiento privativo, para la adopción del acuerdo bastará el voto favorable de un tercio de los integrantes de la comunidad que representen, a su vez, un tercio de las cuotas de participación, aplicándose, en este caso, el sistema de repercusión de costes establecido en dicho apartado.” V En virtud de lo establecido en el artículo 58.2 del RGPD, la Agencia Española de Protección de Datos, en cuanto autoridad de control, dispone de un conjunto de poderes correctivos en el caso de que concurra una infracción a los preceptos del RGPD. El artículo 58.2 del RGPD dispone lo siguiente: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  21. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14 (...) “
  22. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;” “
  23. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;” El artículo 83 del RGPD, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas”, en sus apartados 1 y 5.
  24. a)señala que: ““1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: “
  25. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” Paralelamente, el artículo 72.1.
  26. b)de la LOPDGDD, bajo la rúbrica “Infracciones consideradas muy graves”, dispone: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  27. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.” VI En el presente caso, a la vista de los elementos de juicio disponibles en el momento en que se acordó iniciar el presente procedimiento sancionador, se imputó al reclamado una posible vulneración del principio de licitud del tratamiento recogido en el artículo 6.1 del RGPD, infracción tipificada en el artículo 83.5.
  28. a)del citado Reglamento y calificada como infracción muy grave a efectos de prescripción en el artículo 72.1.
  29. b)de la LOPDGDD, toda vez que no había acreditado que la instalación del sistema de videovigilancia en cuestión hubiera sido acordada en Junta de Propietarios en los términos previstos en la Ley de Propiedad Horizontal En relación con este particular se señala que el reclamado fue requerido en forma reiterada, en concreto, mediante escritos de fechas 3 de octubre de 2018, 27 de noviembre de 2018 y 11 de febrero de 2019, para que aportase en el plazo que se le indicaba copia del Acta de la Junta de la Comunidad e de Propietarios en la que se aprobó la instalación de cámaras de videovigilancia en los accesos y zonas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 comunes de la misma, constando en el procedimiento la efectiva recepción por parte del reclamado de dichas solicitudes de documentación. Atendido que el reclamado no presentó el Acta de la Junta de la Comunidad de Propietarios solicitada, con fecha 13 de junio de 2019 la Directora de la AEPD acordó iniciar procedimiento sancionador al reclamado como supuesto responsable del tratamiento de datos personales de los afectados, consistente en la recogida, almacenamiento, visualización y grabación de las imágenes correspondientes a las personas que se encuentran en las zonas controladas por las cámaras de videovigilancia instaladas en los accesos y zonas comunes de la Comunidad de Propietarios, habida cuenta que el reclamado no había acreditado, en forma fehaciente, que la Junta de Propietarios había acordado la instalación del sistema de videovigilancia en las zonas comunes en cuestión. No será hasta el 16 de julio de 2019, fecha en que se registra de entrada en esta Agencia escrito de alegaciones del reclamado al acuerdo de inicio del procedimiento, que la Comunidad de Propietarios presenta, entre otra documentación, copia del Acta de la Junta General Extraordinaria celebrada por el reclamado con fecha 19 de agosto de 2017, en la que consta como aprobada por mayoría de los asistentes la “ampliación del sistema de Videovigilancia para los accesos principales, zonas comunes centrales y todos los pasillos perimetrales conectados a una central Receptora de Alarma”. Por lo tanto, aportada por el reclamado la mencionada Acta de fecha 19 de agosto de 2017, se considera que el reclamado ha justificado la licitud del tratamiento de datos personales que viene realizando a través de las cámaras de videovigilancia situadas en los accesos a la Comunidad de Propietarios y en las zonas e instalaciones comunes de la misma, - como son la piscina, el club social y la zona de juegos infantiles de la Urbanización-, dispositivos que se colocaron después de que con fecha 23 de mayo de 2018 el reclamado y la empresa de seguridad ALTATEC SISTEMAS, S.L. suscribiesen “Contrato de Instalación y Mantenimiento” del sistema de seguridad en el que se integran las cámaras de videovigilancia reseñadas en la reclamación. Así, acreditada la aprobación con arreglo a lo estipulado en la LPH del acuerdo en Junta de Propietarios relativo a la instalación de cámaras de videovigilancia en los lugares indicados y justificado, también, en los Fundamentos de Derecho II y III anteriores que el interés público legitima el tratamiento de las imágenes con datos personales obtenidas por dichas cámaras, debe concluirse que el reclamado no resulta responsable de la comisión de la infracción al principio de licitud del tratamiento que se le imputa en este procedimiento. A tenor de lo cual, resulta de aplicación lo previsto en el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, que establece como uno de los principios de la potestad sancionadora el de la “Responsabilidad”, determinando al respecto que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. Sin perjuicio de lo expuesto, y razonado que el tratamiento de datos estudiado se encuentra legitimado en la letra
  30. e)del apartado 1 del artículo 6 del RGPD, el reclamado deberá rectificar la información contenida en el impreso informativo que se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14 encuentra disposición de los interesados para completar la información sobre el tratamiento de los datos personales que se ofrece a los interesados en los carteles de zona videovigilada. Concretamente, la que señala que “La base del tratamiento es el interés legítimo en garantizar la seguridad en estas instalaciones por parte de su titular, lo que justifica que los datos sean captados necesariamente por el hecho de acceder a este recinto.” En consecuencia, se estima oportuno acordar el archivo de las actuaciones practicadas en el presente procedimiento sancionador contra el reclamado. Por lo tanto, de acuerdo con la legislación aplicable, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR las actuaciones practicadas en el procedimiento sancionador de apercibimiento instruido a la COMUNIDAD DE PROPIETARIOS R.R.R., con NIF ***NIF.1, de conformidad con lo previsto en el artículo 58.2.
  31. b)del RGPD, por una infracción del artículo 6.1.
  32. e)del RGPD, tipificada en el artículo 83.5.
  33. a)del RGPD. SEGUNDO: NOTIFICAR PROPIETARIOS R.R.R.. la presente resolución a la COMUNIDAD DE De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  34. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.