PS-00115-2018

1/7 Procedimiento Nº PS/00115/2018 RESOLUCIÓN: R/00892/2018 En el procedimiento sancionador PS/00115/2018, instruido por la Agencia Española de Protección de Datos a la entidad BANCO SANTANDER, S.A., vista la denuncia presentada por AYUNTAMIENTO DE IRUN --POLICIA LOCAL--, y en base a los siguientes HECHOS PRIMERO: AYUNTAMIENTO DE IRUN (POLICIA LOCAL) (en lo sucesivo el/la denunciante) frente BANCO SANTANDER, S.A. (en lo sucesivo el/la denunciado/a). “Cámara exterior de la entidad financiera Santander con orientación hacia la vía pública” (folio nº 2). Adjunta: reportaje fotográfico, acta de inspección. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad BANCO SANTANDER, S.A., teniendo conocimiento de que: Con fecha 19 de diciembre de 2017 se solicita información al responsable del establecimiento teniendo entrada en esta Agencia con fecha 5 de enero de 2018 escrito en el que el denunciado manifiesta: - La instalación de cámaras en el establecimiento es obligado por la Ley de Seguridad Privada, al tratarse de una sucursal bancaria, para obtener autorización de apertura del local. - Aportan fotografía del cartel informativo de que el establecimiento está conectado a una central de alarmas y fotografías del cartel colocado en el interior en el que informan de la existencia de una zona video-vigilada. - Aportan plano de la ubicación de las cámaras y fotografía de las mismas, así como de la imagen que captan, de lo que se desprende que el sistema cuenta con 10 cámaras, de las cuales 3 están instaladas en el exterior y el resto en el interior del establecimiento. De las fotografías aportadas se desprende que las cámaras identificadas como 1 y 2 captan parte de la vía pública (Paseo de Colón) y la número 3 se observa que capta la fachada y dispone de una máscara de privacidad que minimiza la porción de vía pública captada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 - Las imágenes se graban y se conservan durante un plazo no superior a 30 días, y se conservan bloqueadas a disposición de las autoridades. - El sistema de video-vigilancia está conectado a una central de alarmas de una empresa de seguridad registrada en el Ministerio del Interior. Aportan copia del contrato de prestación de servicios. TERCERO: Con fecha 26 de marzo de 2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a BANCO SANTANDER, S.A., por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (*en lo sucesivo LOPD), tipificada como infracción GRAVE en el artículo 44.3

1. b)de dicha norma, pudiendo ser sancionada cada una, con multa de 40.001€ a 300.000€, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, BANCO SANTANDER, S.A. mediante escrito de fecha 06/04/2018 formuló alegaciones, significando de manera sucinta lo siguiente: “En realidad el Acuerdo de Inicio al referirse a la Denuncia se limita a recoger su contenido, consistente en constatar la existencia de una cámara exterior de la entidad financiera Santander con orientación a la vía pública. A este respecto se señala que, según las fotografías de las imágenes captadas, estas rebasan los límites del legítimo ejercicio del derecho a garantizar la seguridad de las instalaciones (…) y la actividad desarrollada en el edificio, con lesión de los derechos de las personas que se encuentren en las inmediaciones. Dicha cámara cenital está enmascarada y en ella se ve a un viandante que circula por un estrecho pasillo visual de los dos cajeros. Es de significar que ninguna de las dos cámaras interiores a ambos cajeros está realizando ninguna grabación de la vía pública, salvo cuando la persona y objeto en movimiento está a la mínima distancia de cualquiera de los dos cajeros dentro del pasillo que resulta de la cámara cenital y que provoca solo en tal caso la entrada en funcionamiento de las cámaras de la fachada. Si bien se mira en las fotografías, aunque inevitablemente se ve algo de la acera, lo cierto es que la parte de la acera que se ve es la mínimamente imprescindible a los fines antes indicados y solo se da cuando se da la presencia próxima que la activa (…). Por las razones expuestas, es inevitable que la cámara recoja una pequeña parte de la acera, pero es como hemos dicho, la mínima parte necesaria para que la cámara pueda cumplir con su finalidad. A modo de ejemplo, remitimos dos peticiones de la Ertzaintza y, paradójicamente también una de la Policía Local de Irún, precisamente el Departamento que ahora insta a poner en marcha este procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 QUINTO: Con fecha 10/04/2018 se inició el período de práctica de pruebas, incorporando la copia de la Denuncia presentada y demás documentación presentada por las partes. SEXTO: En fecha 10/04/2018 se emite Propuesta de Resolución, notificada en tiempo y forma a la entidad denunciada, por medio de la cual se propone el Archivo del procedimiento, al no quedar acreditado que el sistema instalado afecte a los derechos de terceros, siendo el mismo proporcionado a la finalidad perseguida: la protección de la entidad bancaria frente a hipotéticas agresiones. SÉPTIMO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes hechos probados: Primero. Que en fecha 27/10/17 se recibe en este organismo escrito de la Policía Local de Irún referente a la “existencia de una cámara en el exterior del Banco Santander, por si los hechos detectados pudieran suponer una vulneración a la normativa sobre protección de Datos”. Segundo. Que la entidad responsable de la instalación del sistema de videovigilancia es la entidad financiera Banco Santander—Departamento de Seguridad--, la cual tiene instalado un sistema de video-vigilancia por motivos esenciales de seguridad. Tercero. Consta que el sistema dispone del preceptivo cartel informativo en zona visible en dónde se indica que se trata de una zona video-vigilada, indicando el responsable del fichero. Cuarto. La instalación de la cámara de cajero exterior obedece a un sistema de captación por movimiento, de manera que solo aquel que se aproxima a la zona necesaria del frontal del cajero puede ser grabado. Quinto. Las imágenes en caso de ser necesario o requeridas son puestas a disposición de las Fuerzas actuantes, acreditando una colaboración anterior a tal efecto. Sexto. Se aporta documentación que acredita que la empresa de seguridad ha notificado las características de la citada instalación a la autoridad competente en materia de seguridad privada. Séptimo. Consta inscrito el sistema con el Código de inscripción ***COD.1en el fichero de este organismo “Control de Acceso y Video-vigilancia”. Octavo. La finalidad de las cámaras es la prevención, verificación de alarmas y aportación de pruebas de los autores para el esclarecimiento de los delitos. Noveno. La cámara “Pinhole” instalada en la fachada obtiene fotogramas por detección de movimiento al aproximarse a la zona de cajero exterior, limitándose el ángulo de captación a la zona de espacio público mínima necesaria para conseguir la finalidad de protección pretendida. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II En fecha 27/10/17 se recibe en este organismo escrito de la Policía Local de Irún referente a la “existencia de una cámara en el exterior del Banco Santander, por si los hechos detectados pudieran suponer una vulneración a la normativa sobre protección de Datos”. Se adjunta prueba documental (nº 1) que acredita la existencia de una cámara tipo domo en la fachada de la entidad financiera. Los hechos expuestos podrían suponer infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), que señala que: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. , tipificada como infracción grave en el artículo 44.3
3. b)de dicha norma, que considera “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”, pudiendo ser sancionada con multa de 40.001€ a 300.000€, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. La legislación específica sobre video-vigilancia, se contiene fundamentalmente en la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras, que ya en su Exposición de Motivos habla de la necesidad de que el uso y empleo de estos mecanismos de grabación sea proporcionado a la finalidad que se persigue. Por lo tanto, esta Instrucción no se refiere a la vigilancia de espacios públicos y solo la permite cuando sea imprescindible para la vigilancia previamente autorizada como es la impuesta para los bancos y entidades de crédito. La imagen de una persona grabada por una cámara constituye un dato personal en el sentido del artículo 2 letra
4. a)de la Directiva 95/46/CE, de 24 de octubre de 1995 , relativa a la Protección de Datos Personales, traspuesto en el artículo 3.
5. a)de la LOPD, en la medida en que permite identificar a la persona afectada, como señala la sentencia del Tribunal de Justicia de la Unión Europea, de 11 de diciembre de 2014 (asunto C-212/13 ), y de otro lado, la captación y grabación de las imágenes de personas recogidas por las cámaras de video-vigilancia constituye un tratamiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 de datos de carácter personal, conforme el artículo 3 apartado 1 de la citada Directiva que se traspone en el artículo 3.
6. c)de la LOPD , sujeto a la normativa de protección de datos y, en concreto, a las exigencias del artículo 6 LOPD . III Por la entidad denunciada—Banco Santander—se reconoce la existencia de la cámara exterior, por lo que los “hechos” no son negados por la misma. En relación con la cámara exterior cajero-vestíbulo el ángulo de visión se circunscribe al cajero y al vestíbulo (punto 4 de dicho Anexo) sin incidir en la vía pública. Aporta prueba documental que constata que la misma se circunscribe al lateral dónde está situado el cajero siendo la parte de vía pública obtenida proporcionada a la finalidad del sistema. Se manifiesta que existe un pasillo frontal, inevitable de obtención de imágenes (fotos puntos 1 y 2 del Anexo III a ambos cajeros). La cámara frontal vinculada a la detección de movimiento en la proximidad del cajero, recoge una parte no enmascarada de la vía pública de un ancho lo más reducido posible. El artículo 4 apartado 3º de la Instrucción 1/2006 (AEPD) dispone: “Las cámaras y videocámaras instaladas en espacios privados no podrán obtener imágenes de espacios públicos salvo que resulte imprescindible para la finalidad de vigilancia que se pretende, o resulte imposible evitarlo por razón de la ubicación de aquéllas. En todo caso deberá evitarse cualquier tratamiento de datos innecesario para la finalidad perseguida”. De manera que la cámara instalada obedece a una finalidad legítima como es la obtención de imágenes de todo aquel que se acerque frontalmente al cajero, siendo además una captación de imágenes con sensor de movimiento, de manera que no se graba permanentemente la vía pública. IV El principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo acreditativa de los hechos que motivan la imputación o de la intervención en los mismos del presunto infractor. Aplicando el principio “in dubio pro reo” en caso de duda respecto de un hecho concreto y determinado, que obliga en todo caso a resolver dicha duda del modo más favorable al interesado. La presunción de inocencia debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 las propias posiciones. En tal sentido, el Tribunal Constitucional en su Sentencia 76/1990, de 26/04, considera que el derecho a la presunción de inocencia comporta: “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio. La presunción de inocencia rige sin excepciones en el Ordenamiento sancionador y ha de ser respetada en la imposición de cualquier sanción, ya sea penal o administrativa (TCo 13/1981), pues el ejercicio del derecho sancionador en cualquiera de sus manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propia posiciones. Conforme a este principio, no puede imponerse sanción alguna en razón de la culpabilidad del imputado si no existe una actividad probatoria de cargo, que en la apreciación de las autoridades u órganos llamados a resolver, destruya esta presunción (TCo Auto 3-12-81). V En base a lo argumentado, cabe indicar que no se aprecia a raíz de las pruebas aportadas que la cámara exterior obtenga imágenes de manera desproporcionada de la acera pública, obedeciendo la instalación de la misma a una finalidad legitima, la protección del cajero exterior frente a robos/actos vandálicos de terceros de mala fe. A mayor abundamiento, la instalación de la cámara no es facultativa sino impuesta por la normativa de seguridad privada, de manera que las imágenes están a disposición exclusivamente de las Fuerzas y Cuerpos de Seguridad del Estado. La mera visualización de la cámara exterior no supone un incumplimiento de la normativa vigente, siendo además una medida proporcionada a la finalidad perseguida en los tiempos actuales en que innumerables cajeros son objeto de actos vandálicos. Se hace necesario la obtención de una imagen (
7. es)frontal al cajero, pues de lo contrario no se permitiría la obtención nítida de imágenes de terceros de mala fe que se aproximen con fines maliciosos al cajero en cuestión. Asimismo, se han adoptado las medidas técnicas necesarias para que la cámara en cuestión obtenga imágenes en exclusiva del espacio necesario para controlar la zona del cajero exterior, estando limitados los fotogramas al detector de movimiento. La propia DENUNCIA presentada tampoco acredita tal extremo, sino que da traslado a los efectos de un hipotético incumplimiento, que no queda acreditado mediante medio de prueba admisible en Derecho. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 De acuerdo con lo argumentado, no se considera acreditada una conducta contraria a la normativa vigente en materia de protección de datos, motivo por el que se considera acertado ordenar el Archivo del presente procedimiento. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: PROCEDER AL ARCHIVO DEL PRESENTE PROCEDIMIENTO. SEGUNDO: NOTIFICAR la presente resolución a la entidad denunciada BANCO SANTANDER, S.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es