PS-00118-2019

1/6 Procedimiento Nº: PS/00118/2019 938-0419 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. ***DIRECCIÓN.1 -representante Don B.B.B.-- (*en adelante, el reclamante) con fecha 13 de noviembre de 2018 interpuso reclamación ante la Agencia Española de Protección de Datos, motivada por el tratamiento de datos realizado a través de cámaras de un sistema de videovigilancia cuyo titular es ZUMOLANDIA GELATO (C.C.C.) con NIF ***NIF.1 (en adelante el reclamado) instaladas en Avenida del Puerto 6-Local-Sada-A Coruña. Los motivos en que basa la reclamación son que “en el Local Zumolandia Gelato hay instaladas dos cámaras en el interior del local enfocadas al exterior del mismo (terrazas y vías públicas)” –folio nº 1--. Junto a la reclamación aporta Informe de la Policía local, así como prueba documental (fotografías) que constatan la ausencia de cartel informativo en la zona exterior, solo se aprecia un cartel de la empresa Securitas Direct S.A. SEGUNDO: En fecha 30/11/18 se procedió a TRASLADAR la reclamación a la parte denunciada, para que como responsable de la instalación del sistema de videovigilancia procediera a alegar en derecho lo que considerara oportuno, inclusive que el mismo cumplía con la normativa en vigor, constando como notificado a los efectos legales oportunos. TERCERO: En fecha 03/01/19 se recibe un primer escrito de alegaciones de la parte denunciada reconociendo ser el responsable de la instalación, la cual ha sido efectuada por la empresa Securitas Direct S.A, el cual está constituido por dos cámaras en el establecimiento Zumolandia Gelato con fines de protección del mismo frente a posibles hurtos. CUARTO: En fecha 05/01/2019 se recibe en esta Agencia escrito de Don D.D.D., identificándose como Presidente de la Comunidad de propietarios, señalando que el sistema sigue igual y que a su juicio graba la vía pública, si bien no aporta prueba alguna en el sentido expuesto. QUINTO: Con fecha 11 de octubre de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD. SEXTO: En fecha 15/02/19 se recibe en este organismo nuevo escrito de la parte denunciada aportando prueba documental (fotografías) que acreditan que ha colocado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 un cartel en el interior del establecimiento, si bien se aprecia a primera vista que ha dejado en blanco la parte correspondiente al responsable del mismo. SÉPTIMO: En fecha 28/10/19 se recibe nuevo escrito del denunciado, acreditando la disponibilidad de formulario informativo, así como aporta prueba documental (fotografía nº 1) que acredita la indicación del responsable del fichero en el cartel informativo. HECHOS PROBADOS Primero. En fecha 13/11/19 se recibe en esta AEPD reclamación motivada por el presunto tratamiento de datos realizado a través de cámaras de un sistema de videovigilancia cuyo titular es ZUMOLANDIA GELATO. Segundo. Consta identificado como principal responsable Don C.C.C., el cual no niega los hechos. Tercero. Se constata la existencia de cartel informativo en el interior del local, si bien el mismo inicialmente no indicaba el responsable, procediendo a modificarlo tras la notificación del Acuerdo de Inicio (prueba Doc. nº 2). Cuarto. El denunciado ha procedido a obtener formulario (

1. s)informativo a disposición de los clientes (as). Quinto. Consta acreditado que el cartel aportado, hace referencia a una normativa derogada, como es la LOPD (LO 15/99, 13 diciembre), limitándose su actuación a poner el nombre en el cartel antiguo que ya poseía. Sexto. No consta acreditado que el sistema obtenga imágenes del exterior del establecimiento, solo del interior del mismo, obedeciendo la instalación a motivos de seguridad. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II En el presente caso, se procede a examinar la reclamación 13/11/18 por medio de la cual la parte denunciante traslada como hecho principal lo siguiente: “en el Local Zumolandia Gelato hay instaladas dos cámaras en el interior del local enfocadas al exterior del mismo (terrazas y vías públicas)” –folio nº 1--. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 A mayor abundamiento se denuncia la inexistencia de cartel informativo en el exterior del Local indicando que se trata de una zona video-vigilada, indicando en su caso el responsable del sistema en cuestión. El artículo 22 apartado 4º de la LOPDGDD (LO 3/2018, 5 diciembre) dispone lo siguiente: “El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información. En todo caso, el responsable del tratamiento deberá mantener a disposición de los afectados la información a la que se refiere el citado reglamento”. El cartel informativo debe estar instalado en una zona visible para los clientes del establecimiento, los cuales deben estar informados de sus derechos. Además deberá disponer en el interior del establecimiento de algún (
2. os)formularios en caso de ejercitar cualquier “cliente” los derechos reconocidos en la normativa en vigor. Puede obtener un modelo tipo en Internet y adaptarlo, bastará con indicar en negrita Derecho de acceso, el responsable del sistema, un espacio para que el hipotético afectado rellene sus datos (Nombre, apellidos, DNI y dirección de respuesta), lo que solicita e informarle sobre la posibilidad de dirigirse en su caso a una Autoridad de Control competente, y, por último, lugar para la fecha y la firma. III De acuerdo con los datos que obran en el expediente y a pesar de las indicaciones de este organismo, el cartel enviado inicialmente no indicaba expresamente el responsable del tratamiento de los datos personales, tal y como indica la normativa en vigor, dado que solo ha colocado el cartel, pero el mismo está en blanco en cuanto al responsable, lo que impide de manera efectiva el ejercicio del derecho de cualquier hipotético afectado. Los hechos expuestos podrían suponer la comisión, por parte del reclamado de una infracción del artículo 12 del RGPD, en los términos referidos tanto en el citado artículo, como en los artículos 13 y 14 de dicha norma, debiendo el reclamado dar debido cumplimiento a lo previsto en el artículo 3 de la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos. En consecuencia, el reclamado debe: Colocar en las zonas videovigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 De acuerdo con lo dispuesto en los artículos 13 y 14 RGPD, en el distintivo informativo anteriormente citado deberá identificarse, al menos, la existencia de un tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en dichos preceptos. 1. Mantener a disposición de los afectados la información a la que se refiere el citado RGPD; IV De conformidad con las evidencias de las que se dispone en el presente procedimiento sancionador, se considera que el reclamado ha cometido una infracción del contenido del artículo 74.1 letra
3. a)de la LOPDGDD (LO 3/2018, 5 diciembre). “El incumplimiento del principio de transparencia de la información o el derecho de información del afectado por no facilitar toda la información exigida por los artículos 13 y 14 del Reglamento (UE) 2016/679” Los hechos conocidos podrían ser constitutivos de una infracción de carácter leve, sujeta a un plazo de prescripción de un año a los efectos del artículo 74 LOPDGDD. El artículo 71 LOPDGDD (LO 3/2018, 5 diciembre) dispone lo siguiente: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. En el presente caso, se tiene en cuenta que se trata de un establecimiento pequeño, así como la colaboración del propietario con este organismo, lo que denota una actitud de cumplir con la normativa en vigor, optándose por tanto por el Apercibimiento como propuesta de sanción administrativa a imponer. V Sin perjuicio de lo establecido en el artículo 83 del RGPD, el citado Reglamento dispone en su art. 58.2
4. b)la posibilidad de sancionar con apercibimiento, en relación con lo señalado en el Considerando 148: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” VI C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 De acuerdo con lo expuesto, cabe indicar que el denunciado dispone de un sistema de cámaras que inicialmente no se ajustaba a la legalidad vigente, careciendo el cartel informativo situado en el interior del establecimiento de la referencia obligatoria al responsable del tratamiento. Con motivo de la notificación del Acuerdo de Inicio del presente procedimiento, el denunciado ha atendido a los requerimientos de esta Agencia acreditando que el cartel indica el “responsable del tratamiento” al que dirigirse y que dispone formulario (
5. s)a disposición de los clientes. Se recuerda que el cartel aportado, hace referencia a una normativa derogada como es la Ley 15/99, 13 diciembre (LOPD), de tal manera que el mismo se deberá ajustar a la base jurídica vigente: RGPD y LOPDGDD (LO 3/2018, 5 diciembre), conteniendo el mismo la referencia a los derechos a ejercitar por los afectados en el marco de los arts. 12 a 22 RGPD. Se recuerda, igualmente, que en su caso la zona de terraza exterior no puede ser objeto de control de ninguna clase, al ser espacio público. Por lo tanto, de acuerdo con lo señalado la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: PROCEDER a APERCIBIR a la parte denunciada ZUMOLANDIA GELATO (C.C.C.), al disponer de un cartel informativo que no se ajusta a la normativa en vigor, otorgándole el plazo de un mes para que proceda a reemplazar el existente por uno nuevo que se ajusta a la base jurídica expuesta, por tal motivo: -Deberá aportar prueba documental (fotografía) del nuevo cartel adaptado a la normativa en vigor. SEGUNDO: NOTIFICAR la presente resolución a la entidad ZUMOLANDIA GELATO (C.C.C.) e INFORMAR del resultado de las actuaciones a la denunciante A.A.A ***DIRECCIÓN.1 De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es