1/4 938-0419 Procedimiento Nº: PS/00120/2019 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00120/2019, instruido por la Agencia Española de Protección de Datos, ante la entidad, A.A.A. S.L.U. con NIF ***NIF.1, (en adelante “entidad reclamada”), en virtud de denuncia presentada por D. B.B.B. (en adelante “el reclamante”) y teniendo como base los siguientes: ANTECEDENTES PRIMERO: Con fecha 18/11/18, tuvo entrada en esta Agencia escrito presentado por el reclamante, en la que exponía, entre otras, que: “la empresa denunciada tiene una cámara de videovigilancia (se adjunta fotografía), grabando la vía pública, la cual no tiene cartel indicando la existencia de esta, por lo que vulnera la ley de protección de datos. Además, las imágenes captadas quedan almacenadas indefinidamente”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, RGPD). Así, con fecha 14/12/18, se dirige un requerimiento informativo al reclamado para que acreditase que la instalación de las cámaras es conforme a la normativa de protección de datos. TERCERO: Con fecha 08/01/19, se reitera escrito de reclamación de información al reclamado indicándole que, “al no haber accedido a la notificación inicial de fecha 14/12/18 y de forma excepcional se procede a su remisión”. CUARTO: Con fecha 15/02/19, la entidad reclamada remite escrito a esta Agencia indicando, entre otras, lo siguiente: “El responsable del sistema de captación de imágenes colocado dentro de las instalaciones ubicadas en ***DIRECCION.1, es D. A.A.A., actuando este como gerente de la entidad A.A.A. S.L.U. Que para dar cumplimiento a lo establecido en el artículo 12 y siguientes del RGPD y artículo 22 de la LOPDGDD en relación con lo estipulado en el artículo 89 de la Ley de referencia, las instalaciones objeto de la presente reclamación cuentan con: Dispositivos y carteles informativos de videovigilancia colocados en un lugar visible. La información que se presta al usuario videovigilado es: La existencia del tratamiento y la finalidad. La identidad del responsable. La posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del RGPD. Aviso a los empleados colocado en el tablón de anuncios donde se informa sobre la instalación del sistema de videovigilancia. Adjuntamos fotografías de los dispositivos colocados dentro de las instalaciones del responsable como documento número uno. Adjuntamos fotografía del tablón de anuncios como documento número dos. Que la entidad ha suscrito con la empresa SECURITAS DIRECT un contrato de servicios de instalación de sistemas o elementos de videovigilancia sin que ello incluya C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es la visualización y el tratamiento de las imágenes captadas por las cámaras, desempeñándose dicha función solo por parte del personal autorizado dentro de las instalaciones del responsable del tratamiento. Las cámaras colocadas dentro de las instalaciones del responsable forman parte de un circuito cerrado. Dichas imágenes van a un grabador al cual solo tiene acceso el propio administrador de la empresa, siendo este, la única persona autorizada a la visualización de las imágenes. La empresa Securitas Direct solo se encarga de la instalación de las cámaras, y de forma puntual, de las reparaciones de los dispositivos de videovigilancia, siempre que se le requiera realiza dicho servicio. Adjuntamos el contrato suscrito con la empresa Securitas Direct, como documento número tres. Para acreditar la marca y el modelo de las cámaras colocadas en las instalaciones, aportamos como documento número cuatro, los manuales de las cámaras que se han montado nuevas, habiendo sido imposible para esta parte recabar los manuales de las cámaras más antiguas. Asimismo, se aporta como documento número cinco, el manual del videograbador. Las cámaras están situadas y enfocan los puntos de entrada y salida de las instalaciones, puntos críticos o estratégicos dentro de la nave cuya seguridad puede verse afectada. Por último, algunas de las cámaras enfocan a los armarios donde se guarda y almacena toda la información confidencial titularidad de la entidad. Para acreditar que su instalación se realizó conforme a la normativa vigente, y que la captación de las imágenes se limita a lo estrictamente necesario para cumplir con la finalidad para la que fueron instaladas, adjuntamos las fotografías de las imágenes captadas por las cámaras, como documento número seis. Se aporta una fotografía del monitor del sistema, como documento número siete. Se aporta el plano de colocación de las cámaras, como documento número ocho. Los plazos de conservación de las imágenes captadas por los sistemas de videovigilancia se conservan durante el plazo de un mes desde su captación, de acuerdo con lo establecido en la LOPDGDD. Con la finalidad de informar sobre los distintos tratamientos realizados por parte del responsable en especial, el relativo a los sistemas de videovigilancia, adjuntamos el Registro de las actividades de tratamientos como documento número nueve”. QUINTO: Con fecha 12/04/19, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la persona reclamada, por presunta infracción del artículo 5.1.
- c)del RGPD y otorgándole un plazo de audiencia de diez días hábiles para que formulase las alegaciones y presentase las pruebas que considerase convenientes. SÉXTO: Según certificado emitido por el Servicio de Notificaciones Electrónica y Dirección Electrónica Habilitada, se constata que el escrito de incoación de expediente sancionador se puso a disposición de la entidad reclamada con fecha 13/05/19, produciéndose el rechazo automático del mismo con fecha 24/05/19. SÉPTIMO: La entidad reclamada no ha presentado ante esta Agencia, ningún escrito o alegación, dentro del el periodo concedido al efecto. 3/4 FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II En el presente caso, se inicia un procedimiento sancionador porque dos cámaras, identificadas como CAM 1 y CAM2, instaladas en la propiedad del reclamado, graban de forma desproporcionada, captando imágenes de la vía pública circundante de la parcela del polígono industrial en el que está emplazada la empresa. La instalación de este tipo de dispositivos debe de obedecer a alguna causa/motivo plausible, que permita a esta Agencia entrar a valorar la proporcionalidad de la medida, máxime si entra en juego con los derechos/libertades de terceros, en zonas dónde el mismo puede transitar libremente. Como regla general, la captación de imágenes con fines de seguridad, de parte de la vía pública debe realizarse por las FFCC de Seguridad, ya que les corresponde la prevención de hechos delictivos y la garantía de la seguridad en la citada vía pública, de conformidad con lo regulado por Ley Orgánica 4/1997, de 4/08, y su Reglamento de desarrollo. Esta regla admite alguna excepción ya que en algunas ocasiones, para la protección de espacios privados, donde se hayan instalado cámaras en fachadas o en el interior, puede ser necesario para garantizar la finalidad de seguridad la grabación de una porción de la vía pública. Es decir, las cámaras y videocámaras instaladas con fines de seguridad no podrán obtener imágenes de la vía pública salvo que resulte imprescindible para dicho fin, o resulte imposible evitarlo por razón de la ubicación de aquéllas. Por lo tanto, las cámaras podrían excepcionalmente captar una la porción mínimamente necesaria para la finalidad de seguridad que se pretende. El art. 4 apartado 2º de la Instrucción 1/2006 (AEPD) dispone lo siguiente: “Sólo se considerará admisible la instalación de cámaras o videocámaras cuando la finalidad de vigilancia no pueda obtenerse mediante otros medios que, sin exigir esfuerzos desproporcionados, resulten menos intrusivos para la intimidad de las personas y para su derecho a la protección de datos de carácter personal”. III Los “hechos” anteriormente descritos pueden suponen una infracción del art. 5.1.
- c)RGPD, dado que las cámaras parecen que ejercen un control excesivo sobre un ámbito de libre tránsito. El artículo 83 apartado 5º del RGPD dispone que: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; La sanción por imponer deberá graduarse de acuerdo con los criterios que establece el artículo 83.2 del RGPD, y con el considerando 148 del propio RGPD, que dispone la posibilidad de sancionar con apercibimiento en determinadas circunstancias. En el presente caso, se ha tenido en cuenta para la aplicación del apercibimiento que se trata de instalaciones de empresas que requieren seguridad y existe legitimación para la instalación y recogida de imágenes en estos casos. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos, RESUELVE: PRIMERO: IMPONER a la entidad A.A.A. S.L.U. con NIF ***NIF.1, por infracción del Artículo 5 del RGPD, tipificada en el Artículo 83.5 del RGPD, una sanción de apercibimiento. SEGUNDO: REQUERIR a la entidad A.A.A. S.L.U, para que, en el plazo de un mes desde este acto de notificación, proceda a modificar la orientación de las cámaras dejando de grabar la vía pública, ajustándose así a la normativa vigente. TERCERO: NOTIFICAR la presente resolución a la entidad A.A.A. S.L.U. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos