PS-00130-2015

1/17 Procedimiento Nº PS/00130/2015 RESOLUCIÓN: R/01731/2015 En el procedimiento sancionador PS/00130/2015, instruido por la Agencia Española de Protección de Datos a la entidad LAS ANGOSTURAS DE BENAHAVIS, S.A. , vista la denuncia presentada por Doña B.B.B., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 10 de junio de 2014, tuvo entrada en esta Agencia un escrito remitido por Doña B.B.B., (en adelante la denunciante), comunicando que, el pasado 21 de marzo de 2014, le fue comunicada por la la entidad LAS ANGOSTURAS DE BENAHAVIS, S.A., (en adelante la denunciada), carta de despido en la que le informaban que, tras el visionado el día anterior de unas cámaras de seguridad, se procedía a su despido disciplinario, todo ello sin que la citada empresa le hubiese informado de la colocación de cámaras que grababan a los trabajadores. La denunciante aporta copia de la carta de despido de fecha 21 de marzo de 2014 en la que se señala que la persona identificada como Jefe de Ventas de la empresa “procedió a chequear las cámaras del día anterior y observó como a las 16,20 horas un Señor entró a su lugar de trabajo, la saludó y salieron fuera a charlar. Inmediatamente después, a las 16:30 horas, llegaron cuatro señores más y también la saludaron y tras ello Vd. les preparó los buggies y los cinco señores tras pasar por el bar, se marcharon a jugar.” SEGUNDO: A la vista de los hechos denunciados, se realizaron por los Servicios de Inspección de esta Agencia actuaciones previas con objeto de determinar si el tratamiento de datos personales que se realiza, a través del sistema de videovigilancia instalado en la Casa Club del Club de Golf “Puente Romano”, sito en A.A.A., de la localidad de E.E.E., (Málaga), cumple las condiciones que impone la normativa de protección de datos. En el marco de dichas actuaciones, con fecha 24 de septiembre y 22 de octubre de 2014 se solicitó información a la sociedad denunciada, teniendo entrada en esta Agencia con fecha 28 de octubre escrito del representante legal de la sociedad LAS ANGOSTURAS DE BENAHAVIS, S.A., en el que se manifiesta lo siguiente: 1. El responsable del sistema de cámaras instalado es D.D.D. con N.I.E. F.F.F.. 2. El responsable de la instalación fue Don actividad en el momento actual. C.C.C., si bien no se dedica a dicha 3. La instalación del sistema de cámaras obedece al propósito de permitir al único empleado de la casa club atender a los clientes de forma adecuada en las diversas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/17 zonas: bar, tienda y recepción de clientes, y para las cuales no es posible tener acceso visual directo completamente. Por ello se dispone de un monitor para visualizar dichas zonas. 4. Las imágenes que se toman son en exclusiva de las zonas privadas de la CasaClub, pertenecientes a la compañía. 5. Se aportan fotografías de los carteles informativos sobre la existencia de cámaras ubicadas en distintos puntos del exterior e interior de la Casa-Club. 6. Se adjunta modelo del formulario informativo a disposición de los clientes en la zona habilitada como tienda, en el que se indica que el responsable de dicho sistema es la entidad imputada y se afirma que “Dicho sistema no graba imágenes”. 7. Se adjunta un croquis con la disposición de las cuatro cámaras instaladas: dos cámaras interiores y dos cámaras exteriores, estas últimas orientadas al parking privado y a la puerta de entrada de la Casa-Club. Se trata de cámaras fijas, sin posibilidad de zoom o movimiento alguno. 8. Se aporta fotografía del monitor del sistema ubicado bajo el mostrador de la tienda y fotografías de las imágenes visualizadas a través del mismo, comprobándose que dos cámaras captan interior de la tienda con puerta de acceso y mostrador, mientras que las dos cámaras exteriores captan zonas de terraza y veladores en interior de la parcela. 9. El acceso al sistema se da únicamente por parte del empleado que tiene que atender las distintas zonas de servicio de la Casa Club del campo de golf. También se adjunta copia de la información situada junto al monitor en un documento denominado “Información relevante para el Staff” en la que se dan una serie de instrucciones al empleado sobre el uso y funcionamiento del monitor. 10. Las imágenes captadas no son objeto de grabación, por cuanto para los fines establecidos no es necesaria su conservación. 11. El sistema de videovigilancia no está conectado a central de alarmas. 12. La información a los empleados sobre los fines del mencionado sistema es la que obra junto al monitor por ser una herramienta esencial de trabajo, apareciendo, entre otra información que “El monitor del sistema de vigilancia dse ha instalado exclusivamente para dar un mejor servicio a nuestros clientes y poder atenderles en el momento en que entren en el bar o en la zona de recepción.”. TERCERO: De la documentación e información aportada por el denunciante y de las actuaciones previas de inspección realizadas se desprendía que mientras la representación legal de la entidad imputada señalaba a esta Agencia que las imágenes captadas por el sistema de videovigilancia en cuestión no eran grabadas. Sin embargo de la carta de fecha 21/03/2014 de comunicación de despido disciplinario aportada por la denunciante se desprendía la existencia de un fichero integrado por las imágenes captadas y grabadas a través del sistema de videocámaras instalado por esa empresa en la citada Casa Club con fines de control empresarial, recogiendo y grabando imágenes que se utilizaban para el control laboral de los trabajadores de la empresa sin constar que tal uso hubiese sido informado a la representación sindical de esa empresa ni personalmente a los trabajadores de la misma, entre los que se encontraría la denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/17 CUARTO: Con fecha 26 de febrero de 2015, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a LAS ANGOSTURAS DE BENAHAVIS, S.A., por una infracción del artículo 5.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en relación con lo dispuesto en el artículo 20.3 del Real Decreto Legislativo 1/1995, de 24 de marzo, por el que se aprueba el texto refundido de la Ley del Estatuto de los Trabajadores, (en adelante Estatuto de los Trabajadores o LET), tipificada como leve en el artículo 44.2.c), de dicha norma. QUINTO: Notificado el acuerdo de inicio, mediante escrito de fecha 1 de abril de 2015 la denunciada alega que se advirtió a los clientes de la existencia de las cámaras y de su alcance y localización. Las cámaras no tienen finalidad de seguridad o vigilancia del personal, sino la mejora de la atención al cliente con los recursos humanos existentes, al cubrir zonas sin acceso visual completo. Su ubicación y enfoque es la puerta de entrada de la tienda, la terraza del bar y la recepción de los clientes. Las personas que trabajan allí lo conocen perfectamente. No existen grabaciones al no ser necesarias para las finalidades previstas. Se acompaña un escrito del asesor de la empresa y del acta de conciliación por el despido de la denunciante, en la que consta que la empresa dio marcha atrás al no tener medio de confirmar las sospechas. Si se hizo referencia a las supuestas grabaciones en la carta de despido fue una herramienta poco afortunada que utilizó la empresa para el despido. SEXTO: Con fecha 8 de abril de 2015, se inició el período de práctica de pruebas, en el que se acuerda practicar las siguientes pruebas: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante LAS ANGOSTURAS DE BENAHAVIS, S.A., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/05111/2014. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00130/2015 presentadas por LAS ANGOSTURAS DE BENAHAVIS, S.A., y la documentación que a ellas acompaña. 3. Se solicitó a la mercantil LAS ANGOSTURAS DE BENAHAVIS, S.A., contestación a los siguientes extremos y aportación de la documentación a continuación reseñada: - Atendido que se alegaba que no se graban las imágenes captadas por el sistema de videovigliancia se solicita aclaración sobre:

1. a)La causa por la que en la carta de despido se afirmaba con total claridad que “Don G.G.G. procedió a chequear las cámaras del día anterior y observo como a las 16,20 horas un Señor entró a su lugar de trabajo, la saludó y salieron fuera a charlar. Inmediatamente después, a las 16:30 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/17 horas, llegaron cuatro señores más y también saludaron y tras ello Vd. les preparó los buggies y los cinco señores tras pasar por el bar, se marcharon del lugar.”
2. b)Forma exacta en que esa sociedad tuvo conocimiento de la conducta mostrada por la denunciante a las 16,20 y 16,30 horas del día 11 de marzo de 2014 que dio lugar a la carta de despido de fecha 21 de marzo de 2014, así como del número de personas implicadas en el hecho descrito. .- Remisión de copia íntegra de la documentación relativa al Procedimiento: Despidos/Ceses en general 659/2014 Negociado: AR, ya que el acta de conciliación no contiene ninguna información relativa a los hechos objeto del expediente. - Aportación de cualquier medio de prueba válido en derecho que permita acreditar que el sistema de videovigilancia no grababa imágenes en la fecha de los hechos objeto de análisis. - Aportación de las especificaciones técnicas del sistema de videovigilancia instalado en la Casa Club, así como de las facturas correspondientes a la instalación de los diferentes dispositivos del mismo, incluido el monitor. - Acreditación de la fecha en que se colocaron las cámaras, el monitor y los carteles informativos que aparecen en las fotografías presentadas en la contestación al requerimiento de información E/05111/2014. (documentos 5 al 8) - Indicación de si la denunciante conocía la existencia del sistema de videovigilancia con anterioridad a la fecha del despido en marzo de 2014, debiendo acreditarse la forma en que fue informada de la finalidad del mismo. También deberá señalarse si ésta utilizaba para el desempeño de sus funciones el monitor que mostraba las diferentes zonas controladas por las cámaras. SÉPTIMO: También con fecha 8 de abril de 2015 se acuerda practicar la prueba consistente en solicitar a la denunciante contestación a los siguientes extremos y aportación de la documentación a continuación reseñada: - Remisión de copia íntegra de la documentación relativa al Procedimiento: Despidos/Ceses en general 659/2014 Negociado: AR. - Aportación de cualquier medio de prueba válido en derecho que permita acreditar que el sistema de videovigilancia instalado en la Casa Club del Club de Golf “Puente Romano” grababa las imágenes captadas por las cámaras en marzo de 2014 con fines de control laboral, particularmente el día 11 de marzo de 2014, fecha en que acaecieron los hechos descritos en la carta de despido de 21 de marzo de 2014. - Especificación de si había visualizado las imágenes grabadas a las que se refiere la carta de despido, con aclaración de las circunstancias en que se produjo tal acceso. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/17 - Aportación de las fotografías de las cámaras a las que se refería en su denuncia, con indicación del origen de las mismas, fecha de su obtención y señalización de la ubicación de las cámaras. - Justificación del momento exacto en que tuvo conocimiento de la existencia de cámaras de seguridad y de la finalidad de su instalación. OCTAVO: Con fecha 28 de abril de 2015 se registra de entrada escrito de la denunciante indicando que no tiene acceso a las grabaciones, siendo únicamente la propia empresa la que tiene acceso a las mismas y puede aportarlas. Indica que basa su denuncia en la carta recibida el día 22 de marzo de 2014, en la que la propia empresa reconoce que sus cámaras graban al personal, circunstancia de la que los empleados no estaban informados. Aporta fotografías con la ubicación de las cámaras, de las que tuvo conocimiento en el momento de recibir la mencionada carta de despido. Tras denegarse por la Instructora con fecha 11 de marzo de 2015 la ampliación de plazo solicitada por la entidad denunciada al haberse formulado transcurrido el plazo de días hábiles concedidos para la práctica de las pruebas requeridas, con fecha 20 de mayo de 2015 se registra de entrada escrito de contestación en el que dicha entidad indica que, aunque en la carta de despido se hacía referencia a la existencia de imágenes grabadas por el sistema de video vigilancia, lo que ocurrió fue que las circunstancias relatadas en la carta fueron observadas por un compañero de trabajo de la denunciante que quería quedar en el anonimato. Dado que por parte de la empresa no había certeza al respecto de los hechos y la denunciante había abonado el importe que se consideraba sustraído, el 24 de abril de 2014 se realiza Acta de Conciliación siendo readmitida en su puesto. Añaden que incluso el dispositivo de grabación estaba estropeado el día 11 de marzo de 2014 como acredita el parte de fecha 3 de marzo de 2014 que adjuntan, realizado por la empresa PROTEMAX SEGURIDAD. Se aporta copia de factura correspondiente a la instalación del sistema de videovigilancia de fecha 30 de junio de 2008. Se afirma que la denunciante usaba habitualmente la información mostrada a través del monitor para atender a los clientes, señalando que ésta fue informada de forma verbal de los fines del nuevo sistema en el momento de su instalación. Se reafirman en la inexistencia de grabaciones por no resultar precisas para los fines previstos, recalcando la imposibilidad de grabar en la fecha de los hechos debido a la mencionada avería. NOVENO: Con fecha 8 de junio de 2015 se formuló propuesta de resolución, en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancionase a la entidad LAS ANGOSTURAS DE BENAHAVIS, S.A., con una multa de 1.300 € (mil trescientos euros), por la infracción del artículo 5.1 de la LOPD, en relación con el artículo 20.3 del Estatuto de los Trabajadores, tipificada como leve en el artículo 44.2.
3. c)de la citada Ley Orgánica. HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/17 PRIMERO: LAS ANGOSTURAS DE BENAHAVIS, S.A., es una entidad que tiene entre sus actividades la explotación, utilización, promoción y mantenimiento de campos de golf e instalaciones deportivas y servicios anejos. (Folio 22) SEGUNDO: El sistema de videovigilancia instalado en el centro se compone de 4 cámaras. Las cámaras son fijas, no disponen de zoom ni de capacidad de movimiento y no están conectadas a central de alarmas. Las cámaras enfocan las zonas de servicios de la tienda y el bar . También cuenta con video grabador y monitor según factura de instalación de fecha 30/06/2008 (Folios 16, 17, 58 a 63 y 132). TERCERO: La denunciante recibió una carta de despido, de fecha 21 de marzo de 2014, en la que se señala que la persona identificada como Jefe de Ventas de la empresa el día 12 de marzo de 2014 “procedió a chequear las cámaras del día anterior y observó como a las 16,20 horas un Señor entró a su lugar de trabajo, la saludó y salieron fuera a charlar. Inmediatamente después, a las 16:30 horas, llegaron cuatro señores más y también la saludaron y tras ello Vd. les preparó los buggies y los cinco señores tras pasar por el bar, se marcharon a jugar.” (Folios 4 y 5). CUARTO: Protemax Seguridad, empresa homologada por la DGP nº ****, emitió con fecha 3 de marzo de 2014, un presupuesto a LAS ANGOSTURAS DE BENAHAVIS, S.A., en el que se señalaba que personados en sus instalaciones se había detectado una avería en el CCTV, y el grabador estaba apagado. Tras realizar varias pruebas, comprobaron una avería en la placa principal del equipo, descartando la reparación debido a su alto coste económico en comparación con un grabador nuevo, motivo por el cual adjuntaban presupuesto y características de un grabador estándar. (Folios 127 y 128). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
4. g)en relación con el artículo 36 de la LOPD. II El artículo 1 de la de la Ley Orgánica 15/1999, de 13/12, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la LOPD señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el apartado
5. a)del artículo 3 de la LOPD, como “Cualquier información concerniente a personas físicas identificadas o identificables”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/17 El artículo 3 de la LOPD define en su letra
6. c)el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. Por su parte, la Instrucción 1/2006, de 8/11, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras (en lo sucesivo Instrucción 1/2006), en sus artículos 1.1 y 2 señala lo siguiente: “Artículo 1.1. La presente Instrucción se aplica al tratamiento de datos personales de imágenes de personas físicas identificadas o identificables, con fines de vigilancia a través de sistemas de cámaras y videocámaras. El tratamiento objeto de esta Instrucción comprende la grabación, captación, transmisión, conservación, y almacenamiento de imágenes, incluida su reproducción o emisión en tiempo real, así como el tratamiento que resulte de los datos personales relacionados con aquéllas. Se considerará identificable una persona cuando su identidad pueda determinarse mediante los tratamientos a los que se refiere la presente instrucción, sin que ello requiera plazos o actividades desproporcionados. Por tanto, dado que las cámaras instaladas por la entidad denunciada captan imágenes de los clientes y empleados de la Casa Club su utilización hace posible la identificación de las personas captadas por las mismas, resultando aplicable la LOPD. En relación con este tipo de tratamiento con fines de vigilancia cabe diferenciar las imágenes que captan datos personales y se almacenan en cualquier tipo de soporte, de las que únicamente se visionan en tiempo real sin conservar en dispositivo alguno. La citada Instrucción de videovigilancia a tal efecto indica en su artículo 7: “La persona o entidad que prevea la creación de ficheros de videovigilancia deberá notificarlo previamente a la Agencia Española de Protección de Datos, para su inscripción en el Registro General de la misma. A estos efectos, no se considerará fichero el tratamiento consistente exclusivamente en la reproducción o emisión de imágenes en tiempo real.” En el presente supuesto, tal y como se desarrollará a continuación, de lo actuado se ha acreditado que en las fechas de los hechos el sistema de videovigilancia instalado en la Casa Club no sólo mostraba en tiempo real las imágenes captadas por las cámaras de videovigilancia a través del monitor, sino que también las grababa y almacenaba permitiendo su visualización posterior. En relación con esta cuestión, conviene indicar que el presupuesto de fecha 3 de marzo de 2014 aportado, y que recoge una avería del grabador del CCTV, no sólo es de fecha anterior a los hechos recogidos en la carta de despido (11 y 12 de marzo de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/17 2014). , sino que ni tan siquiera está sellado por la empresa de seguridad que se indica lo expidió ni suscrito por el comercial que lo firma. III De conformidad con el artículo 2 de la Instrucción 1/2006: “1. Sólo será posible el tratamiento de los datos objeto de la presente instrucción, cuando se encuentre amparado por lo dispuesto en el artículo 6.1 y 2 y el artículo 11.1 y 2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. 2. Sin perjuicio de lo establecido en el apartado anterior la instalación de cámaras y videocámaras deberá respetar en todo caso los requisitos exigidos por la legislación vigente en la materia.” El artículo 6.1 y 2 de la LOPD al que se refiere el artículo 2 de la Instrucción 1/2006 señala: “el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. 2 No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” En este caso, por tanto es preciso conocer qué norma puede habilitar el tratamiento de datos personales (imágenes) en sentido genérico, y si en el ámbito laboral, se exige algún plus a dicha legitimación. En el plano genérico, la habilitación legal para el tratamiento de las imágenes de las personas físicas con fines de vigilancia procede de la Ley 25/2009, de 27/12, de modificación de diversas leyes para su adaptación a la Ley 17/2009, de 23/11, sobre el libre acceso a las actividades de servicios. Esta modifica la Ley 23/1992, de 30/06, de Seguridad Privada añadiendo una Disposición Adicional Sexta en la que se determina que cualquier particular o empresa cuya actividad no sea la propia de una empresa de seguridad privada podrá “vender, entregar, instalar y mantener equipos técnicos de seguridad” sin necesidad de cumplir las exigencias previstas en la Ley de Seguridad Privada para tales empresas. De este modo, dado que la ley permite la instalación y mantenimiento de dichos equipos por empresas distintas a las de seguridad privada, legitima a quienes adquieran de estos dispositivos para tratar los datos personales derivados de la captación de las imágenes sin necesidad de acudir a empresas de seguridad privada, siendo dicho tratamiento conforme a lo previsto en la LOPD. Sólo será necesario que se cumplan los requisitos exigidos tanto en la Ley de Seguridad Privada como en su Reglamento, y que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 hasta ahora debían de cumplirse en todos los casos; esto es, empresa de seguridad debidamente autorizada por el Ministerio del Interior, previa inscripción en su Registro y notificación del contrato, cuando el dispositivo de seguridad esté conectado a una central de alarmas. En todo caso, el tratamiento de las imágenes deberá cumplir los restantes requisitos exigibles en materia de protección de datos de Carácter Personal, recogidos en la Ley Orgánica y, en particular, en la Instrucción 1/2006 de la Agencia Española de Protección de Datos. Por un lado, el artículo 4.1 de la LOPD indica: “1. Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” Este artículo consagra el principio de pertinencia en el tratamiento de los datos de carácter personal, que impide el tratamiento de aquellos que no sean necesarios o proporcionados a la finalidad que justifica el tratamiento, debiendo restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. En consecuencia, el tratamiento del dato ha de ser “pertinente” al fin perseguido. Esta pertinencia y proporcionalidad se concreta en el artículo 4 de la Instrucción 1/2006 que indica: “1. De conformidad con el artículo 4 de la Ley Orgánica 15/1999 de 13 de diciembre, de Protección de Datos de Carácter Personal, las imágenes sólo serán tratadas cuando sean adecuadas, pertinentes y no excesivas en relación con el ámbito y las finalidades determinadas, legítimas y explícitas, que hayan justificado la instalación de las cámaras o videocámaras. 2. Sólo se considerará admisible la instalación de cámaras o videocámaras cuando la finalidad de vigilancia no pueda obtenerse mediante otros medios que, sin exigir esfuerzos desproporcionados, resulten menos intrusivos para la intimidad de las personas y para su derecho a la protección de datos de carácter personal. 3. Las cámaras y videocámaras instaladas en espacios privados no podrán obtener imágenes de espacios públicos salvo que resulte imprescindible para la finalidad de vigilancia que se pretende, o resulte imposible evitarlo por razón de la ubicación de aquéllas. En todo caso deberá evitarse cualquier tratamiento de datos innecesario para la finalidad perseguida.” Según la entidad denunciada la finalidad de la instalación es optimizar la atención a los clientes por parte del personal que los atiende, ya que permite acceder a espacios de la Casa Club que no se visionan fácilmente, como la terraza y zonas de la tienda. En principio, para la finalidad declarada, la sociedad denunciada no precisaría para la instalación y funcionamiento de las cámaras de videovigilancia del consentimiento de los empleados, ni por otro lado, de las personas que acuden a la Casa Club. Sin perjuicio de que este tipo de tratamiento está limitado a las finalidades C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/17 legítimas reconocidas por la LOPD e Instrucción 1/2006, de 8 de noviembre, de la AEPD, y, cuando corresponda, por el Estatuto de los Trabajadores, debiendo cumplir las previsiones específicas que sean de aplicación. Entre ellas, el responsable del fichero deberá garantizar el derecho a la información recogido en el artículo 5.1 de la LOPD con carácter previo a la recogida de las imágenes de videovigilancia, para lo que deberá colocar en las zonas videovigiladas al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados, y tener a disposición de los interesados impresos en los que se detalle la información prevista en el artículo 5.1 de la LOPD, conforme a lo previsto en el artículo 3 de la citada Instrucción. Igualmente, cuando se prevea la creación de ficheros de videovigilancia la persona o entidad que realice la grabación de imágenes deberá notificarlo, previamente, a la AEPD para su inscripción en el Registro General de la misma, conforme a lo previsto en el artículo 7 de la reseñada Instrucción. En el presente supuesto, ha quedado probado que la entidad denunciada dispone de carteles informativos en los accesos a la Casa-Club y en el interior del local, así como de los impresos a disposición de los clientes. IV El presente procedimiento sancionador tiene por objeto dilucidar si las imágenes captadas por el sistema de videovigilancia instalado en la Casa-Club de la entidad denunciada se utilizan únicamente con fines de vigilancia o, como se desprendía de las actuaciones previas de inspección efectuadas por esta Agencia, también se usan para el control laboral de los empleados que atienden las instalaciones de la mencionada Casa Club, tratamiento este último que precisaría que estos trabajadores hubiesen sido previa, expresa, precisa e inequívocamente informados del mismo por la entidad denunciada. El incumplimiento de dicho deber de información supondría la comisión por parte de LAS ANGOSTURAS DE BENAHAVIS, S.A. de una infracción del artículo 5.1 de la LOPD en su relación con lo dispuesto en el artículo 20.3 del Real Decreto Legislativo 1/1995, de 24 de marzo, por el que se aprueba el texto refundido de la Ley del Estatuto de los Trabajadores, (en adelante Estatuto de los Trabajadores o LET). El artículo 5.1 de la LOPD dispone en relación con el “Derecho a información en la recogida de datos” que: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
7. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
8. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
9. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
10. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/17
11. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante”. Por su parte, el artículo 20.3 de la LET establece que: “3. El empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad humana y teniendo en cuenta la capacidad real de los trabajadores disminuidos, en su caso.” V Descrito el marco normativo de aplicación a este supuesto, cabe resaltar que no obstante que el mencionado artículo 20.3 de la LET permite al empresario la instalación de sistemas de videovigilancia para verificar el cumplimiento por los trabajadores de sus obligaciones y deberes laborales, se observa que esta facultad del control de la prestación laboral, ha de producirse en todo caso, dentro del debido respeto a la dignidad e intimidad del trabajador, como expresamente nos lo recuerda la normativa laboral (arts. 4.2.e y 20.3 LET) y la Sentencia del Constitucional (STCO 98/2000, de 10 de abril de 2000) que destaca en su fundamento jurídico 6 que “… Estas limitaciones empresariales tienen que ser las indispensables y estrictamente necesarias para satisfacer un interés empresarial merecedor de tutela y protección, de manera que si existen otras posibilidades de satisfacer dicho interés menos agresivas y afectantes del derecho en cuestión, habrá que emplear estas últimas y no aquellas otras más agresivas y afectantes. Se trata, en definitiva, de la aplicación del principio de proporcionalidad.” Asimismo, tal y como establece la sentencia del Tribunal Constitucional en el recurso de amparo 29/2013, de 11/02/2013, para realizar dicho tratamiento de datos de carácter personal (imágenes) “es necesaria una información previa y expresa, precisa, clara e inequívoca a los trabajadores de la finalidad de control laboral a la que esa captación podría ser dirigida, y que debe concretar las características y el alcance del tratamiento de datos que van a realizarse, esto es, en qué casos las grabaciones pueden ser examinadas, durante cuánto tiempo y con qué propósitos, explicitando muy particularmente si pueden utilizarse para la imposición de sanciones disciplinarias por el incumplimiento del contrato de trabajo”, Es decir, esta información específica sobre el uso de las imágenes con dicha finalidad deberá facilitarse antes de dicho tratamiento, por cualquier medio que garantice su recepción, tanto a la representación sindical como personalmente a los trabajadores. Esta misma STC 29/2013, de 11 de febrero señala en su fundamento de derecho 7, al final: “no será suficiente que el tratamiento de datos resulte en principio lícito, por estar amparado por la Ley (arts. 6.2 LOPD y 20 LET), o que pueda resultar eventualmente, en el caso concreto de que se trate, proporcionado al fin perseguido; el control empresarial por esa vía, antes bien, aunque podrá producirse, deberá asegurar también la debida información previa”, y en el 8: “No contrarresta esa conclusión que existieran distintivos anunciando la instalación de cámaras y captación de imágenes en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/17 el recinto universitario, ni que se hubiera notificado la creación del fichero a la Agencia Española de Protección de Datos; era necesaria además la información previa y expresa, precisa, clara e inequívoca a los trabajadores de la finalidad de control de la actividad laboral a la que esa captación podía ser dirigida.” En definitiva, este tipo de tratamiento se limitará a las finalidades previstas por el Estatuto de los Trabajadores, y/o en todo caso a finalidades legítimas reconocidas por la normativa vigente, debiendo cumplir en este último caso adicionalmente las previsiones específicas que sean de aplicación, entre las que cabe destacar:
12. a)Respetarán de modo riguroso el principio de proporcionalidad.
13. b)Se adoptará esta medida cuando no exista otra más idónea.
14. c)Las instalaciones, en caso de utilizarse, se limitarán a los usos estrictamente necesarios captando imágenes en los espacios indispensables para satisfacer las finalidades de control laboral.
15. d)No podrán utilizarse estos medios para fines distintos de los propios del control laboral salvo que se trate de fines legítimos y se adopten las medidas pertinentes para el cumplimiento de la normativa que les sea de aplicación.
16. e)Tendrán en cuenta los derechos específicos de los trabajadores respetando: - Los derechos a la intimidad y el derecho fundamental a la protección de datos en relación con espacios vetados a la utilización de este tipo de medios como vestuarios, baños, taquillas o zonas de descanso. - Se garantizará el derecho a la información en la recogida de las imágenes: Con información específica a la representación sindical. Mediante el cartel anunciador y el impreso establecidos por la instrucción 1/2006.- Mediante información personalizada En el presente caso, de la valoración conjunta de las actuaciones practicadas en el procedimiento, se aprecia que el sistema de videocámaras de la denunciada ha tenido la finalidad de control laboral, aunque también se utilice para la mejora de la atención a los clientes. Este hecho queda acreditado por la carta de despido que se envió a la denunciante en la que constaba expresamente que el día 11 de marzo de 2014 el Jefe de Ventas de la entidad : “procedió a chequear las cámaras del día anterior y observó como a las 16,20 horas un Señor entró a su lugar de trabajo, la saludó y salieron fuera a charlar. Inmediatamente después, a las 16:30 horas, llegaron cuatro señores más y también la saludaron y tras ello Vd. les preparó los buggies y los cinco señores tras pasar por el bar, se marcharon a jugar.” (Folios 4 y 5). Esta precisión de los hechos y la hora solo es posible si existe una grabación o alguien está viendo en tiempo real las cámaras, y las imágenes se usan para el control de los trabajadores. Por lo que resultaría preciso la existencia de una información previa y expresa, precisa, clara e inequívoca a los trabajadores de la finalidad de control de la actividad laboral a la que esa captación de imágenes podría ser dirigida. En este sentido, el Tribunal Supremo, en un supuesto similar en el que se grabó a unas cajeras de un supermercado y se usó como prueba sin comunicarles su utilización para control laboral, en Sentencia de 13 de mayo de 2014, Recurso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/17 1685/2013, consideró lo siguiente: “La sentencia de suplicación (STSJ/País Vasco 9 abril 2013- rollo 445/2013) ahora recurrida en casación unificadora por la empresa demandada, confirmando la sentencia de instancia (SJS/Bilbao nº 6 de fecha 22 noviembre 2012-autos 960/2011), da una respuesta positiva a la referida cuestión, decretando la nulidad del despido. Se argumenta que la empleadora, titular del supermercado que constituye el centro de trabajo, se basa exclusivamente en imágenes captadas por una cámara de seguridad permanente para intentar acreditar los hechos imputados en la carta de despido (evitar en la caja el escaneo de diversos productos en alegado beneficio de su pareja), que dicha prueba se ha obtenido ilegítimamente con vulneración del art. 18.4 CE, sin que las razones de utilidad empresarial sean legítimas para restringir tal derecho, no habiéndose dado información previa a la trabajadora, manifestando la empresa que el sistema de vigilancia por cámaras fue instalado únicamente para la prevención de hurtos por clientes y no para el control de la actividad laboral, que en el caso enjuiciado se usó expresamente para controlar la actuación de la trabajadora despedida y que aunque se alega por la empleadora que la información de un cliente es la que produjo la sospecha sobre tal actuación de la trabajadora y la utilización de las cámaras de seguridad con tal fin, se trata de un simple alegato de parte que no ha resultado acreditado. (…) 3. Mayor conexión con el supuesto ahora analizado existe en el resuelto en la STC 29/2013 de 11 de febrero, en la que se establece que: (…)
17. e)Destaca que tal doctrina es plenamente aplicable en el ámbito de las relaciones laborales, señalando que " no hay una habilitación legal expresa para esa omisión del derecho a la información sobre el tratamiento de datos personales en el ámbito de las relaciones laborales, y que tampoco podría situarse su fundamento en el interés empresarial de controlar la actividad laboral a través de sistemas sorpresivos o no informados de tratamiento de datos que aseguren la máxima eficacia en el propósito de vigilancia. Esa lógica fundada en la utilidad o conveniencia empresarial haría quebrar la efectividad del derecho fundamental, en su núcleo esencial. En efecto, se confundiría la legitimidad del fin (en este caso, la verificación del cumplimiento de las obligaciones laborales a través del tratamiento de datos, art. 20.3 LET en relación con el art. 6.2 LOPD) con la constitucionalidad del acto (que exige ofrecer previamente la información necesaria, art. 5 LOPD ), cuando lo cierto es que cabe proclamar la legitimidad de aquel propósito (incluso sin consentimiento del trabajador, art. 6.2 LOPD ) pero, del mismo modo, declarar que lesiona el art. 18.4 CE la utilización para llevarlo a cabo de medios encubiertos que niegan al trabajador la información exigible "; que es jurisprudencia reiterada que " las facultades empresariales se encuentran limitadas por los derechos fundamentales (entre otras muchas, SSTC 98/2000 , de 10 de abril, ... o 308/2000 , de 18 de diciembre ...) " y que " no hay en el ámbito laboral ... una razón que tolere la limitación del derecho de información que integra la cobertura ordinaria del derecho fundamental del art. 18.4 CE . Por tanto, no será suficiente que el tratamiento de datos resulte en principio lícito, por estar amparado por la Ley ( arts. 6.2 LOPD y 20 LET), o que pueda resultar eventualmente, en el caso concreto de que se trate, proporcionado al fin perseguido; el control empresarial por esa vía, antes bien, aunque podrá producirse, deberá asegurar también la debida información previa " C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/17
18. f)Concluyendo que "En el caso enjuiciado, las cámaras de video-vigilancia instaladas en el recinto universitario reprodujeron la imagen del recurrente y permitieron el control de su jornada de trabajo; captaron, por tanto, su imagen, que constituye un dato de carácter personal, y se emplearon para el seguimiento del cumplimiento de su contrato. De los hechos probados se desprende que la persona jurídica titular del establecimiento donde se encuentran instaladas las videocámaras es la Universidad ... y que ella fue quien utilizó al fin descrito las grabaciones, siendo la responsable del tratamiento de los datos sin haber informado al trabajador sobre esa utilidad de supervisión laboral asociada a las capturas de su imagen. Vulneró, de esa manera, el art. 18.4 CE "… SEXTO.-1.- En el supuesto ahora enjuiciado, como se ha adelantado, resulta que en el local del supermercado, donde coinciden el " lugar de trabajo ", que es donde pueden movilizarse por los trabajadores las garantías fundamentales, con los espacios físicos utilizados por los clientes que, en el presente caso, estaban sujetos a control mediante sistemas tecnológicos a través de varias cámaras instaladas con carácter permanente y esencialmente para controlar las puertas de acceso y los lineales, aunque una de ellas estaba ubicada en la zona de cajas; que ésta fue la cámara que se utilizó expresamente por la empleadora para controlar el puesto de trabajo de la cajera despedida, sin que se acredite que la información de un cliente fuera la que produjo la sospecha sobre la conducta de la trabajadora y la subsiguiente actuación empresarial, utilizando las cámaras de seguridad con tal fin de control de la actividad laboral para luego con base exclusiva en imágenes captadas por dicha cámara intentar acreditar los hechos imputados en la carta de despido (evitar en la caja el escaneo de diversos productos en beneficio de su pareja) (HP 4º y 5º); constando, además, en los hechos probados que " el sistema de vigilancia está dirigido a evitar robos por parte de clientes " (HP 3º), que " no consta haber sido comunicada la existencia del sistema de vigilancia a la representación unitaria " (HP 3º), que el representante de los trabajadores en el año 2008 " momento en el que se produjo la instalación de cámaras en el local, interpeló al responsable del local en orden a si se trataba de un sistema de vigilancia laboral. El responsable en aquella época le repuso seguidamente que no, que únicamente se trataba de un sistema destinado a evitar robos por terceros y que algunas de las cámaras no serían operativas. No se precisó cuáles funcionarían y cuáles no " (HP 11º) y que el responsable nacional de seguridad al servicio de la demandada " advirtió que el sistema de cámaras existente en las instalaciones de aquélla no está preparado para la vigilancia del personal, sino únicamente para disuadir a terceros de robos" empresa no se dio información previa a la trabajadora de la posibilidad de tal tipo de grabación ni de la finalidad de dichas cámaras instaladas permanentemente, ni, lo que resultaría más trascendente, tampoco se informó, con carácter previo ni posterior a la instalación, a la representación de los trabajadores de las características y el alcance del tratamiento de datos que iba a realizarse, esto es, en qué casos las grabaciones podían ser examinadas, durante cuánto tiempo y con qué propósitos, ni explicitando muy particularmente que podían utilizarse para la imposición de sanciones disciplinarias por incumplimientos del contrato de trabajo; por el contrario, al requerir tales representantes de los trabajadores a la empresa, una vez instaladas, se les indicó que su finalidad era evitar robos por terceros y no se trataba de un sistema para el control de la actividad laboral, que unas funcionarían y otras no y sin precisar tampoco el almacenamiento o destino de tales grabaciones, y que, a pesar de ello, " lo cierto es que en este concreto caso se usó con la indicada y distinta finalidad de controlar la actividad de la demandante y luego para sancionar a la misma con el despido " y sin que se acredite C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/17 que la información de un cliente fue la que produjo la sospecha sobre la conducta de la trabajadora y la subsiguiente actuación empresarial. 3.- Destacando, por otra parte, la sentencia de suplicación, lo que compartimos, que la ilegalidad de la conducta empresarial no desaparece por el hecho de que la existencia de las cámaras fuera apreciable a simple vista, puesto que conforme a la citada STC 29/2013 " No contrarresta esa conclusión que existieran distintivos anunciando la instalación de cámaras y captación de imágenes en el recinto universitario, ni que se hubiera notificado la creación del fichero a la Agencia Española de Protección de Datos; era necesaria además la información previa y expresa, precisa, clara e inequívoca a los trabajadores de la finalidad de control de la actividad laboral a la que esa captación podía ser dirigida. Una información que debía concretar las características y el alcance del tratamiento de datos que iba a realizarse, esto es, en qué casos las grabaciones podían ser examinadas, durante cuánto tiempo y con qué propósitos, explicitando muy particularmente que podían utilizarse para la imposición de sanciones disciplinarias por incumplimientos del contrato de trabajo " En consecuencia, de conformidad con dicho criterio jurisprudencial, puede afirmarse que la entidad denunciada utilizó las cámaras de videovigilancia para control laboral en el caso de la persona denunciada, haciendo clara referencia a ello en la carta de despido, en la que se relatan los hechos acaecidos y personas implicadas con el detalle y precisión horaria que permiten la grabación de las imágenes almacenadas en el fichero, sin que se hubiese informado de forma previa, expresa, clara e inequívoca de esa finalidad a los trabajadores de la empresa. Por todo lo cual, la entidad denunciada resulta responsable, a título de culpa, de la comisión de la infracción leve tipificada en el artículo 44.2.
19. c)de la LOPD, que considera como tal: “El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado”. VI El artículo 45 de la LOPD, establece, en sus apartados 1 y 4, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 € a 40.000 €.” “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
20. a)El carácter continuado de la infracción.
21. b)El volumen de los tratamientos efectuados.
22. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
23. d)El volumen de negocio o actividad del infractor.
24. e)Los beneficios obtenidos como consecuencia de la comisión de la
25. f)El grado de intencionalidad. infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/17
26. g)La reincidencia por comisión de infracciones de la misma naturaleza.
27. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
28. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
29. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora.» A los efectos de graduación de la sanción a imponer se considera relevante que la actividad desarrollada por LAS ANGOSTURAS DE BENAHAVIS, S.A. no se vincula en forma especial con el tratamiento de datos personales, lo que unido a la inexistencia de intencionalidad y la falta de constancia de que se hayan obtenido beneficios a raíz de la comisión de la infracción, justifica como adecuada a la gravedad de los hechos imputados la imposición de una sanción de 1.300 €. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad LAS ANGOSTURAS DE BENAHAVIS, S.A. , por una infracción del artículo 5.1 de la LOPD, ", en relación con el artículo 20.3 del Estatuto de los Trabajadores, tipificada como leve en el artículo 44.2.
30. c)de la LOPD, una multa de 1.300 € (Mil trescientos euros), de conformidad con lo establecido en el artículo 45. 1 y 4 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente BENAHAVIS, S.A. y a Doña B.B.B. . resolución a LAS ANGOSTURAS DE TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/17 conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es