1/5 938-0419 Procedimiento Nº: PS/00130/2019 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Don A.A.A. (DEFENSA CIUDADANA ACTIVA) (*en adelante, el reclamante) con fecha 30 de noviembre de 2018 interpuso reclamación ante la Agencia Española de Protección de Datos, motivada por el tratamiento de datos realizado a través de cámaras de un sistema de videovigilancia cuyo titular es DUNNES STORES ANDALUCÍA S.A. con NIF A29139037 (en adelante el reclamado) instaladas en Avda Carmen Saénz de Tejada (C.C. Hiper Andalucía)-Las Lagunas de Mijas- Málaga. Los motivos en que basa la reclamación son los siguientes: “las cámaras son al parecer de tipo “domo” cuya orientación desconocemos y están orientadas directamente a la vía pública colindante a la parcela (…) ambas carecen de cualquier distintito en el soporte publicitario o sus alrededores que puedan informar (…)”—folio nº 1--. Las cámaras objeto de denuncia (Cámara 1 y 2) se encuentran instaladas debajo del cartel informativo Dunnes Stores en una zona de rotonda de vehículos (Prueba fotográfica nº1). SEGUNDO: En fecha 04/10/18 se procedió al traslado de la reclamación a la entidad denunciada Dunnes Stores Andalucía S.A, para que alegara lo que en derecho estimara oportuno en relación a las cámaras denunciadas, constando como notificado en el sistema informático de este organismo. TERCERO: En fecha 19/12/18 se recibe en este organismo escrito de alegaciones de la entidad denunciada—Dunnes Stores Andalucía S.A—manifestando lo siguiente: “El responsable de la instalación es Dunnes Stores Andalucía S.A con domicilio en Camino de la Depuradora S/N, 29651, Mijas Costa, Málaga, con NIF nº. A29139037 y teléfono de contacto +34 61063***. La visualización y tratamiento de las imágenes captadas por las cámaras han sido encomendadas a Compañía de Seguridad Omega, S.A. El contrato solicitado se facilita como DOCUMENTO Nº
- Dunnes se encuentra actualmente en proceso de adaptar sus políticas en cuanto a videovigilancia al Reglamento General de Protección de Datos y la esperada y recientemente aprobada nueva Ley de Protección de Datos, que incluye disposiciones específicas a este respecto. Para ello, Dunnes seguirá el programa de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es adaptación del citado Reglamento ya emprendido por su matriz Irlandesa para el grupo en la UE”. CUARTO: Con fecha 1 de abril de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del Artículo 5 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: En fecha 03/05/19 se recibe en esta Agencia escrito de alegaciones de la entidad denunciada Dunnes Stores Andalucía S.A manifestando lo siguiente: “Que en línea con las propuestas de la AEPD en el FJ IV del Acuerdo de Inicio (…) Dunnes ha adoptado medidas para que las cámaras no sigan grabando o regrabando imágenes de las zonas que se entienden desproporcionadas por parte de la AEPD. En este sentido, dichas zonas han sido suprimidas, y ya NO es posible visualizarlas en la pantalla en tiempo real, ni tampoco se graban o almacenan por el sistema (…) De eta forma las cámaras solo obtienen imágenes del perímetro del centro comercial. Se adjunta el presente escrito de prueba a estos efectos como Documento nº
- Tales imágenes son necesarias por motivos de seguridad. Que en virtud de lo expuesto Solicito (….)” A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS Primero: En fecha 30/11/18 se recibe en esta Agencia reclamación por medio de la cual se traslada como “hecho” principal el siguiente: “las cámaras son al parecer de tipo “domo” cuya orientación desconocemos y están orientadas directamente a la vía pública colindante a la parcela (…) ambas carecen de cualquier distintito en el soporte publicitario o sus alrededores que puedan informar (…)”—folio nº 1--. Segundo: Consta acreditado que el responsable de la instalación es la entidad Dunnes Stores Andalucía S.A con NIF nº. A-
- Tercero: Consta acreditado que la entidad --Dunnes Stores. Dispone de diversos carteles informativos en la zona perimetral del establecimiento informando a los clientes y terceros de que se trata de una zona video-vigilada. Cuarto: Consta acreditado que la visualización y tratamiento de las imágenes han sido encomendadas a Compañía de Seguridad OMEGA S.A. El contrato se facilita como Doc. probatorio nº
- 3/5 Quinto: La entidad denunciada ha procedido a la reorientación de las cámaras que obtenían imágenes de espacio público, aportando prueba documental (vgr. impresión de pantalla) dónde se observa las medidas adoptadas. Sexto: Dunnes se encuentra actualmente en proceso de adaptar sus políticas en cuanto a videovigilancia al Reglamento General de Protección de Datos y la esperada y recientemente aprobada nueva Ley de Protección de Datos, que incluye disposiciones específicas a este respecto. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDPGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II En fecha 30/11/18 se recibe en esta Agencia reclamación de la Asociación Defensa Ciudadana Activa por medio de la cual se traslada como “hecho” principal el siguiente: “las cámaras son al parecer de tipo “domo” cuya orientación desconocemos y están orientadas directamente a la vía pública colindante a la parcela (…) ambas carecen de cualquier distintito en el soporte publicitario o sus alrededores que puedan informar (…)”—folio nº 1--. Las cámaras objeto de denuncia (Cámara 1 y 2) se encuentran instaladas debajo del cartel informativo Dunnes Stores en una zona de rotonda de vehículos (Prueba fotográfica nº1). Las cámaras de seguridad instaladas en Centros comerciales no pueden obtener imágenes de espacio público, debiendo circunscribirse al entorno del Centro comercial en todo caso. Las cámaras de seguridad instaladas en espacios privados no podrán obtener imágenes de los espacios públicos, la función de seguridad de los espacios públicos corresponde en exclusiva a las Fuerzas y Cuerpos de Seguridad del Estado, no a las Empresas de Seguridad Privada. El tratamiento de imágenes en lugares públicos sólo puede ser realizado -en su caso y previo el cumplimiento de los requisitos legalmente exigibles-, por las Fuerzas y Cuerpos de Seguridad, a menos que opere la excepción establecida en el artículo 4.3 de la Instrucción 1/2006, de 8 de noviembre, de esta Agencia, que establece: “las cámaras y videocámaras instaladas en espacios privados no podrán obtener imágenes de espacios públicos salvo que resulte imprescindible para la finalidad de vigilancia que se pretende, o resulte imposible evitarlo por razón de la ubicación de aquellas. En todo caso deberá evitarse cualquier tratamiento de datos innecesario para la finalidad perseguida” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es La Ley de Seguridad Privada, en su Artículo 42 sobre los Servicios de Videovigilancia establece: “No se podrán utilizar cámaras o videocámaras con fines de seguridad privada para tomar imágenes y sonidos de vías y espacios públicos o de acceso público salvo en los supuestos y en los términos y condiciones previstos en su normativa específica, previa autorización administrativa por el órgano competente en cada caso”. Los hechos conocidos podrían ser constitutivos de una infracción, imputable al reclamado, por vulneración del artículo 5 RGPD, al adoptar una medida no permitida legalmente y estar obteniendo imágenes con finalidades control fuera de los casos permitidos. La entidad denunciada en escrito de alegaciones (05/05/19) ha procedido a la reorientación de las cámaras en cuestión, aportando prueba documental (fotografías Anexas 1º y 2º) en dónde las mismas solo captan el espacio perimetral del Centro comercial “por motivos de seguridad” de las instalaciones. Cabe indicar que el sistema disponía de los preceptivos carteles informativos en zona visible en las puertas de acceso al establecimiento del centro comercial, sin que los denunciantes se dirigieran previamente a la entidad responsable de las mismas. Se recuerda el deber de disponer de formulario (s) a disposición de los “clientes” del establecimiento que pudieran necesitarlo en caso de ejercitar los derechos reconocidos en la normativa vigente, en los casos previstos. III El artículo 83 apartado 5º del RGPD dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: a) los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” Sin perjuicio de lo establecido en el artículo 83 del RGPD, el citado Reglamento dispone en su art. 58.2 b) la posibilidad de sancionar con apercibimiento, en relación con lo señalado en el Considerando 148: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en 5/5 que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.”. En el presente caso, se tiene en cuenta que del total de cámaras del sistema tan solo dos estuvieron obteniendo imágenes de espacio público en una porción mínima, (como la cabina de teléfonos y carretera próxima), que dispone de carteles informativos y que estaban adaptando el mismo a la normativa en vigor, colaborando en todo momento con este organismo. IV De acuerdo con las pruebas aportadas, cabe concluir que la entidad denunciada disponía de cámaras que estuvieron obteniendo imágenes parciales de manera desproporcionada de espacio público, si bien con motivo del presente procedimiento se ha procedido a adoptar medidas para reorientar las mismas, que se ajustan a día de la fecha a la legalidad vigente. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: PROCEDER a APERCIBIR a la entidad denunciada DUNNES STORES ANDALUCIA S.A por la infracción del contenido del artículo 5 letra c) RGPD, al haber tenido instaladas cámaras que obtenían imágenes de manera desproporcionada de espacio público sin causa justificada. SEGUNDO: NOTIFICAR la presente resolución a la entidad denunciada DUNNES STORES ANDALUCÍA S.A.. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es