PS-00151-2020

1/10  Procedimiento Nº: PS/00151/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: GUÀRDIA URBANA DEL AYUNTAMIENTO DE FIGUERES (en adelante, el reclamante) con fecha 2 de octubre de 2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra A.A.A. con NIF ***NIF.1 (en adelante, el reclamado). Los motivos en que basa la reclamación, en su traducción al castellano, son los siguientes: “[…]El día 26 de julio de2019 a las 18:00 horas los agentes de la Guardia Urbana de Figueres con ***TIP.1 y ***TIP.2 en servicio no uniformado se dirigen a la ***DIRECCION.1 para comprobar qué actividad se realiza en este inmueble debido a quejas de diversos vecinos de la zona relativas a constantes entradas y salidas de personas diferentes y ruidos que perturban su descanso. Los agentes identifican a tres personas que residen en el primer piso en alquiler:

1. a)A.A.A. que se hace llamar B.B.B. […] Los agentes advirtieron que tanto en la puerta de entrada del inmueble por la parte interior como en cada puerta de los pisos 1º, 2º y 3º se encontraban cámaras de videograbación en funcionamiento. No había cartel informativo […]. […] […] Consta que la propiedad del segundo y tercer piso está a nombre de. A.A.A. […]. El día 17/09/2019 […] el sargento ***TIP.3 y el agente ***TIP.4 se desplazaron al inmueble y comprobaron que en el primer piso residía de alquiler el Sr. A.A.A. y confirmaron que tenía en régimen de alquiler turísticos los pisos segundo y tercero […]. […] Los agentes ***TIP.3 y ***TIP.4 en esta inspección comprobaron que efectivamente había una cámara de seguridad en funcionamiento solo entrar en la puerta del inmueble y otra sobre las puertas de los pisos 1º, 2º y 3º. Interrogada A.A.A., esta confirmó a los agentes que tenía un videograbador en su domicilio y que las tenía instaladas por seguridad por su actividad de alquiler de habitaciones. […]. No consta tampoco la autorización de la comunidad de propietarios en acuerdo de junta que permitiera a esta persona la gestión de este sistema de seguridad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/10 Vistos los hechos, se puede apreciar que estas 4 cámaras han grabado datos de carácter personal (uno o diversos elementos propios de la identidad física, fisiológica) […] y se han incorporado en algún tipo de fichero informático de un videograbador que gestiona A.A.A. como son las caras tanto de diversas personas identificadas como de los 4 agentes actuantes […].” Junto a la reclamación aporta los siguientes documentos: 1. Nota simple del registro de la propiedad de los tres pisos que conforman el inmueble. 2. Modelo de contrato que utiliza el responsable para al alquiler de los pisos 2º y 3º. 3. Fotografías del exterior del inmueble y de las 4 cámaras instaladas en el interior del este (entrada, 1º, 2º y 3er pisos). 4. Modelo de contrato utilizado por el reclamado para el alquiler turístico. SEGUNDO: Con carácter previo a la admisión a trámite de esta reclamación, La Subdirección General de Inspección de Datos envió al reclamado una solicitud de información el día 4 de noviembre de 2019, que fue notificada el 12 de noviembre de 2019. Ante la falta de contestación, se reiteró la solicitud de información el día 17 de febrero de 2020, cuya notificación se tuvo lugar el 27 de febrero de 2020. No se ha recibido contestación TERCERO: La Directora de la Agencia Española de Protección acordó admitir a trámite la reclamación el día 1 de junio de 2020. CUARTO: Con fecha 3 de noviembre de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por las presuntas infracciones de los artículos 5.1.
2. c)y 13 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), tipificadas en el artículo 83.5 de la misma norma. QUINTO: Notificado el acuerdo de inicio el día 13 de noviembre de 2020, el reclamado no ha presentado escrito de alegaciones, por lo que es de aplicación lo señalado en el artículo 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, que en su apartado
3. f)establece que en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, por lo que se procede a dictar Resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/10 HECHOS PRIMERO: De acuerdo con el Acta de denuncia levantada por la Guàrdia Urbana de Figueres el día 17 de septiembre de 2019 y el reportaje fotográfico adjunto, el reclamado ha instalado un sistema de videovigilancia en el inmueble localizado en ***DIRECCION.1 compuesto por 4 cámaras ubicadas en el portal y pisos 1º, 2º y 3º. 1. La cámara ubicada en el portal se encuentra instalada en la parte superior de una pared lateral enfocando a la puerta de acceso al edificio. 2. La cámara ubicada en el primer piso se encuentra instalada en una pared del rellano. 3. La cámara del segundo piso se sitúa encima de la puerta. 4. No se adjunta fotografía de la cámara instalada en el tercer piso. De acuerdo con el acta denuncia, se situaría encima de la puerta igualmente. SEGUNDO: No consta autorización de la comunidad de propietarios para la instalación del sistema y este no cuenta con cartel informativo. TERCERO: El reclamado reside como inquilino en el piso 1º y de acuerdo con las notas simples del Registro de la Propiedad anexas a la denuncia, es el propietario de los pisos ubicados en las plantas 2ª y 3ª del inmueble. CUARTO: El reclamado desarrolla una actividad económica consistente en el alquiler de los pisos 2º y 3º del edificio en régimen de alojamiento turístico. QUINTO: El reclamado manifiesta a los agentes que ha instalado las cámaras por motivos de seguridad relacionados con su actividad de alquiler de habitaciones y que dispone de un videograbador en su domicilio. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Se imputa al reclamado, por una parte, la comisión de una infracción por vulneración del artículo 5.1.
4. c)del RGPD que los datos personales serán “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados (“minimización de datos”).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/10 Asimismo, se imputa al reclamado la comisión de otra infracción por vulneración del artículo 13 del RGPD, que establece que: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
5. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
6. b)los datos de contacto del delegado de protección de datos, en su caso;
7. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
8. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
9. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
10. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
11. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
12. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
13. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
14. d)el derecho a presentar una reclamación ante una autoridad de control;
15. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/10 los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
16. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3.Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4.Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.” Las citadas infracciones se encuentran tipificadas en el artículo 83.5 del RGPD, que dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
17. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
18. b)los derechos de los interesados a tenor de los artículos 12 a 22 […]” A efectos del plazo de prescripción de las infracciones, ambas infracciones se consideran muy graves y prescriben a los tres años, conforme al artículo 72.1 de la LOPDGDD, que establece que: “En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
19. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. […]
20. h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta Ley Orgánica. […]” III El artículo 22 de la LOPDGDD, relativo a “Tratamientos con fines de videovigilancia” establece en su apartado 1 que: “Las personas físicas o jurídicas, públicas o privadas, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/10 podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y los bienes, así como de sus instalaciones”. Este tratamiento, que se legitima en la causa de cumplimiento de una misión interés público interés público recogido en en artículo 6.1.
21. e)del RGPD, deberá cumplir con los principios enunciados en el artículo 5 de la citada norma europea. Uno de esos principios es el de minimización de datos (artículo 5.1.c), que establece la necesidad de que los datos que se traten sean los mínimos necesarios para llevar a cabo la finalidad perseguida por el responsable. De esta forma, las cámaras instaladas solo podrán captar imágenes de vía pública en la medida en que sean imprescindibles y evitarán afectar a la esfera jurídica de derechos de terceras personas sin causa justificada, por lo que no se podrán obtener imágenes de espacios públicos o zonas de uso privativo de terceros sin la concurrencia de la mencionada causa justificada. Por otra parte, los particulares que utilizan este tipo de dispositivos son responsables de que estos se ajustan a la legalidad vigente, debiendo cumplir, cuando el inmueble se encuentra bajo el régimen de comunidad de propietarios, con las exigencias establecidas en la Ley 49/1960, de 21 de julio, sobre propiedad horizontal (LPH). Así, la instalación de un sistema de videovigilancia por un particular requerirá de autorización de la junta de la comunidad de propietarios tanto cuando se proyecte su ubicación en una zona común como cuando, aun instalado en una zona de uso privativo, se oriente a zonas comunes circundantes y capte —respetando en todo caso el principio de minimización de datos— tangencialmente zonas comunes. Por lo que se refiere a la valoración conjunta de elementos fácticos obrantes en el procedimiento sancionador, es preciso señalar con carácter previo que, de acuerdo con el artículo 77.5 de la LPACAP, “Los documentos formalizados por los funcionarios a los que se reconoce la condición de autoridad y en los que, observándose los requisitos legales correspondientes se recojan los hechos constatados por aquéllos harán prueba de éstos salvo que se acredite lo contrario”. Por lo tanto, al no haber presentado el reclamado ninguna prueba en contra, deben entenderse plenamente probados, a efectos del presente procedimiento, los hechos constatados y documentados por los agentes de la Guàrdia Urbana de Figueres en su acta denuncia de 17 de septiembre de 2019. Teniendo en cuenta lo anterior, los hechos probados ponen de manifiesto que el reclamado ha instalado un sistema de videovigilancia —aduciendo razones de seguridad relacionados con el negocio de alojamiento turístico que regenta— en zonas comunes del edificio, como son el portal y los rellanos de los pisos. El sistema así instalado vulnera el principio de minimización de datos por cuanto las cámaras en funcionamiento captan zonas que exceden de aquellas que estarían cubiertas por el mencionado fin de seguridad. El hecho de que algunos bienes inmuebles del edificio estén dedicados al alquiler turístico no legitima que se capten las zonas comunes, a menos que por acuerdo de la junta de la comunidad de propietarios se autorice la instalación de un sistema de videovigilancia con fines de garantizar la seguridad del edificio. IV C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/10 El RGPD consagra como otro de sus principios fundamentales del de transparencia en relación con los interesados. Como una de sus manifestaciones, el artículo 13 del RGPD —en cumplimiento del deber de información recogido en el precedente artículo 12 del mismo texto legal— regula la información que ha de proporcionarse cuando los datos personales se obtengan del interesado, situación que se produce en los supuestos en que se captan imágenes por un sistema de videovigilancia. En este sentido, el artículo 22.4 de la LOPDGDD establece que “El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información”. Respecto a esta cuestión, los hechos probados en el presente procedimiento también permiten acreditar que el reclamado, como responsable del tratamiento llevado a cabo a través de un sistema de videovigilancia, ha incumplido el mencionado deber de información, al no existir ningún cartel informativo que informe a los afectados de que se está llevando a cabo el tratamiento de datos de su imagen, la identidad del responsable ni de la posibilidad de ejercitar sus derechos al respecto. V Los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, se establecen en el artículo 58.2 del RGPD. Entre ellos se encuentran la potestad de sancionar con apercibimiento -artículo 58.2 b)-, la potestad de imponer una multa administrativa con arreglo al artículo 83 del RGPD -artículo 58.2 i)-, o la potestad de ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un plazo especificado -artículo 58. 2 d)-. Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en el artículo 58.2
22. d)del citado Reglamento es compatible con la sanción consistente en multa administrativa. VI A tenor de lo dispuesto por el RGPD en su art. 83.2, al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrán en cuenta los factores agravantes y atenuantes que se relacionan en el artículo señalado, así como cualquier otro que pueda resultar aplicable a las circunstancias del caso. A efectos de fijar la sanción a imponer al reclamado, se estima como concurrente la circunstancia agravante de intencionalidad o negligencia en la infracción (artículo 83.2.
23. b)del RGPD), toda vez que el reclamado no ha mostrado la mínima diligencia exigible al titular de un negocio en el cumplimiento de la normativa aplicable en materia de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/10 Asimismo, se ha tenido en cuenta circunstancia atenuante de que el reclamado es una persona física. En base a lo anterior, procede imponer una sanción de dos mil euros (2.000,00 €) por la infracción del artículo 5.1.
24. c)del RGPD y mil euros (1.000,00 €) por la infracción del artículo 13 del RGPD, resultando un total de tres mil euros (3.000,00 €). Por otra parte, de acuerdo con lo establecido en el citado artículo 58.2
25. d)del RGPD, según el cual cada autoridad de control podrá «ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado […]”, el responsable deberá acreditar, en el plazo de