PS-00154-2013

1/21 Procedimiento Nº PS/00154/2013 RESOLUCIÓN: R/01658/2013 En el procedimiento sancionador PS/00154/2013, instruido por la Agencia Española de Protección de Datos a la entidad EL CORTE INGLÉS, vista la denuncia presentada por D. C.C.C. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 27 de junio de 2012 tiene entrada en esta Agencia escrito de D. C.C.C. en el que manifiesta que en la (C/..........................1) (Barcelona), lugar donde se ubica el Centro Comercial “HIPERCOR”, existen cámaras instaladas que pueden estar captando imágenes de todas las personas que circulan por la vía pública. Adjunta fotografías de las cámaras denunciadas. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad EL CORTE INGLÉS S.A., teniendo conocimiento de lo siguiente: En fecha 14 de septiembre de 2012 se solicita información al denunciado teniendo entrada en esta Agencia escrito de D. B.B.B. en representación de “El Corte Inglés S.A.” (en adelante el denunciado) quien manifiesta: - El responsable de la instalación es la entidad “EL CORTE INGLÉS S.A.” - La finalidad de la instalación de las cámaras de videovigilancia en fachadas y exteriores del establecimiento es la vigilancia del perímetro del citado establecimiento con la finalidad de protección contra las amenazas y riesgos existentes en relación con atentados terroristas, actos vandálicos y actuaciones delictivas como alunizajes. Adjunta copia de la denuncia presentada por dichos motivos y fotografías de la última denuncia consecuencia de un alunizaje. La finalidad de las cámaras es también dar cumplimiento a los requisitos de la Ley de Seguridad Privada, protegiendo accesos al edifico por existir en el mismo espacios que deben adoptar dicha medida con carácter obligatorio como son la joyería, el armero, cámara acorazada etc. Las cámaras no se encuentran conectadas con central de alarmas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/21 - Adjunta fotografía del cartel de zona videovigilada que se encuentran instalados en la entrada al centro comercial a la vista del público en todos los accesos al establecimiento. - Adjunta documento informativo que se entrega a toda persona que lo solicite y desee ejercer los derechos establecidos en la Ley 15/1999. - Existen 18 cámaras instaladas que se encuentran dentro de los terrenos propiedad del denunciado, adjunta detalles de cada una de las cámaras: CÁMARAS DOMO: o Cámara 39: ubicada en la (C/..........................1). o Cámara 48: ubicada en la entrada al parking desde la (C/...........2). o Cámara 49: ubicada en la salida de emergencias de la (C/...........2). o Cámara 50: ubicada en la puerta de acceso de clientes y salida del muelle en (C/...........2). o Cámara 53: ubicada en la salida de emergencia (C/...........3)/(C/...........4). o Cámara 54: ubicada en salida de emergencia Calle (C/...........3)/ (C/...........1) o Cámara 55: ubicada en Patio interno de la (C/..........................1)/ (C/...........3). o Cámara 56: ubicada en Patio interno de la (C/..........................1). o Cámara 57: ubicada en patio interno (C/...........2). o Cámara 58: ubicada en salida de vehículos de la (C/...........2). o Cámara 60: ubicada en la entrada al parking por Calle (C/...........3). o Cámara 90: ubicada en salida vehículos calle (C/...........3). de la Calle Las cámaras domo disponen de limitadores de visión CÁMARAS FIJAS C/ Jorge Juan, 6 28001 – Madrid o Cámara 47: ubicada en (C/..........................1)/(C/...........3). En la imagen captada por esta cámara puede verse uno de los accesos al establecimiento y la vía pública que se encuentra entre la cámara y el acceso al establecimiento. o Cámara 51: ubicada en Calle (C/...........4). www.agpd.es sedeagpd.gob.es 3/21 o Cámara 52: ubicada en la puerta de clientes Calle (C/...........4)/ (C/...........3). En la imagen captada por esta cámara puede verse uno de los accesos al establecimiento y la vía pública que se encuentra entre la cámara y el acceso al establecimiento o Cámara 94: ubicada en puerta de personal (C/..........................1)/ (C/...........3). o Cámara 59: ubicada en el patio interno de (C/...........2)/(C/...........4). - Las imágenes de las cámaras se visualizan en el cuarto de control en el que se encuentran los monitores que permiten visualizar las imágenes captadas al empleado de seguridad en tiempo real en cada momento. - Las cámaras graban imágenes a las que acceden el Delegado de Seguridad y Segundo Jefe Delegado de Seguridad en el monitor que tienen instalado en su despacho. Las imágenes se conservan durante el período establecido en un sistema de grabación digital y el código de inscripción del fichero con finalidad de videovigilancia en el Registro General de la Agencia Española de Protección de Datos es D.D.D.. TERCERO: La presencia del sistema de video vigilancia denunciado puede suponer una vulneración de alguno de los requisitos exigidos por la LOPD, lo que motiva la apertura del presente procedimiento sancionador. Debe tenerse en cuenta que la instalación de un sistema de video vigilancia tiene que cumplir las siguientes previsiones: - Respetar el principio de proporcionalidad. - Dicho sistema únicamente podrá ser instalado por una empresa de seguridad privada que reúna los requisitos contemplados en el artículo 7 de la Ley 23/92 de Seguridad Privada, sólo en el caso en que el sistema de video vigilancia conectado a una central de alarma, - Las videocámaras no podrán captar imágenes de las personas que se encuentren fuera del establecimiento ya que el tratamiento de imágenes en lugares públicos sólo puede ser realizado, salvo que concurra autorización gubernativa, por las Fuerzas y Cuerpos de Seguridad. - Se deberá cumplir el deber de informar a los afectados en el modo previsto en la instrucción 1/2006 de la Agencia Española de Protección de Datos. En concreto:

1. a)Colocar, en las zonas video vigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados y
2. b)Tener a disposición de los/las interesados/as impresos en los que se detalle la información prevista en el artículo 5.1 de la Ley Orgánica 15/1999 - Salvo en el caso de que el tratamiento consista exclusivamente en la reproducción o emisión de imágenes en tiempo real, se deberá notificar previamente a la AEPD la creación del fichero que contenga las imágenes para su inscripción en el Registro General de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/21 De la información contenida en el Expediente de Actuaciones Previas, y sin perjuicio de lo que se derive de la instrucción del presente expediente sancionador, se desprende que la entidad EL CORTE INGLÉS, S.A., dispone de un sistema de videovigilancia instalado en el establecimiento con denominación comercial Hipercor situado en la (C/..........................1) de Barcelona que captura imágenes de la vía pública, de alcance que podría ser desproporcionado para la finalidad requerida, sin que pueda ser realizado por otros responsables del fichero que no sean las Fuerzas y Cuerpos de Seguridad del Estado, por lo que no dispondría de habilitación legal para el tratamiento de imágenes y precisando, por tanto, del consentimiento de los afectados, según se recoge en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre de Protección de Datos de Carácter Personal. CUARTO: Con fecha 10 de abril de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a EL CORTE INGLÉS, por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
3. b)de dicha norma, pudiendo ser sancionada, con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. QUINTO: Notificado el acuerdo de inicio, EL CORTE INGLÉS formuló alegaciones, significando, que: “...el sistema de videovigilancia utilizado por mí representada no tiene por finalidad el tratamiento de imágenes de terceros que pasen por las inmediaciones de los establecimientos de mí representada, sino la protección de dichos establecimientos frente a cualquier actuación violenta por parte de terceros contra los mismos incluyendo, como bien sabe la propia Agencia Española de Protección de Datos, la prevención de actos terroristas que mi representada ha sufrido en el pasado o como hechos delictivos como el sufrido el día 31 de diciembre de 2010... (...) En definitiva, se ha acreditado que el sistema de videovigilancia instalado por mí representa cumple con los requisitos de la Ley de Seguridad Privada y, al estar amparado por dicha Ley y, en consecuencia, encontrarse dentro del supuesto del artículo 6.2 de la Ley 15/1999 de Protección de Datos, que establece los supuestos en los que no es necesario obtener el consentimiento del afectado, no es de aplicación el artículo 6.1 del mismo texto legal que sirve de base para establecer una infracción cometida por mí representada. (...) La vigilancia del exterior de los centros comerciales de mi representada, como no se escapa a nadie, requiere la instalación de cámaras de vigilancia en las fachadas de los mismos y, por la propia naturaleza del lugar en el que se ubican y su finalidad, el que en esa función de vigilancia se obtengan imágenes de las personas que pasan por el perímetro de dichos centros comerciales no implican el uso de las mismas con ninguna finalidad si no ocurre ningún hecho delictivo contra los bienes o intereses de mi representada ni contra las personas que para la misma trabajan; la propia AEPD sabe que dichos datos personales no se tratan, como está declarado en el registro de ficheros de la propia Agencia y que los mismos se eliminan automáticamente sin necesidad de ninguna intervención de mi representada. (...) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/21 En cuanto a las cámaras que enfocan a las salidas de emergencia y a los muelles, estando ambos espacios dentro de los terrenos propiedad privada de mi representada, es lógico que estén controlados y, si pasa alguna persona su imagen se pueda captar, pero no porque se quiera vigilar a quien pase por allí, sino porque tanto el muelle carga, por su propia naturaleza, como las salidas de emergencia para evitar que puedan ser taponadas o manipuladas desde el exterior, deben tener un control mínimo imprescindible, siendo dicho control proporcionado con la finalidad de que se persigue. (...) TERCERA.- VULNERACIÓN DEL PRINCIPIO DE PROPORCIONALIDAD. En materia de sanciones, el art. 131 de la Ley 30/1 992, en su apartado 3... ... cualquier posible infracción en que hubiese incurrido El Corte Inglés, S.A. sería merecedora del menor reproche posible. Porque es indudable que no ha existido intencionalidad y que el perjuicio ocasionado es nulo. (...) Como se puede apreciar, si estos hechos estuvieran incardinados dentro del ámbito penal, mi representada no tendría responsabilidad alguna por los mismos ya que, en todo momento, ha actuado de buena fe y con la intención de evitar un perjuicio tanto a si misma como a terceros sin causar ningún daño a nadie ya que la captación de la imagen de una persona y su posterior eliminación no supone daño alguno para ella. Y si el Derecho Penal es el derecho sancionador por excelencia, en el ámbito administrativo sancionador, no sólo no se debería ir más allá, sino que debería tenerse en cuenta los principios que informan el Derecho Sancionador por excelencia a la hora de establecer responsabilidades. (...) Pues bien, en el caso que nos ocupa, aunque reiteramos que no existe infracción, para el caso de que la Agencia Española de Protección de Datos mantuviera la existencia de la misma, debiera tener en cuenta, a la hora de graduar la sanción, la concurrencia de los apartados e),
4. f)y
5. h)del artículo 45.4 ... Y todas esas razones justifican que se aplique al presente caso el apartado 5 deI art. 45 de la LOPD y, en consecuencia, que a la supuesta infracción se le aplique la escala de sanciones previstas para las infracciones leves en su grado mínimo; es decir, 900,00 euros.” Concluyen las alegaciones solicitando que se acuerde el archivo del expediente incoado. SEXTO: Con fecha 10 de mayo de 2013 se inició el período de práctica de pruebas, acordándose practicar las siguientes: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por D. C.C.C. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante EL CORTE INGLÉS, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/05440/2012. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/21 acuerdo de inicio PS/00154/2013 presentadas por EL CORTE INGLÉS, y la documentación que a ellas acompaña. SÉPTIMO: Con fecha 3 de julio de 2013 se formuló propuesta de resolución, proponiendo la imposición de una sanción de 40.001 € a la entidad EL CORTE INGLÉS, por la comisión de una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
6. b)de dicha Ley. OCTAVO: Notificada la propuesta de resolución EL CORTE INGLÉS realizó alegaciones frente a la misma. Expone que la recogida de imágenes, aleatorias, en un disco duro, al que van entrando por el orden en que las recogen las diversas cámaras del establecimiento, sin ningún orden preestablecido y que se van eliminando automáticamente, sin intervención de persona alguna, por el propio sistema, al cabo de 7 días, no constituye una operación o procedimiento técnico de recogida de datos, que constituiría tratamiento de datos personales en sentido legal. Que los datos recogidos por las cámaras del establecimiento no se incluyen en ningún fichero estructurado. Se graban unas a continuación de las otras, sin establecer un criterio de búsqueda fácil y sencillo que permita localizar e identificar a las personas. Expresa que esta conducta no constituiría un tratamiento atendiendo estrictamente a los mandatos contenidos en la Directiva Comunitaria y, en consecuencia, no sería sancionable. No nos encontramos ante un fichero en el sentido estricto de la Directiva Comunitaria ni de la ley española, por lo que faltando el elemento esencial del fichero, la actuación de mí representada no puede ser incardinada en el régimen de protección de la Ley 15/1999 de Protección de Datos y, en consecuencia, no debe ser sancionada. Comunica también que, cabe destacar la incongruencia de la argumentación mantenida por la Agencia en este procedimiento respecto del consentimiento. Que se cumple con el deber de informar mediante la instalación de los correspondientes carteles en las entradas a los establecimientos, lo cual es una forma indirecta de obtener el consentimiento de los peatones ya que todos ven el cartel y si no quisieran prestar su consentimiento, podrían manifestarlo en ese momento; sino que además, ha limitado a 7 días, no 30 como permite la norma. En cuanto a las imágenes concretas de las cámaras 47 y 52 manifiesta que, si hasta la fecha la Agencia nunca ha dicho nada respecto de las imágenes que se captan con las cámaras que enfocan las puertas de acceso al establecimiento, aunque se capturasen imágenes en la vía pública, aunque de forma restringida, la citada imagen inferior puede captar las mismas imágenes de viandantes que pueden captar todas y cada una de las cámaras que enfocan a las entradas al establecimiento comercial y a las que la Agencia no ha puesto reparo alguno en este procedimiento sancionador. Manifiesta en las alegaciones que este espacio mínimo es el equivalente al que se capta con otras cámaras que es el mínimo imprescindible para que las mismas sean operativas y su uso se adecue a su función. Concluyen las alegaciones solicitando que se acuerde el archivo del expediente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/21 incoado. HECHOS PROBADOS PRIMERO: Se ha denunciado en esta Agencia que en la (C/..........................1), Barcelona, lugar donde se ubica el Centro Comercial “HIPERCOR”, existen cámaras instaladas que pueden estar captando imágenes de todas las personas que circulan por la vía pública. Adjunta fotografías de las cámaras denunciadas. SEGUNDO: La entidad denunciada informó, con fecha 27 de septiembre de 2012, respecto del sistema de videovigilancia instalado en el establecimiento denunciado, que existen 18 cámaras instaladas dentro de los terrenos de su propiedad, que no están conectadas con central de alarmas, que disponen de carteles de zona videovigilada a la vista del público en todos los accesos al establecimiento. TERCERO: Se aporta relación de cada una de las cámaras con fotografías de cada dispositivo y de lo captado por cada uno de ellos en fecha 25 de septiembre de 2012 y con evidencia de que los domos disponen de máscara de privacidad. Del análisis de lo captado por las cámaras se observa que la cámara 47 está ubicada en la (C/..........................1)/(C/...........3) y en la imagen captada por esta cámara puede verse uno de los accesos al establecimiento y el espacio público que se encuentra entre la cámara y el acceso al establecimiento, y que la cámara 52, ubicada en la puerta de clientes de la calle (C/...........4)/(C/...........3), en la imagen captada por esta cámara puede verse uno de los accesos al establecimiento y el espacio público que se encuentra entre la cámara y el acceso al establecimiento. CUARTO: Las imágenes de las cámaras se visualizan en el cuarto de control en el que se encuentran los monitores que permiten visualizar las imágenes captadas al empleado de seguridad en tiempo real en cada momento. Las cámaras graban imágenes a las que acceden el Delegado de Seguridad y Segundo Jefe Delegado de Seguridad en el monitor que tienen instalado en su despacho. Las imágenes se conservan durante el período establecido en un sistema de grabación digital y el código de inscripción del fichero con finalidad de videovigilancia en el Registro General de la Agencia Española de Protección de Datos es D.D.D.. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/21 Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
7. g)en relación con el artículo 36 de la LOPD. II Con carácter previo, debe señalarse que el artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. La LOPD, viene a regular el derecho fundamental a la protección de datos de las personas físicas, esto es, el derecho a disponer de sus propios datos sin que puedan ser utilizados, tratados o cedidos sin su consentimiento, con la salvedad de las excepciones legalmente previstas. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el apartado
8. a)del artículo 3 de la LOPD, como “Cualquier información concerniente a personas físicas identificadas o identificables”. En lo que respecta al concepto de “fichero” el artículo 3.
9. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
10. d)de la LOPD define al responsable del fichero o tratamiento como la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” El artículo 3 de la LOPD define en su letra
11. c)el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. La garantía del derecho a la protección de datos, conferida por la normativa de referencia, requiere que exista una actuación que constituya un tratamiento de datos personales en el sentido expresado. En otro caso las mencionadas disposiciones no serán de aplicación. El artículo 5.1.
12. f)del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, define datos de carácter personal como: “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2.
13. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/21 Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, según el cual, a efectos de dicha Directiva, se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. De lo anteriormente expuesto se desprende que el concepto de dato personal, según la definición de la LOPD, requiere la concurrencia de un doble elemento: por una parte, la existencia de una información o dato y, por otra, que dicho dato pueda vincularse a una persona física identificada o identificable. Así, de conformidad con la normativa expuesta, el denunciado dispone de datos personales y los utiliza, lo que constituye un tratamiento de datos personales del que es responsable, toda vez que es quien decide sobre la finalidad, contenido y uso del citado tratamiento. III En el presente expediente se ha comprobado que en el establecimiento con denominación comercial Hipercor situado en la (C/..........................1) de Barcelona, se han instalado cámaras de videovigilancia en el interior y el exterior del centro comercial, que captan imágenes de las personas que se introducen dentro de su campo de visión, estas imágenes son datos personales que están sometidos al consentimiento de sus titulares, de conformidad con lo que determina la LOPD. En la información facilitada por la entidad denunciada se comprueba que las cámaras denunciadas en las presentes actuaciones, captan imágenes de espacios públicos y de las personas que circulan por ellos permitiendo su identificación. La entrada en vigor, el 27 de diciembre de 2009, de la Ley 25/2009, de modificación de diversas leyes para su adaptación a la Ley sobre el libre acceso a las actividades de servicios y su ejercicio (conocida como “Ley Ómnibus”), ha suprimido para la mayor parte de los casos las exigencias con respecto a la instalación de cámaras de videovigilancia, al liberalizar la comercialización, entrega, instalación y mantenimiento de estos dispositivos En todo caso, el tratamiento de las imágenes deberá cumplir los restantes requisitos exigibles en materia de protección de datos de Carácter Personal, recogidos en la Ley Orgánica y, en particular, en la instrucción 1/2006 de la Agencia Española de Protección de Datos, como son, entre otros, los relativos a que las imágenes que se capten sean las necesarias y no excesivas para la finalidad perseguida; el deber de informar a los interesados, tanto a través de la colocación de carteles informativos como mediante la puesta a disposición de aquéllos de impresos en que se detalle la información; o que el tratamiento de los datos recogidos en la vía pública esté acogido a lo dispuesto en la Ley Orgánica 4/1997, de 4 de agosto, que regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad en lugares públicos. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/21 Se imputa a El Corte Inglés S.A. como responsable del sistema de videovigilancia instalado en el establecimiento con denominación comercial Hipercor situado en la (C/..........................1) de Barcelona, la comisión de una infracción del artículo 6.1 de la LOPD, que dispone lo siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado”. Respecto a la legitimación en el tratamiento de las imágenes, la respuesta se encuentra en el artículo 2 de la Instrucción 1/2006, que establece que: “1. Sólo será posible el tratamiento de los datos objeto de la presente instrucción, cuando se encuentre amparado por lo dispuesto en el artículo 6.1 y 2 y el artículo 11.1 y 2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. 2. Sin perjuicio de lo establecido en el apartado anterior la instalación de cámaras y videocámaras deberá respetar en todo caso los requisitos exigidos por la legislación vigente en la materia”. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/21 Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. En el presente expediente, cabe apreciar que las cámaras instaladas en el Supermercado Hipercor situado en la (C/..........................1) de Barcelona captan imágenes de personas, de conformidad con lo anteriormente expuesto. Dichas imágenes, incorporan datos personales de las personas que se introducen dentro de su campo de visión y, por lo tanto, los datos personales captados están sometidos al consentimiento de sus titulares, de conformidad con lo que determina la LOPD. Dicho tratamiento, por tanto, ha de contar con el consentimiento de los afectados. V Por otro lado, en este caso concreto, con relación a las cámaras instaladas en el exterior del establecimiento denunciado, hay que señalar que para entender las especialidades derivadas del tratamiento de las imágenes en vía pública, es preciso conocer la regulación que sobre esta materia se contempla en el artículo 1 de la Ley Orgánica 4/1997, de 4 de agosto, por la que se regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad en lugares públicos que establece: “La presente Ley regula la utilización por las Fuerzas y Cuerpos de Seguridad de videocámaras para grabar imágenes y sonidos en lugares públicos abiertos o cerrados, y su posterior tratamiento, a fin de contribuir a asegurar la convivencia ciudadana, la erradicación de la violencia y la utilización pacífica de las vías y espacios públicos, así como de prevenir la comisión de delitos, faltas e infracciones relacionados con la seguridad pública”. Este precepto es preciso ponerlo en relación con lo dispuesto en el artículo 2.3
14. e)de la Ley Orgánica 15/1999, donde se prevé que: “Se regirán por sus disposiciones específicas y por lo especialmente previsto, en su caso, por esta Ley Orgánica los siguientes tratamientos de datos personales:
15. e)Los procedentes de las imágenes y sonidos obtenidos mediante la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad, de conformidad con la legislación sobre la materia”. En virtud de todo lo expuesto, podemos destacar que la instalación de videocámaras en lugares públicos es competencia exclusiva de las Fuerzas y Cuerpos de Seguridad, de ahí que la legitimación para el tratamiento de dichas imágenes se contemple en la Ley Orgánica 4/1997, y además en el mismo texto legal se regulan los criterios para instalar las cámaras y los derechos de los interesados. El Corte Inglés S.A. manifiesta que las cámaras que tiene instaladas se pusieron con finalidad de seguridad. Si bien dicha finalidad es lícita, cabe añadir que en este caso abarcan parte de los espacios públicos en algunas cámaras, excediendo en este caso la habilitación legal de que se podría disponer, y ello con independencia de que se sitúen en un espacio de propiedad privada, sea de su titularidad o de un tercero, el sistema por ella instalada no puede abarcar espacios de tránsito público, Debe tenerse en cuenta que los motivos de seguridad alegados por El Corte C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/21 Inglés S.A. para justificar el tratamiento de imágenes procedentes de la vía pública que contienen datos personales, se encuadran dentro de las funciones de seguridad pública que la Ley Orgánica 2/1986, de 13 de marzo, de Fuerzas y Cuerpos de Seguridad, atribuye como competencia exclusiva del Estado. Así el artículo 1 de dicha Ley Orgánica establece que: “1. La seguridad pública es competencia exclusiva del Estado. Su mantenimiento corresponde al Gobierno de la Nación. Las 2. Comunidades Autónomas participarán en el mantenimiento de la seguridad pública en los términos que establezcan los respectivos Estatutos y en el marco de esta Ley. Las 3. Corporaciones Locales participarán en el mantenimiento de la seguridad pública en los términos establecidos en la Ley reguladora de las Bases de Régimen Local y en el marco de esta Ley. El 4. mantenimiento de la seguridad pública se ejercerá por las distintas Administraciones Públicas a través de las Fuerzas y Cuerpos de Seguridad.” Por su parte el artículo 2 de la reseñada Ley Orgánica 2/1986, de 13 de marzo, dispone que “Son Fuerzas y Cuerpos de Seguridad: Las
16. a)Fuerzas y Cuerpos de Seguridad del Estado dependientes del Gobierno de la Nación. Los
17. b)Cuerpos de Policía dependientes de las Comunidades Autónomas. Los
18. c)Cuerpos de Policía dependientes de las Corporaciones Locales.” Respecto también de la legislación relativa a la seguridad ciudadana hay que valorar que la Ley Orgánica 1/1992, de 21 de febrero, sobre Protección de La Seguridad Ciudadana, establece en su artículo 13 como medidas de seguridad en establecimientos e instalaciones lo siguiente: “1. El Ministerio del Interior podrá ordenar, conforme a lo que se disponga reglamentariamente, la adopción de las medidas de seguridad necesarias en establecimientos e instalaciones industriales, comerciales y de servicios, para prevenir la comisión de los actos delictivos que se puedan cometer contra ellos, cuando generen riesgos directos para terceros o sean especialmente vulnerables. 2. No obstante, las autoridades competentes podrán eximir de la implantación o el mantenimiento de medidas de seguridad obligatorias a los establecimientos, cuando las circunstancias que concurran en el caso concreto las hicieren innecesarias o improcedentes. 3. La apertura de los establecimientos que estén obligados a la adopción de medidas de seguridad, estará condicionada a la comprobación, por las autoridades competentes, de la idoneidad y suficiencia de las mismas. 4. Los titulares de los establecimientos e instalaciones serán responsables de la adopción o instalación de las medidas de seguridad obligatorias, de acuerdo con las normas que respectivamente las regulen, así como de su efectivo funcionamiento y de la consecución de la finalidad protectora y preventiva propia de cada medida, sin perjuicio de la responsabilidad en que al respecto puedan incurrir sus empleados.” Por su parte, el Real Decreto 2364/1994, de 9 de diciembre, por el que se aprueba el Reglamento de Seguridad Privada, en cuanto a medidas de seguridad en general, establece en sus artículos 111.1, y 112.1.
19. c)lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/21 “111.1. De acuerdo con lo dispuesto en el artículo 13 y en la disposición adicional de la Ley Orgánica 1/1992, sobre protección de la seguridad ciudadana, y con la finalidad de prevenir la comisión de actos delictivos, la Secretaría de Estado de Interior, para supuestos supraprovinciales, o los Gobernadores Civiles podrán ordenar que las empresas industriales, comerciales o de servicios adopten las medidas de seguridad que, con carácter general o para supuestos específicos, se establecen en el presente Reglamento”. “112.1. Cuando la naturaleza o importancia de la actividad económica que desarrollan las empresas y entidades privadas, la localización de sus instalaciones, la concentración de sus clientes, el volumen de los fondos o valores que manejen, el valor de los bienes muebles u objetos valiosos que posean, o cualquier otra causa lo hicieran necesario, el Secretario de Estado de Interior para supuestos supraprovinciales, o los Gobernadores Civiles, podrán exigir a la empresa o entidad que adopte, conjunta o separadamente, los servicios o sistemas de seguridad siguientes: “
20. c)Instalación de dispositivos y sistemas de seguridad y protección.” Por lo tanto, el Ministerio del Interior puede ordenar medidas en los establecimientos e instalaciones industriales, comerciales y de servicios para prevenir la comisión de delitos que generen riesgos para terceros o sean especialmente vulnerables, sin embargo no consta en el presente expediente que se hayan ordenado tales medidas en relación con el establecimiento objeto de la presente denuncia. En el presente procedimiento no ha quedado acreditado que el sistema de videovigilancia instalado en el Supermercado Hipercor aquí cuestionado, esté acogido a las disposiciones de la Ley Orgánica 4/1997, de 4 de agosto, que regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad en lugares públicos, por lo que el tratamiento de los datos recogidos en la vía pública carece de habilitación legal. La instalación de cámaras en la vía pública es competencia exclusiva de las Fuerzas y Cuerpos de Seguridad del Estado. En las actuaciones previas de la Inspección de esta Agencia se solicitó información a la entidad imputada quien aportó un informe del sistema instalado en el centro comercial objeto de denuncia, comprobándose que, entre las imágenes captadas por las cámaras, hay dos de las instaladas en el exterior que captan una porción de vía pública que resulta desproporcionada en relación con el fin para el que fueron instaladas. En concreto y a modo de ejemplo, las cámaras fijas exteriores denominadas, en el informe facilitado por la entidad denunciada, como números 47 y 52. En este caso, las cámaras ubicadas en el exterior del Supermercado Hipercor situado en la (C/..........................1) de Barcelona, graban imágenes de los viandantes sin que tengan autorización administrativa al respecto, puesto que como ya se ha establecido “ut supra”, la instalación de cámaras en la vía pública es competencia exclusiva de las Fuerzas y Cuerpos de Seguridad del Estado. VI Por otra parte, la Directiva 95/46/CE en su Considerando 14 afirma: “