← España

PS-00157-2020

1/13  Procedimiento Nº: PS/00157/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: La entidad COMUNIDAD DE PROPIETARIOS ***COMUNIDAD.1 (*en adelante, el reclamante) con fecha 21 de enero de 2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra CITRICOS Y FRUTALES DEL SURESTE, S.L. con CIF B23719743 (en adelante, el reclamado) por la instalación de un sistema de videovigilancia en calle ***DIRECCIÓN.1, ***LOCALIDAD.1. Los motivos en que basa la reclamación son los siguientes: “[…]II. La empresa Cítricos y Frutales del Sureste ha instalado un conjunto de cámaras de videovigilancia en las zonas comunes del recinto, sin que la instalación de las mismas fuera aprobada por acuerdo de la Junta de Propietarios. Y es que no solo no se ha aprobado en Junta, sino que la propuesta de instalación de las cámaras no ha sido punto del orden del día de ninguna de las Juntas. Por lo tanto, la Comunidad de Propietarios Edificio Poseidón, es totalmente ajena a la instalación que de las cámaras de videovigilancia se ha hecho en el recinto. III. La instalación de las cámaras sin el consentimiento expreso de los propietarios que forman la Junta del edificio ha vulnerado tanto la Ley de Propiedad Horizontal, que establece en su artículo 17 que debe ser la Junta de Propietarios por mayoría cualificada la que tome decisiones en cuanto a vigilancia del tipo que sean, también en la instalación de cámaras, como la Ley Orgánica de Protección de Datos de Carácter Personal, cuyo artículo 6.1 determina que los vecinos, en tanto que afectados, deben otorgar su consentimiento inequívoco para el tratamiento de sus datos personales. IV. Las cámaras de videovigilancia se encuentran en las zonas comunes del edificio, grabando los pasillos y las puertas de entrada a las habitaciones, así como en la zona de la piscina comunitaria y en la entrada del mismo. V. No existen carteles que informen del acceso a una zona videovigilada, lo que excluye a su vez, todo tipo de información sobre la identidad del responsable de la instalación, así como dónde dirigirse para ejercer los derechos que prevé la normativa de la protección de datos. VI. Dado que en el edificio existen trabajadores, es posible que a su vez se estén utilizando las cámaras para controlar a los operarios que laboran en la recepción, al personal de limpieza, al conserje/s, y a los camareros del chiringuito que existe en la zona de la piscina, entre otros, sin que se cumpla con lo exigido sobre cámaras para el control empresarial, dada la evidente ausencia de carteles informativos en las zonas vigiladas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/13 VI. Dada la disposición de las cámaras, es posible que se estén captando imágenes, tanto de la vía pública, como del edificio colindante. […]”. Adjunta fotografías de cámaras colocadas en zonas exteriores comunitarias. SEGUNDO: Con carácter previo a la admisión a trámite de esta reclamación, La Subdirección General de Inspección de Datos envió al reclamado una solicitud de información el día 19 de febrero de 2020. El reclamado presentó escrito de contestación manifestando de manea sucinta lo siguiente: “[…] Que CITRICOS Y FRUTALES DEL SURESTE, S.L. lleva a cabo la prestación de servicios de alojamientos turísticos en apartamentos, centrando dicha actividad en el denominado APARTAMENTOS ***APARTAMENTOS.1, que se corresponden con la dirección indicada. Que dicho edificio de apartamentos cuenta con zonas comunes con piscina, bar, zonas de juegos, terraza, comedor, etc. Como cualquier complejo de apartamentos. Que, visto que el inmueble puede ser accesible desde el exterior, y que cualquier persona extraña al inmueble y a la empresa podría acceder a las zonas comunes y que en dichas zonas existen elementos que podrían ser de interés para los amigos de lo ajeno, se decidió contratar un servicio de vigilancia con una empresa de reconocido prestigio. Que dicho servicio de vigilancia se encuentra debidamente instalado y advertido al público en general y a los usuarios y trabajadores del establecimiento. Que es la entidad ***ENTIDAD.1 la encargada de llevar a cabo la actividad de vigilancia contratada, lo cual ejecuta con sus propios equipos especializados, en las 2 ubicaciones elegidas por su personal técnico, según considere más idóneo para la prestación del servicio contratado. Que es el personal de ***ENTIDAD.1 el que tiene acceso a las imágenes tomadas como consecuencia de la ejecución del servicio de videovigilancia contratado. Que, en cuanto al tiempo y lugar de mantenimiento de las grabaciones, es ***ENTIDAD.1 la única encargada y responsable de dichos aspectos. Que los trabajadores de la entidad están debidamente informados de la contratación de un servicio de videovigilancia de zonas comunes, y de la instalación de cámaras, pues nunca se ha ocultado y todo está debidamente advertido. Que, en prueba de todo ello, se aportan fotografías de carteles anunciadores de la existencia de cámaras. […]” Adjunta los siguientes documentos: 1. C/ Jorge Juan, 6 28001 – Madrid Cartel de la empresa ***ENTIDAD.1 relativo a señalización de alarma www.aepd.es sedeagpd.gob.es 3/13 1. Cartel informativo de videovigilancia con referencia a la Ley 15/1999 y mencionando que el ejercicio de derechos se puede realizar en securitasdiret.es [Sic.] TERCERO: La Directora de la Agencia Española de Protección acordó admitir a trámite la reclamación el día 1 de junio de 2020. CUARTO: El día 13 de octubre de 2020 se recibe escrito del reclamado aportando información tipo que ofrece ***ENTIDAD.1 acerca de diferentes modelos de cámaras y almacenamiento en la nube de información en función de cada tipo de modelo. Adjunta los siguientes documentos: 1. Un certificado emitido por Logalty acerca de la existencia de un contrato firmado entre ***ENTIDAD.1 y A.A.A. (administradora de la entidad reclamada). No se aporta el contenido del contrato. 1. Fotografías dos cámaras instaladas, así como de elementos de control de estas. No se aporta referencia de ubicación. En el escrito hace referencia a la aportación de otros documentos que, sin embargo, no han sido remitidos: 1. Comunicación a los trabajadores. 1. Fotografías de carteles informativos QUINTO: Con fecha 3 de noviembre de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción de los artículos 5.1.

  1. c)y 13 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), tipificadas en el artículo 83.5 de la citada norma. SEXTO: La notificación electrónica del acuerdo de inicio fue puesta a disposición del reclamado el 4 de noviembre de 2020 a través del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada sin que aquel accediera a su contenido en el plazo de 10 días naturales. De acuerdo con lo dispuesto en el artículo 43.2 de la LPACAP, la mencionada notificación debe entenderse rechazada. SÉPTIMO: En fecha 24/04/20 se reciben alegaciones de la reclamada manifestando lo siguiente: “Que CITRICOS Y FRUTALES DEL SURESTE, S.L. lleva a cabo la prestación de servicios de alojamientos turísticos en apartamentos, centrando dicha actividad en el denominado APARTAMENTOS ***APARTAMENTOS.1, que se corresponden con la dirección indicada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/13 Que es la entidad ***ENTIDAD.1 la encargada de llevar a cabo la actividad de vigilancia contratada, lo cual ejecuta con sus propios equipos especializados, en las 2 ubicaciones elegidas por su personal técnico, según considere más idóneo para la prestación del servicio contratado. Que los trabajadores de la entidad están debidamente informados de la contratación de un servicio de videovigilancia de zonas comunes, y de la instalación de cámaras, pues nunca se ha ocultado y todo está debidamente advertido. Que, en prueba de todo ello, se aportan fotografías de carteles anunciadores de la existencia de cámaras”. OCTAVO: En fecha 13/10/20 se recibe nuevo escrito de alegaciones de la entidadCITRICOS Y FRUTALES DEL SURESTE, S.L—manifestando lo siguiente: “En caso de que el CLIENTE adquiera una de las cámaras (en adelante, sistema de videovigilancia o cámara) que se describen en el presente CONTRATO, serán de aplicación las condiciones que se describen en la presente cláusula. Que, en prueba de todo ello, se aporta la siguiente documentación: *Fotografías de carteles anunciadores de la existencia de cámaras. *Fotografías de las cámaras y de los sistemas instalados y de su situación. *Copia de documento de comunicación a los trabajadores. *Contrato con Securitas Direct. NOVENO: En fecha 04/01/21 se solicita en fase de pruebas requerimiento de información a la compañía de seguridad ***ENTIDAD.1. DÉCIMO: En fecha 15/01/21 se recibe contestación de la compañía de seguridad ***ENTIDAD.1. “En relación con esta primera solicitud, esta parte quiere poner de manifiesto en primer lugar que ***ENTIDAD.1 es una empresa que presta servicios de instalación y mantenimiento de sistemas de seguridad, así como la explotación de centrales de alarma que se encuentra sometida a la normativa de seguridad privada. Por lo tanto, y en el caso de que en la localización indicada por la Agencia en su requerimiento se hubiera instalado un sistema de videovigilancia 24x7 con circuito cerrado de televisión (CCTV), para el control del acceso al edificio, mi representada no presta esa tipología de servicio de videovigilancia. Al margen de ese escenario, las imágenes o, en su caso videos que se recaben a través de los dispositivos, cuando se ha contratado una alarma con captación de imagen o vídeo y esta no se encuentra conectada a la central receptora de alarmas, son gestionados única y exclusivamente por el cliente”. UNDECIMO: En fecha 26/01/21 se le informa a la Compañía de seguridad ***ENTIDAD.1 del lugar de emplazamiento de las cámaras de video-vigilancia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/13 DUODÉCIMO: En fecha 29/01/21 se recibe escrito de alegaciones de la Compañía ***ENTIDAD.1. “Una vez analizadas las instalaciones ubicada en la Calle ***DIRECCIÓN.1, aunque ninguna es titularidad del establecimiento Apartamentos ***APARTAMENTOS.1, sí hemos localizado que, en el apartamento 17A de la mencionada calle, y dentro de la urbanización indicada, hemos identificado una instalación, activa desde el 1 de septiembre de 2020 a nombre de Don “B.B.B.”. En dicha vivienda sólo hay instalados dispositivos de interior, en concreto dos “fotodetectores”, que toman únicamente fotos en caso de intrusión en la vivienda si la alarma está conectada, y un dispositivo magnético, que detecta únicamente apertura de puertas y ventanas (no toma fotos, ni video) cuando la alarma está conectada. Por lo tanto, en esa instalación, ***ENTIDAD.1 no ha instalado cámara de video alguna, reiterando que los dispositivos que toman fotografías y que forman parte de la instalación están ubicados dentro de la vivienda. Como ya se indicó en el escrito anterior, una vez realizada la instalación del sistema de seguridad en el domicilio del cliente, la gestión del mismo corresponde al cliente, salvo en el momento en el que el cliente conecta la alarma, en cuyo caso, ésta queda conectada a nuestra central receptora de alarmas de tal forma que si ocurre una intrusión en el domicilio del cliente nos llega una señal, así como las imágenes asociadas a la misma, para realizar la verificación correspondiente y, en el caso que de que se confirme una intrusión, ponerlo en conocimiento tanto del cliente, como de las fuerzas y cuerpos de seguridad del estado”. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS Primero. Los hechos traen causa de la reclamación de fecha 21/01/20 por medio de la cual se denuncia la instalación de un sistema de cámaras de video-vigilancia sin contar con la autorización de la Junta de propietarios “afectando a zonas comunes” y contando con una insuficiente información al respecto. Segundo. Consta acreditado como principal responsable la entidad Cítricos y Frutales del Sureste, la cual no niega haber instalado el sistema, si bien no cuenta con la autorización de la Junta de propietarios. Tercero. Que el sistema ha sido instalado por la empresa de seguridad ***ENTIDAD.1 siendo los mismos los que tienen acceso a las imágenes captadas por el sistema. Aporta un cartel indicando que el responsable de la instalación es ***ENTIDAD.1 (fotografía Anexo I), así como otro con referencia a la derogada LOPD, indicando el ejercicio del derecho ante ***ENTIDAD.1 (Doc. nº 2 Anexo I Escrito fecha 24/04/20). Cuarto. La empresa ***ENTIDAD.1 en relación a las cámaras instaladas manifiesta lo siguiente en escrito de fecha 15/01/21 “Al margen de ese escenario, las imágenes o, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/13 en su caso videos que se recaben a través de los dispositivos, cuando se ha contratado una alarma con captación de imagen o vídeo y esta no se encuentra conectada a la central receptora de alarmas, son gestionados única y exclusivamente por el cliente”. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD) reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales. Por su parte, el artículo 5.1.
  2. c)del RGPD, relativo a los principios del tratamiento, dispone que los datos personales serán “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados (“minimización de datos”).” Este artículo consagra el principio de minimización de datos en el tratamiento de los datos personales. Supone que dicho tratamiento sea ajustado y proporcional a la finalidad a la que se dirige, debiendo restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. La pertinencia en el tratamiento de los datos debe producirse tanto en el ámbito de la recogida de los datos como en el posterior tratamiento que se realice de los mismos. Por otra parte, conforme a lo establecido en el artículo 22 de la LOPDGDD, referido específicamente a los “Tratamientos con fines de videovigilancia”, el tratamiento de imágenes en lugares públicos sólo puede ser realizado -en su caso y previo el cumplimiento de los requisitos legalmente exigibles-, por las Fuerzas y Cuerpos de Seguridad, a menos que opere la excepción establecida en el citado artículo 22 de la LOPDGDD para las personas físicas o jurídicas, públicas o privadas, respetando las condiciones exigidas en dicho artículo. En algunas ocasiones la protección de los espacios privados sólo es posible si las cámaras se ubican en espacios como las fachadas. A veces también resulta necesario captar los accesos, puertas o entradas, de modo que, aunque la cámara se encuentre en el interior del edificio, resulta imposible no registrar una parte mínima e imprescindible de la vía pública, que inevitablemente se capta. Para que esta excepción sobre la protección de espacios privados resulte aplicable, no deberá existir una posibilidad de instalación alternativa. En estos casos, el responsable C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/13 del tratamiento realizado a través de cámaras adecuará el uso de la instalación, de modo que el impacto en los derechos de terceros (viandantes) sea el mínimo posible. En ningún caso se admitirá el uso de prácticas de vigilancia más allá del entorno objeto de la instalación, no pudiendo afectar a los espacios públicos circundantes, edificios contiguos y vehículos distintos de los que accedan al espacio vigilado III De conformidad con lo expuesto, el tratamiento de imágenes a través de un sistema de videovigilancia, para ser conforme con la normativa vigente, debe cumplir los requisitos siguientes: - Respetar el principio de proporcionalidad. - Cuando el sistema esté conectado a una central de alarma, únicamente podrá ser instalado por una empresa de seguridad privada que reúna los requisitos contemplados en el artículo 5 de la Ley 5/2014 de Seguridad Privada, de 4 de abril. - El acceso a las imágenes de las cámaras por cuenta de terceros distintos del responsable del tratamiento deberá estar regulado por la existencia de un contrato. - Las videocámaras no podrán captar imágenes de las personas que se encuentren fuera del espacio privado en donde esté instalado el sistema de videovigilancia, ya que el tratamiento de imágenes en lugares públicos sólo puede ser realizado, salvo que concurra autorización gubernativa, por las Fuerzas y Cuerpos de Seguridad. Tampoco pueden captarse ni grabarse espacios propiedad de terceros sin el consentimiento de sus titulares, o, en su caso, de las personas que en ellos se encuentren. Esta regla admite alguna excepción ya que, en algunas ocasiones, para la protección de espacios privados, donde se hayan instalado cámaras en fachadas o en el interior, puede ser necesario para garantizar la finalidad de seguridad la grabación de una porción de la vía pública. Es decir, las cámaras y videocámaras instaladas con fines de seguridad no podrán obtener imágenes de la vía pública salvo que resulte imprescindible para dicho fin, o resulte imposible evitarlo por razón de la ubicación de aquéllas y extraordinariamente también se recogerá el espacio mínimo para dicha finalidad. Por lo tanto, las cámaras podrían excepcionalmente captar la porción mínimamente necesaria para la finalidad de seguridad que se pretende. - Se deberá cumplir el deber de informar a los afectados previsto en los artículos 12 y 13 del RGPD En concreto, de acuerdo con el artículo 22.4 de la LOPDGDD, se deberá colocar en las zonas videovigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados, en el que se identificará, al menos, la existencia de un tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en dichos preceptos. Asimismo, deberá mantenerse a disposición de los afectados la información a la que se refiere el citado RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/13 - El responsable deberá llevar un registro de actividades de los tratamientos efectuados bajo su responsabilidad en el que se incluya la información a la que hace referencia el artículo 30.1 del RGPD. - Las cámaras instaladas no pueden obtener imágenes de espacio privativo de tercero y/o espacio público sin causa justificada debidamente acreditada, ni pueden afectar a la intimidad de transeúntes que transiten libremente por la zona. No está permitida, por tanto, la colocación de cámaras hacia la propiedad privada de vecinos con la finalidad de intimidarlos o afectar a su ámbito privado sin causa justificada. - En ningún caso se admitirá el uso de prácticas de vigilancia más allá del entorno objeto de la instalación y en particular, no pudiendo afectar a los espacios públicos circundantes, edificios contiguos y vehículos distintos de los que accedan al espacio vigilado. En relación con lo expuesto, para facilitar la consulta a los interesados la Agencia Española de Protección de Datos ofrece a través de su página web [https://www.aepd.es] acceso a la legislación en materia de protección de datos personales, incluyendo el RGPD y la LOPDGDD (apartado “Informes y resoluciones” / “normativa”), así como a la Guía sobre el uso de videocámaras para seguridad y otras finalidades, así como la Guía para el cumplimiento del deber de informar (ambas disponibles en el apartado “Guías y herramientas”). También resulta de interés, en caso de realizar tratamientos de datos de bajo riesgo, la herramienta gratuita Facilita (en el apartado “Guías y herramientas”), que, mediante unas preguntas concretas, permite valorar la situación del responsable respecto del tratamiento de datos personales que lleva a cabo, y en su caso, generar diversos documentos, cláusulas informativas y contractuales, así como un anexo con medidas de seguridad orientativas consideradas mínimas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/13 IV La reclamación se basa en la presunta ilicitud de la instalación, por parte del reclamado, de un sistema de videovigilancia compuesto por varias cámaras ubicadas en las zonas comunes del edificio situado en calle ***DIRECCIÓN.1 (***LOCALIDAD.1). Como prueba de estas manifestaciones, el reclamante aportó las fotografías a las que se ha hecho referencia en el hecho primero de este acuerdo. Así, en las imágenes aportadas se observa la existencia de varias cámaras situadas en los elementos comunes del edificio que estarían orientadas hacia zonas comunes del inmueble pudiendo llegar incluso a captar imágenes de edificios vecinos. A este respecto, las fotografías aportadas por el reclamado en las contestaciones a las solicitudes de información no aportan información sobre el campo de visión de las cámaras colocadas. Por otra parte, la fotografía del cartel informativo que se aporta en la primera contestación remitida por el reclamado pone de manifiesto que aquel no se encuentra adaptado al RGPD en la forma dispuesta en el artículo 22.4 de la LOPDGDD. En lo que se refiere a la responsabilidad del tratamiento, se considera que, de acuerdo con el artículo 4.7 del RGPD, que define como responsable a quien determine los fines y medios del tratamiento, el reclamado es quien ostenta dicha condición, ya que, como titular del sistema de videovigilancia es quien adopta las decisiones acerca de la instalación del sistema de videovigilancia, sin que haya acreditado una delegación en otras personas, físicas o jurídicas, en la determinación de los fines y medios. V Los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, se establecen en el artículo 58.2 del RGPD. Entre ellos se encuentran la potestad de dirigir un apercibimiento -artículo 58.2 b)-, la potestad de imponer una multa administrativa con arreglo al artículo 83 del RGPD -artículo 58.2 i)-, o la potestad de ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un plazo especificado -artículo 58. 2 d)-. Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en el artículo 58.2
  3. d)del citado Reglamento es compatible con la sanción consistente en multa administrativa. VI De conformidad con las pruebas de las que se dispone en el presente procedimiento sancionador, se considera que los hechos expuestos incumplen lo establecido en los artículos 5.1.
  4. c)y 13 del RGPD, por lo que nos encontramos ante la comisión de sendas infracciones tipificadas en el artículo 83.5 del RGPD, que dispone lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/13 “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  5. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
  6. a)los derechos de los interesados a tenor de los artículos 12 a 22; […]”. A efectos del plazo de prescripción de las infracciones, el artículo 72.1 de la LOPDGDD, que establece que: “En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  7. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. […] Por otra parte, el artículo 74 del RGPD dispone que: “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes: […]
  8. a)El incumplimiento del principio de transparencia de la información o del derecho de información del afectado por no facilitar toda la información exigida por los artículos 13 y 14 del Reglamento (UE) 2016/679. […]”. La reclamada dispone de un sistema de cámaras de video-vigilancia que ha instalado en zonas comunes sin contar con el consentimiento preceptivo de la Comunidad de propietarios, realizando un tratamiento innecesario de datos de otros propietarios que no han otorgado su consentimiento al respecto, al margen de que las pruebas aportadas se consideran insuficientes para acreditar la inocencia de la misma. Las zonas captadas por el sistema denunciado permiten el “tratamiento de datos” de los vecinos (
  9. as)del inmueble que se ven intimidados por el sistema al ser excesiva la captación de imágenes, al margen de consideraciones que pudieran estar incardinadas en la LPH (vgr. 17.3 LPH). A mayor abundamiento, el ángulo de orientación de las cámaras permite constatar una captación excesiva hacia zonas ajenas a la propia Comunidad, como sería la zona de parking sita en la entrada, por lo que se infiere que el sistema excede de las función principal que a lo sumo se limitaría al control de acceso al establecimiento que regenta, limitándose por tanto a los potenciales clientes (
  10. as)del mismo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/13 Asimismo, el cartel informativo hace mención a una normativa actualmente derogada, como es la LOPD, mencionando solo formalmente a la compañía ***ENTIDAD.1como responsable del tratamiento, si bien está no es la principal responsable del destino o finalidad de las imágenes tratadas, sino una mera instaladora del sistema en cuestión. VII En el presente caso, se considera que la sanción que corresponde imponer es la de multa administrativa. A este respecto, la multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Por tanto, procede graduar la sanción a imponer de acuerdo con los criterios que establece el artículo 83.2 del RGPD, y con lo dispuesto en el artículo 76 de la LOPDGDD, respecto al apartado
  11. k)del citado artículo 83.2 RGPD: En la valoración inicial se ha tenido en cuenta la siguiente circunstancia agravante: -la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido; (art. 83.2
  12. a)RGPD). -La intencionalidad o negligencia en la infracción (artículo 83.2.
  13. b)del RGPD). Las cámaras instaladas afectan a zona de transito de vecinos (
  14. as)del inmueble que se ven afectados en sus datos personales, siendo al margen de otras consideraciones un tratamiento desproporcionado al no limitarse a la zona de uso del establecimiento hostelero gestionado, siendo por tanto controlados en sus quehaceres diarios con fines ajenos a la seguridad. Asimismo, se ha tenido en cuenta la siguiente circunstancia atenuante:  Se trata de una pequeña empresa cuya actividad principal no está vinculada con la realización de tratamientos de datos personales (artículo 76.2.
  15. b)de la LOPDGDD). En base a lo anterior, y teniendo en cuenta que el importe neto de la cifra de negocios que consta en las últimas cuentas anuales presentadas correspondientes a 2017 fue de 939.522,22 €, se considera proporcional fijar la sanción a imponer en la cuantía de DOS MIL EUROS (2.000 €) por la infracción del artículo 5.1.
  16. c)del RGPD y MIL EUROS (1.000 €) por la infracción del artículo 13 del RGPD, resultando un total de TRES MIL EUROS (3.000 €). Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a CITRICOS Y FRUTALES DEL SURESTE, S.L., con CIF B23719743, por una infracción del Artículo 5.1.
  17. c)del RGPD tipificada en el Artículo 83.5 del RGPD, una multa de 2.000€ (Dos Mil euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/13 SEGUNDO: IMPONER a CITRICOS Y FRUTALES DEL SURESTE, S.L., con CIF B23719743, por una infracción del artículo 13 del RGPD tipificada en el Artículo 83.5 del RGPD, una multa de 1.000€ (Mil euros). TERCERO: ORDENAR a la entidad CITRICOS Y FRUTALES DEL SURESTE, S.L., de conformidad con el artículo 58.2 RGPD, para que en el plazo de 1 mes desde la notificación del presente acto proceda a:  Aporte las imágenes que se observen con el dispositivo en cuestión, indicando en un plano de situación las partes que se corresponden con su propiedad particular.  Acredite que mantiene a disposición de los afectados la información a la que se refiere el citado RGPD.  Acredite que cuenta con autorización de la junta de la comunidad de propietarios para la instalación de dispositivos de videovigilancia con orientación hacia el exterior del espacio privativo.  Acredite, si existe acceso a las imágenes por cuenta de terceros distintos del responsable del tratamiento, el contenido del contrato que en el que se establezca el objeto, la duración, la naturaleza y finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. El contenido del contrato deberá adecuarse a lo dispuesto en el artículo 28.3 del RGPD. CUARTO: NOTIFICAR la presente resolución a la entidad CITRICOS Y FRUTALES DEL SURESTE, S.L. e INFORMAR del resultado de las actuaciones a la reclamante COMUNIDAD DE PROPIETARIOS ***COMUNIDAD.1. QUINTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  18. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/13 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  19. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-131120 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.