1/9 Procedimiento Nº PS/00186/2019 RESOLUCIÓN: R/00311/2019 En el procedimiento sancionador PS/00186/2019, instruido por la Agencia Española de Protección de Datos a la entidad FUNDACIÓN CIDADE DA CULTURA DE GALICIA, vista la denuncia presentada por D. A.A.A. (en lo sucesivo el reclamante), y en base a los siguientes ANTECEDENTES PRIMERO: El 28/01/2019 tiene entrada en la AEPD escrito del reclamante, contra FUNDACIÓN CIDADE DA CULTURA DE GALICIA (en lo sucesivo FUNDACIÓN CIDADE), con NIF G15721640, por los siguientes hechos: que el 05/02/2018 ha tenido comunicación de su empresa OHL, la cual trabaja para FUNDACIÓN CIDADE, manifestando que ha tenido conocimiento de unos hechos que pueden ser constitutivos de incumplimientos laborales; que FUNDACIÓN CIDADE le había cedido imágenes captadas por las cámaras de seguridad cuando solo pueden visualizarse por personal autorizado por el titular del registro de la grabación y para los fines para los que fueron instalados los dispositivos de seguridad, sin que conste que hubiera existido denuncia; que ha recibido pliego de cargos de OHL en el que se le comunica la incoación de un expediente contradictorio por tener conocimiento de unos hechos realizados por el reclamante (sustracción de parte de una obra de arte del museo de la Fundación); que en el escrito se lee que alguien de OHL "...quien se lo comunicó al personal de nuestro cliente, a efectos de solicitar inventario de la obra de arte, así como las imágenes del circuito de seguridad, con el objetivo de aclarar lo sucedido. Una vez revisadas las cámaras de seguridad, se aprecia cómo tanto usted..." SEGUNDO: Tras la recepción de la reclamación, la Subdirección General de Inspección de Datos procedió a realizar las siguientes actuaciones: El 15/02/2019, reiterada el 26/02/2019, fue trasladada a FUNDACION CIDADE la reclamación presentada para su análisis y comunicación al denunciante de la decisión adoptada al respecto. Igualmente, se le requería para que en el plazo de un mes remitiera a la Agencia determinada información. En la misma fecha se le comunicaba al reclamante la recepción de la reclamación y su traslado a la entidad reclamada. El 05/04/2019 la entidad dio respuesta al requerimiento de información remitido por la AEPD, señalando que por razón del tamaño de los archivos no se pudieron presentar por sede electrónica de la Agencia, aportando información sobre el sistema de videovigilancia instalado. Aporta información detallada del sistema establecido siendo acorde con la normativa sobre protección de datos, aunque en el escrito no figura reseña alguna a la cesión de imágenes a la empresa OHL. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 TERCERO: Con fecha 11/06/2019, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento, con arreglo a lo dispuesto en el artículo 45.6 de la LOPD en relación a la reclamación por infracción del artículo 11.1 de la misma norma, tipificada como grave en el artículo 44.3.
- k)de la citada Ley Orgánica. CUARTO: El 07/12/2018 entro en vigor la ley orgánica de protección de datos, la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos y Garantías de los Derechos Digitales (LOPDGDD). A ellas dedica el título VIII, “Procedimiento en caso de posible vulneración de la normativa de protección de datos”, artículos 63 a 69. Distinta de la normativa procesal es la normativa material aplicable a la conducta infractora que origina la apertura del presente procedimiento sancionador. La conducta que es objeto de valoración en el PS/00186/2019 se rige por las normas de protección de datos que se encontraban vigentes en la fecha en la que se realizó el tratamiento ilícito. Razón por la cual la norma sustantiva aplicable es la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal y su reglamento de desarrollo (Reglamento aprobado por el Real Decreto 1720/2007, RLOPD), sin perjuicio de la aplicación, si procediera, del principio de retroactividad de la disposición sancionadora más favorable (artículo 9.3 de la C.E.), circunstancia que no se aprecia en el presente caso. QUINTO: Transcurrido el plazo a efectos de alegaciones, a fecha de la presente resolución FUNDACIÓN CIDADE no ha presentado escrito alguno. HECHOS PROBADOS PRIMERO: El 28/01/2019 tiene entrada en la AEPD escrito del afectado en el que reclama a FUNDACION CIDADE por la cesión de sus datos de carácter personal: las imágenes captadas por el sistema de videovigilancia a la empresa OHL, la cual trabaja para la anterior, teniendo conocimiento de dicho tratamiento como consecuencia de una comunicación realizada por OHL, empresa no autorizada para su visualización y sin que exista una denuncia previa. SEGUNDO: el reclamante ha aportado escrito remitido por OHL el 05/02/2018, en el que da traslado de pliego de cargos por la incoación de expediente contradictorio con el fin de esclarecer unos hechos ocurridos que pudieran ser constitutivos de infracción laboral y en el que se señala “…quien se lo comunicó al personal de nuestro cliente, a efectos de solicitar inventario de la obra de arte, así como las imágenes del circuito de seguridad, con el objetivo de aclarar lo sucedido. Que una vez revisadas las imágenes de las cámaras de seguridad, se aprecia cómo tanto usted como su compañero…” TERCERO: En escrito remitido a FUNDACION CIDADE el 15/02/2019 por los servicios de inspección de este organismo se le requirió para que aportara información detallada del sistema de videovigilancia instalado y de la cesión de las imágenes; en su respuesta omite cualquier referencia a la cesión de imágenes a la empresa OHL. CUARTO: FUNDACION CIDADE no ha acreditado que contaba con el consentimiento del denunciante para la cesión de sus datos de carácter personal a la empresa OHL, ni que la citada cesión estuviera amparada por alguna de las circunstancias señaladas en el artículo 11 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Los hechos objeto de la reclamación quedan sometidos a las disposiciones de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD) y a su Reglamento de desarrollo aprobado por el Real Decreto 1720/2007 (RLOPD) tomando en consideración que los mismos acontecieron con anterioridad al 25 de mayo de 2018, fecha de aplicación del Reglamento 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a la libre circulación de estos datos. III La Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en su artículo 64 “Acuerdo de iniciación en los procedimientos de naturaleza sancionadora”, dispone: “1. El acuerdo de iniciación se comunicará al instructor del procedimiento, con traslado de cuantas actuaciones existan al respecto, y se notificará a los interesados, entendiendo en todo caso por tal al inculpado. Asimismo, la incoación se comunicará al denunciante cuando las normas reguladoras del procedimiento así lo prevean. 2. El acuerdo de iniciación deberá contener al menos:
- a)Identificación de la persona o personas presuntamente responsables.
- b)Los hechos que motivan la incoación del procedimiento, su posible calificación y las sanciones que pudieran corresponder, sin perjuicio de lo que resulte de la instrucción.
- c)Identificación del instructor y, en su caso, Secretario del procedimiento, con expresa indicación del régimen de recusación de los mismos.
- d)Órgano competente para la resolución del procedimiento y norma que le atribuya tal competencia, indicando la posibilidad de que el presunto responsable pueda reconocer voluntariamente su responsabilidad, con los efectos previstos en el artículo 85.
- e)Medidas de carácter provisional que se hayan acordado por el órgano competente para iniciar el procedimiento sancionador, sin perjuicio de las que se puedan adoptar durante el mismo de conformidad con el artículo 56.
- f)Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y de los plazos para su ejercicio, así como indicación de que, en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 3. Excepcionalmente, cuando en el momento de dictar el acuerdo de iniciación no existan elementos suficientes para la calificación inicial de los hechos que motivan la incoación del procedimiento, la citada calificación podrá realizarse en una fase posterior mediante la elaboración de un Pliego de cargos, que deberá ser notificado a los interesados”. En aplicación del anterior precepto y teniendo en cuenta que no se han formulado alegaciones al acuerdo de inicio, procede resolver el procedimiento iniciado. IV El artículo 11 de la LOPD, que regula el principio de cesión de los datos de carácter personal, establece que: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado”. 2. El consentimiento exigido en el apartado anterior no será preciso:
- a)Cuando la cesión está autorizada en una Ley.
- b)Cuando se trate de datos recogidos de fuentes accesibles al público.
- c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique.
- d)Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas.
- e)Cuando la cesión se produzca entre Administraciones Públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos.
- f)Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar. 3. El consentimiento para la comunicación de los datos de carácter personal tiene también un carácter de revocable. 4. Aquél a quien se comuniquen los datos de carácter personal se obliga, por el solo hecho de la comunicación, a la observancia de las disposiciones de la presente Ley. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 5. Si la comunicación se efectúa previo procedimiento de disociación, no será aplicable lo establecido en los apartados anteriores." A los efectos de lo dispuesto en el precepto transcrito, la LOPD señala en su artículo 3.
- c)e
- i)lo siguiente: “
- c)Tratamiento de datos: operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. “
- i)Cesión o comunicación de datos: toda revelación de datos realizada a una persona distinta del interesado”. Así pues, el artículo 11.1 de la LOPD exige el consentimiento del afectado, o bien, la existencia de alguna de las circunstancias previstas en el artículo 11.2 para que la cesión de datos de carácter personal quede habilitada. FUNDACION CIDADE no ha acreditado ni justificado que dispusiera el consentimiento del afectado para poder ceder y comunicar los datos de carácter personal del afectado a la entidad OHL, materializado en la cesión de las imágenes captadas por las cámaras de seguridad vulnerando la normativa en materia de protección de datos. Los hechos expuestos llevan a concluir que FUNDACION CIDADE facilitó a un tercero, OHL, datos personales del afectado sin el consentimiento del mismo y sin ajustarse a la normativa vigente, al ceder las imágenes captadas por el sistema de seguridad instalado por el reclamado, sin que el tercero estuviera autorizado para ello, siendo utilizadas por la citada empresa en su beneficio, como se desprende del escrito recibido por el reclamante el 05/02/2018, trasladándole pliego de cargos como consecuencia de la incoación de expediente contradictorio con el fin de esclarecer unos hechos ocurridos que pudieran ser constitutivos de infracción laboral y la depuración de responsabilidades pertinentes y en el que se señala “…quien se lo comunicó al personal de nuestro cliente, a efectos de solicitar inventario de la obra de arte, así como las imágenes del circuito de seguridad, con el objetivo de aclarar lo sucedido. Que una vez revisadas las imágenes de las cámaras de seguridad, se aprecia cómo tanto usted como su compañero…” Además, el presente supuesto no se ajusta a ninguna de las circunstancias establecidas en el apartado 2 del citado artículo 11 de la LOPD, en las cuales no se requiere el consentimiento del afectado para la comunicación de los datos a un tercero. IV De acuerdo con las previsiones de la LOPD, el artículo 44.3.
- k)tipifica como infracción grave “La comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave”. A tenor del artículo 45.2 de la LOPD las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 En el presente caso, la infracción imputada a FUNDACION CIDADE resulta de la cesión de datos de carácter personal sin consentimiento del afectado a la entidad OHL, que además fueron utilizados por ésta para la incoación de un expediente contra el afectado. La conducta del reclamado ha incurrido en la infracción descrita ya que ha vulnerado el principio de cesión, consagrado en el artículo 11.1 de la LOPD, al ceder los datos de carácter personal del afectado y que encuentran su tipificación en los artículos 44.3.k de la citada Ley Orgánica. V El apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
- a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
- b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. A este respecto, procede considerar lo establecido en el artículo 45.4 y 5 de la LOPD: “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
- a)y
- b)del citado artículo 45.6 de la LOPD. Junto a ello se constata una cualificada disminución de la culpabilidad del reclamado por la concurrencia de varios criterios de los enunciados en el artículo 45.4 de la LOPD, concretamente, que la citada entidad no tiene como actividad principal el tratamiento de datos de carácter personal, el volumen de tratamientos al que afectan los hechos estudiados se limita a los datos personales del reclamante, lo que justifica la aplicación del procedimiento establecido en el artículo 45.6 de la citada norma. No obstante, es obligado hacer mención a la Sentencia de la Audiencia Nacional de 29/11/2013, (Rec. 455/2011), Fundamento de Derecho Sexto, que sobre el apercibimiento regulado en el artículo 45.6 de la LOPD y a propósito de su naturaleza jurídica advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella y cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando no se requieran medidas correctoras, lo procedente en Derecho es acordar el archivo de las actuaciones. No obstante, se advierte al reclamado que la reiteración de este tipo de conductas o no garantizar un nivel adecuado de seguridad que pueda comprometer la confidencialidad, integridad y disponibilidad de los datos de carácter personal, podría C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 acordarse la realización de la oportuna investigación sobre los tratamientos de datos personales y los procesos de gestión que se aplican en materia de protección de datos de carácter personal, así como las posibles actuaciones que procedieran incluidas las sancionadoras. En este caso concreto, atendida la naturaleza de la infracción debe procederse en consecuencia a resolver el archivo de las actuaciones, sin practicar requerimiento alguno al reclamado, en aplicación de la interpretación del artículo 45.6 de la LOPD. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. ARCHIVAR las actuaciones practicadas a la entidad FUNDACIÓN CIDADE DA CULTURA DE GALICIA, con NIF G15721640, con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 11.1 de la LOPD. 2. NOTIFICAR a la entidad FUNDACIÓN CIDADE DA CULTURA DE GALICIA, con NIF G15721640. De conformidad con lo establecido en el artículo 50 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso- C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es