1/12 Procedimiento Nº PS/00190/2013 RESOLUCIÓN: R/02332/2013 En el procedimiento sancionador PS/00190/2013, instruido por la Agencia Española de Protección de Datos a la entidad SEGUR IBERICA S.A., vista la denuncia presentada por SINDICATO AUTONOMO DE TRABAJADORES DE EMPRESAS DE SEGURIDAD (ATES) EN SEGUR IBERICA y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 3 de mayo de 2012 tiene entrada en esta Agencia escrito del Delegado del Sindicato Autónomo de Trabajadores de Empresas de Seguridad en la empresa Segur Iberica (en adelante el denunciante) comunicando posible infracción a la ley de protección de datos, motivada por cámaras de videovigilancia cuyo titular es el Centro Comercial SPLAU, sito en Cornellá (Barcelona) la cual tiene contratado el servicio de seguridad con la empresa Segur Iberica S.A. (en adelante el denunciado). El denunciante manifiesta que la empresa denunciada ha utilizado las imágenes grabadas por el sistema de video vigilancia del Centro Comercial para sancionar a un trabajador. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad denunciada, teniendo conocimiento de que:
(14)Considerando que, habida cuenta de la importancia que, en el marco de la sociedad de la información, reviste el actual desarrollo de las técnicas para captar, transmitir, manejar, registrar, conservar o comunicar los datos relativos a las personas físicas constituidos por sonido e imagen, la presente Directiva habrá de aplicarse a los tratamientos que afectan a dichos datos;”. Por su parte, la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras (en lo sucesivo Instrucción 1/2006), en sus artículos 1.1 y 2 señala lo siguiente: “Artículo 1.1. La presente Instrucción se aplica al tratamiento de datos personales de imágenes de personas físicas identificadas o identificables, con fines de vigilancia a través de sistemas de cámaras y videocámaras. El tratamiento objeto de esta Instrucción comprende la grabación, captación, transmisión, conservación, y almacenamiento de imágenes, incluida su reproducción o emisión en tiempo real, así como el tratamiento que resulte de los datos personales relacionados con aquéllas. Se considerará identificable una persona cuando su identidad pueda determinarse mediante los tratamientos a los que se refiere la presente instrucción, sin que ello requiera plazos o actividades desproporcionados. Las referencias contenidas en esta Instrucción a videocámaras y cámaras se entenderán hechas también a cualquier medio técnico análogo y, en general, a cualquier sistema que permita los tratamientos previstos en la misma.” “Artículo 2. 1. Sólo será posible el tratamiento de los datos objeto de la presente instrucción, cuando se encuentre amparado por lo dispuesto en el artículo 6.1 y 2 y el artículo 11.1 y 2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. 2. Sin perjuicio de lo establecido en el apartado anterior la instalación de cámaras y videocámaras deberá respetar en todo caso los requisitos exigidos por la legislación vigente en la materia.” De acuerdo con los preceptos transcritos, la cámara reproduce la imagen de los afectados por este tipo de tratamientos y, a efectos de la LOPD, la imagen de una persona constituye un dato de carácter personal, toda vez que la información que capta concierne a personas y suministra información sobre la imagen personal de éstas, el lugar de su captación y la actividad desarrollada por el individuo al que la imagen se refiere. III El artículo 5.1 de la LOPD establece que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante”. En cuanto al modo en que haya de facilitarse dicha información, debe tenerse en cuenta el artículo 3 de la Instrucción 1/2006 que establece que “Los responsables que cuenten con sistemas de videovigilancia deberán cumplir con el deber de información previsto en el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre. A tal fin deberán:
- a)Colocar, en las zonas videovigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados y
- b)Tener a disposición de los/las interesados/as impresos en los que se detalle la información prevista en el artículo 5.1 de la Ley Orgánica 15/1999. El contenido y el diseño del distintivo informativo se ajustará a lo previsto en el Anexo de esta Instrucción”. En el Anexo de dicha Instrucción en el punto 2 se establece: “El modelo a que se refiere el apartado anterior, está disponible en la página web de la Agencia Española de Protección de datos, www.agpd.es de donde podrá ser descargado, especificando los datos del responsable.” Dicho modelo se encuentra actualmente en la URL https://www.agpd.es/portalwebAGPD/canalresponsable/videovigilancia/common/CLAUS ULA_INFORMATIVA.pdf. <<- Descarga de Modelos: Descarga del Modelo a que se refiere el apartado 1 del anexo de la Instrucción 1/2006 de 8 de noviembre. >> Con relación al formulario informativo requerido en el artículo 3.b de la Instrucción 1/2006, dicho formulario se encuentra a disposición del titular del fichero en la página web de la Agencia Española de Protección de Datos en la dirección: https://www.agpd.es/portalwebAGPD/canalresponsable/videovigilancia/common/CLAUS ULA_INFORMATIVA.pdf C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 Por lo tanto, ha de entenderse que la existencia de una conexión con Internet permitirá siempre el acceso a dicho modelo y el mismo podrá ser facilitado por el titular del fichero a los afectados. IV La LOPD en su artículo 3, apartados
- d)y
- g)define la figura del responsable y del encargado del tratamiento, en el siguiente sentido: “
- d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” “
- g)Encargado del tratamiento: la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.” V En el caso que nos ocupa, el establecimiento (Centro Comercial SPLAU) donde presta sus servicios el trabajador sancionado de la entidad denunciada, tiene un sistema de vídeo-vigilancia por cuestiones de seguridad. Así, de conformidad con la normativa y jurisprudencia expuesta, la captación y grabación de imágenes de las personas que accede al citado centro comercial, (de los clientes del centro, de los trabajadores de las tiendas, de los trabajadores de la empresa de seguridad del centro etc.) a través de videocámaras, como es el caso que nos ocupa, constituye un tratamiento de datos personales, cuyo responsable se identifica, en el presente caso, con la persona jurídica titular del establecimiento donde se encuentran instaladas las videocámaras, toda vez que es dicha persona la que decide sobre la finalidad, contenido y uso del citado tratamiento. La entidad denunciada de acuerdo con el contrato suscrito con el titular del centro comercial es un encargado del tratamiento de las imágenes captadas por las cámaras de grabación del citado centro. Pero cuando dicho tratamiento lo realiza para el control laboral de sus trabajadores entonces es responsable de dicho tratamiento, pues decide sobre la finalidad del tratamiento realizado. VI Ahora bien, en cuanto a la instalación de cámaras de videovigilancia en un establecimiento público, que constituye centro de trabajo, se plantea en primer lugar, si es necesario el consentimiento inequívoco de los trabajadores al amparo del artículo 6.1 de la LOPD. En cuanto al consentimiento, elemento base en el tratamiento de los datos, entraña cierta complejidad, especialmente cuando nos referimos al ámbito laboral, dado que resulta de difícil cumplimiento que en ese ámbito concurran los requisitos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 legalmente previstos para considerar que se ha obtenido libremente el consentimiento. El artículo 3
- h)de la LOPD lo define como “Toda manifestación de voluntad libre, inequívoca, específica e informada mediante la que el interesado consienta el tratamiento de datos personales que el conciernen”. Del concepto de consentimiento se desprende la necesaria concurrencia para que el mismo pueda ser considerado conforme a derecho de los cuatro requisitos enumerados en dicho precepto. Un adecuado análisis del concepto exigirá poner de manifiesto cuál es la interpretación que ha de darse a estas cuatro notas características del consentimiento, tal y como la misma ha indicado en numerosas Resoluciones de la AEPD, siguiendo a tal efecto los criterios sentados en las diversas recomendaciones emitidas por el Comité de Ministros del Consejo de Europa en relación con la materia que nos ocupa. A la luz de dichas recomendaciones, el consentimiento habrá de ser:
- a)Libre, lo que supone que el mismo deberá haber sido obtenido sin la intervención de vicio alguno del consentimiento en los términos regulados por el Código Civil.
- b)Específico, es decir referido a un determinado tratamiento o serie de tratamientos concretos y en el ámbito de las finalidades determinadas, explícitas y legítimas del responsable del tratamiento, tal y como impone el artículo 4.2 de la LOPD.
- c)Informado, es decir que el afectado conozca con anterioridad al tratamiento la existencia del mismo y las finalidades para las que el mismo se produce. Precisamente por ello el artículo 5.1 de la LOPD impone el deber de informar a los interesados de una serie de extremos que en el mismo se contienen.
- d)Inequívoco, lo que implica que no resulta admisible deducir el consentimiento de los meros actos realizados por el afectado (consentimiento presunto), siendo preciso que exista expresamente una acción u omisión que implique la existencia del consentimiento. La concurrencia de estos requisitos resulta de difícil cumplimiento en el ámbito laboral. En consecuencia, vista la dificultad que entraña obtener el consentimiento, la Agencia Española de Protección de Datos, ha entendido que lo procedente es acudir a las normas que legitimen el tratamiento de los datos. Por tanto, en el ámbito laboral, el Ordenamiento Jurídico Español, regula en el Estatuto de los Trabajadores, aprobado por Real Decreto Legislativo de 24 de Octubre de 1995, los poderes de Dirección del empresario y es en ése articulado donde hallamos la oportuna legitimación. El artículo 20.3 del Estatuto de los Trabajadores (ET) dispone que “El empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad humana y teniendo en cuenta la capacidad real de los trabajadores disminuidos, en su caso”. Por otra parte, no se puede obviar la doctrina del Tribunal Supremo, en Sentencia de 18 de junio de 2006, en virtud de la cual dichas medidas (como las relacionadas con la utilización de Internet y correo electrónico) deben haber sido hechas constar expresamente al trabajador, pasando así a formar parte de la propia relación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 laboral y siendo el tratamiento de los datos necesario para su adecuado desenvolvimiento. De todo ello se desprende que el empresario, es necesario que se haya legitimado para tratar las imágenes de los trabajadores en el ámbito laboral, al amparo del artículo 20.3 del ET. Ahora bien, esta legitimación no es absoluta y exige por parte del empresario la obligación de informar de dicho tratamiento a los trabajadores (cumpliendo así con el deber de informar previsto tanto en el artículo 10 de la Directiva 95/46/CE como en el artículo 5 de la LOPD). Igualmente ha de tenerse en cuenta la Sentencia del Tribunal Constitucional STC 029/2013 DE 11/02/2013, en la que se recoge: <<…No contrarresta esa conclusión que existieran distintivos anunciando la instalación de cámaras y captación de imágenes en el recinto universitario, ni que se hubiera notificado la creación del fichero a la Agencia Española de Protección de Datos; era necesaria además la información previa y expresa, precisa, clara e inequívoca a los trabajadores de la finalidad de control de la actividad laboral a la que esa captación podía ser dirigida. Una información que debía concretar las características y el alcance del tratamiento de datos que iba a realizarse, esto es, en qué casos las grabaciones podían ser examinadas, durante cuánto tiempo y con qué propósitos, explicitando muy particularmente que podían utilizarse para la imposición de sanciones disciplinarias por incumplimientos del contrato de trabajo…>> En el ámbito laboral, cuando se utiliza un sistema de videovigilancia con el que se va a verificar el cumplimiento de las obligaciones contractuales de los trabajadores contratados, el empresario viene obligado a informar de forma específica, según la Guía de video editada por esta Agencia, en la sección Uso de videocámaras con fines de control empresarial: - A la representación sindical. Por medio de cartel o distintivo informativo. A los trabajadores de forma personalizada. El presente caso, aunque la entidad denunciada en el tratamiento de los datos obtenidos a través de las cámaras del centro comercial es un simple encargado. Cuando trata dichos datos para tramitar un procedimiento sancionador laboral a sus trabajadores entonces ya no es encargado sino responsable del tratamiento, pues decide sobre la finalidad de dicho tratamiento. La propia empresa denunciada reconoce no haber informado personalmente a sus trabajadores con anterioridad a marzo de 2012, de la posibilidad de utilizar las imágenes captadas por cámaras de video vigilancia para control laboral de los mismos. VII La infracción del citado artículo 5 se tipifica en el artículo 44.2.
- c)de la LOPD, que considera infracción leve “El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 VIII No obstante, debe ser tenida en cuenta la regulación del artículo 47 apartados 1 y 2, sobre prescripción de la infracción, que disponen. “1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido.” En el presente caso ha quedado acreditado que el denunciado trato los datos del trabajador sin información previa, el 13/04/2012 en el escrito dirigido al denunciante, de audiencia previa a la sanción de su trabajador. Teniendo en cuenta que el Acuerdo de Inicio del presente procedimiento fue notificado el 3/05/2013, que la infracción cometida es leve y prescribe al año. Por todo ello, de acuerdo con la regulación del art. 47 de la LOPD, procede el archivo de las presentes actuaciones por prescripción de la infracción. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: EXONERAR de responsabilidad a SEGUR IBERICA S.A., por los hechos imputados en el presente procedimiento sancionador. SEGUNDO: NOTIFICAR la presente resolución a SEGUR IBERICA S.A. y al SINDICATO AUTONOMO DE TRABAJADORES DE EMPRESAS DE SEGURIDAD (ATES) EN SEGUR IBERICA. TERCERO: De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es