PS-00212-2020

1/9  Procedimiento Nº: PS/00212/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Don A.A.A. (en adelante, el reclamante), con fecha 28 de enero de 2020, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra OPENVET TOP, S.L., con NIF B98858426 (en adelante, el reclamado). Los motivos en que basa la reclamación son que el Centro Clínico Veterinario CPG, cuyo responsable es la sociedad reclamada, tiene cámaras de videovigilancia sin cartel ni formularios informativos, no se sabe quién es el responsable, y sin tener inscrito el fichero en la Agencia Española de Protección de Datos. Junto a la reclamación aporta una fotografía del centro contra el que presenta la reclamación. SEGUNDO: Con carácter previo a la admisión a trámite de esta reclamación, se trasladó al reclamado, de conformidad con lo establecido en el artículo 65.4 la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). El traslado se remitió a través de Notific@ y se devolvió por "expirado" el día 03/03/2020; reiterándose el traslado por correo certificado y se notifica el día 5 de marzo de 2020. No se ha recibido contestación a la solicitud de información. TERCERO: La reclamación fue admitida a trámite mediante resolución de 14 de noviembre de 2019. CUARTO: Con fecha 1 de septiembre de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: El acuerdo de inicio fue notificado electrónicamente al reclamado. Así lo exige el artículo 14.2 de la Ley 39/2015 de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) conforme al cual “En todo caso estarán obligados a relacionarse a través de medios electrónicos con las Administraciones Públicas para la realización de cualquier trámite de un procedimiento administrativo, al menos, los siguientes sujetos:

1. a)Las personas jurídicas”. Obra en el expediente el Certificado emitido por el Servicio de Notificaciones Electrónicas y de Dirección Electrónica Habilitada de la FNMT-RCM, que deja constancia del envío del acuerdo de inicio, notificación de la AEPD dirigida al reclamado, a través de ese medio siendo la fecha de puesta a disposición en la sede electrónica del organisC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 mo el 03/09/2020 y la fecha de rechazo automático el 14/09/2020. El artículo 43.2. de la LPACAP establece que cuando la notificación por medios electrónicos sea de carácter obligatorio -como acontece en el presente caso- “se entenderá rechazada cuando hayan transcurrido diez días naturales desde la puesta a disposición de la notificación sin que se acceda a su contenido.” (El subrayado es de la AEPD) Añadir que los artículos 41.5 y 41.1, párrafo tercero, de la LPACAP dicen, respectivamente: “Cuando el interesado o su representante rechace la notificación de una actuación administrativa, se hará constar en el expediente especificándose las circunstancias del intento de notificación y el medio, dando por efectuado el trámite y siguiéndose el procedimiento.” (El subrayado es de la AEPD) “Con independencia del medio utilizado, las notificaciones serán válidas siempre que permitan tener constancia de su envío o puesta a disposición, de la recepción o acceso por el interesado o su representante, de sus fechas y horas, del contenido íntegro, y de la identidad fidedigna del remitente y del destinatario de la misma. La acreditación de la notificación efectuadas se incorporará al expediente”. Así pues, atendiendo a que la notificación del acuerdo de inicio al reclamado se efectuó electrónicamente por imperativo legal (artículo 14 LPACAP) y que se produjo el rechazo de la notificación transcurridos diez días, tal y como dispone el artículo 43.2 de la precitada ley, el trámite se consideró efectuado y el procedimiento siguió su curso (ex artículo 41.5 LPACAP) SEXTO: De conformidad con el artículo 73.1 de la LPACAP el plazo para formular alegaciones al Acuerdo de Inicio es de diez días computados a partir del siguiente al de la notificación. El artículo 64.2. LPACAP, indica que se informará al denunciado del derecho a formular alegaciones, del “derecho a la audiencia en el procedimiento y de los plazos para su ejercicio, así como la indicación de que en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada”. (El subrayado es de la AEPD) El acuerdo de inicio del expediente sancionador que nos ocupa contenía un pronunciamiento preciso sobre la responsabilidad de la entidad reclamada: en el citado acuerdo se concretaba cuál era conducta infractora, el tipo sancionador en el que era subsumible, las circunstancias modificativas de la responsabilidad descrita y la sanción que a juicio de la AEPD procedía imponer. En consideración a lo expuesto y de conformidad con lo establecido en el artículo 64.2.
2. f)de la LPACAP, el acuerdo de inicio del PS/00212/2020 es considerado Propuesta de Resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 en el presente procedimiento se consideran hechos probados los siguientes: HECHOS PRIMERO: Con fecha 28 de enero de 2020, se recibió reclamación en la Agencia Española de Protección de Datos, referida a que Centro Clínico Veterinario CPG, cuyo responsable es OPENVET TOP, S.L., tiene cámaras de videovigilancia sin cartel ni formularios informativos, no se sabe quién es el responsable, y sin tener inscrito el fichero en la Agencia Española de Protección de Datos. Junto a la reclamación aporta una fotografía del centro contra el que presenta la reclamación, en el que se observa una cámara. SEGUNDO: No se ha recibido contestación del reclamado ni en el trámite del traslado ni posteriormente. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), reconoce a cada Autoridad de Control, y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar y resolver este procedimiento. El artículo 63.2 de la LOPDGDD determina que: «Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.» II La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. En el artículo 4.2 del RGPD se define el concepto de “tratamiento” de datos personales. El artículo 12.1 del RGPD señala: “1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14” El RGPD enumera las categorías de información que deben facilitarse a un interesado en relación con el tratamiento de sus datos personales en los casos en los que se recaban del mismo (artículo 13) o se obtienen de otra fuente (artículo 14). El 12.7 indica: “La información que deberá facilitarse a los interesados en virtud de los artículos 13 y 14 podrá transmitirse en combinación con iconos normalizados que permitan proporcionar de forma fácilmente visible, inteligible y claramente legible una adecuada visión de conjunto del tratamiento previsto” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 El artículo 22 de la LOPDGDD establece las especificidades del tratamiento de datos con fines de videovigilancia, indicando lo siguiente: “1. Las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. 2. Solo podrán captarse imágenes de la vía pública en la medida en que resulte imprescindible para la finalidad mencionada en el apartado anterior. No obstante, será posible la captación de la vía pública en una extensión superior cuando fuese necesario para garantizar la seguridad de bienes o instalaciones estratégicos o de infraestructuras vinculadas al transporte, sin que en ningún caso pueda suponer la captación de imágenes del interior de un domicilio privado. 3. Los datos serán suprimidos en el plazo máximo de un mes desde su captación, salvo cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En tal caso, las imágenes deberán ser puestas a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación. No será de aplicación a estos tratamientos la obligación de bloqueo prevista en el artículo 32 de esta ley orgánica. 4. El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información. En todo caso, el responsable del tratamiento deberá mantener a disposición de los afectados la información a la que se refiere el citado reglamento. 5. Al amparo del artículo 2.2.
3. c)del Reglamento (UE) 2016/679, se considera excluido de su ámbito de aplicación el tratamiento por una persona física de imágenes que solamente capten el interior de su propio domicilio. Esta exclusión no abarca el tratamiento realizado por una entidad de seguridad privada que hubiera sido contratada para la vigilancia de un domicilio y tuviese acceso a las imágenes. 6. El tratamiento de los datos personales procedentes de las imágenes y sonidos obtenidos mediante la utilización de cámaras y videocámaras por las Fuerzas y Cuerpos de Seguridad y por los órganos competentes para la vigilancia y control en los centros penitenciarios y para el control, regulación, vigilancia y disciplina del tráfico, se regirá por la legislación de transposición de la Directiva (UE) 2016/680, cuando el tratamiento tenga fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluidas la protección y la prevención frente a las amenazas contra la seguridad pública. Fuera de estos supuestos, dicho tratamiento se regirá por su legislación específica y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 supletoriamente por el Reglamento (UE) 2016/679 y la presente ley orgánica. 7. Lo regulado en el presente artículo se entiende sin perjuicio de lo previsto en la Ley 5/2014, de 4 de abril, de Seguridad Privada y sus disposiciones de desarrollo. 8. El tratamiento por el empleador de datos obtenidos a través de sistemas de cámaras o videocámaras se somete a lo dispuesto en el artículo 89 de esta ley orgánica.” III Con la finalidad de que el deber de información previsto en el artículo 12 del RGPD se cumpla de manera concisa y comprensible para el afectado, el citado artículo 22 de la LOPDGDD prevé un sistema de “información por capas”. Se recomienda que la primera capa o modalidad insertada en el icono de advertencia de área videovigilada contenga la información más importante, los detalles del propósito del tratamiento, la identidad del responsable y una descripción de los derechos del interesado, base jurídica del tratamiento e identificación del responsable del tratamiento y forma de contacto. La importancia de proporcionar esta información por adelantado surge, en particular, del considerando 39 del RGPD, no siendo necesario especificar la ubicación precisa del equipo de vigilancia; sin embargo, deberá quedar bien claro el contexto de la vigilancia. Así, en resumen, en el cartel o distintivo de zona videovigilada, deberá informar acerca de: -La existencia del tratamiento (videovigilancia). -La identidad del responsable del tratamiento o del sistema de videovigilancia, y la dirección del mismo. -La posibilidad de ejercitar los derechos reconocidos en los artículos 15 a 22 del RGPD. -Dónde obtener más información sobre el tratamiento de los datos personales. La información de la segunda capa debe estar disponible en un lugar fácilmente accesible al interesado, sea una hoja informativa en una recepción, cajero etc. o colocada en un espacio público visible, o referirse a una dirección web con el resto de los elementos del artículo 13 del RGPD. El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, que es la siguiente: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
4. a)la identidad y los datos de contacto del responsable y, en su caso, de su represenC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 tante;
5. b)los datos de contacto del delegado de protección de datos, en su caso;
6. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
7. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
8. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
9. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
10. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
11. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
12. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
13. d)el derecho a presentar una reclamación ante una autoridad de control;
14. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
15. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.” IV C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 La reclamación se concreta en que la entidad reclamada no dispone de cartel en el que se informe sobre la presencia de las cámaras y sobre la identidad del responsable del tratamiento de los datos, para que las personas interesadas puedan ejercitar los derechos previstos en los arts. 15 a 22 del RGPD. Como prueba de estas manifestaciones, el reclamante aportó las evidencias señaladas en el apartado de “Antecedentes”, primer punto, y primer hecho probado de esta Resolución. Los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, se establecen en el artículo 58.2 del RGPD. Entre ellos se encuentran la potestad de sancionar con apercibimiento -artículo 58.2 b)-, la potestad de imponer una multa administrativa con arreglo al artículo 83 del RGPD -artículo 58.2 i)-, o la potestad de ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un plazo especificado -artículo 58. 2 d)-. Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en el artículo 58.2
16. d)del citado Reglamento es compatible con la sanción consistente en multa administrativa. Sin perjuicio de lo establecido en el artículo 83 del RGPD, el citado Reglamento dispone en su art. 58.2
17. b)la posibilidad de sancionar con apercibimiento, en relación con lo señalado en el Considerando 148: «En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.» V De conformidad con los datos obrantes en la denuncia se ha tenido constancia de que en el establecimiento del reclamado no constaba el citado cartel informativo, y se considera que los hechos expuestos incumplen lo establecido en el artículo 13 del RGPD, por lo que podrían suponer la comisión de sendas infracciones tipificadas en el artículo 83.5 del RGPD, que dispone lo siguiente: «Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9
18. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
19. b)los derechos de los interesados a tenor de los artículos 12 a 22; […].» A efectos del plazo de prescripción de las infracciones, la infracción señalada en el párrafo anterior se considera muy grave y prescribe a los tres años, conforme al artículo 72.1 de la LOPDGDD, que establece que: «En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se considera muy grave y prescribirá a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
20. h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta Ley Orgánica.» VI En el presente caso, se han tenido en cuenta, en especial, los siguientes elementos.  Que se trata de una micropyme cuya actividad principal no está vincula con el tratamiento de datos personales.  Que no se aprecia reincidencia, por no constar la comisión, en el término de un año, de más de una infracción de la misma naturaleza. Por todo ello, se considera que la sanción que corresponde imponer es de apercibimiento, de acuerdo con lo establecido en el artículo 58.2
21. b)del RGPD, en relación con lo señalado en el Considerando 148, antes citados. De acuerdo con lo establecido en el artículo 58.2
22. d)del RGPD, según el cual cada autoridad de control podrá «ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado […].», se le requiere a que adecue el tratamiento de datos que supone la videovigilancia del centro veterinario a los requisitos establecidos en el RGPD, y en concreto, a la colocación en lugar visible de un dispositivo informativo. Se advierte que no atender a los requerimientos de este organismo puede ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a OPENVET TOP, S.L., con NIF B98858426, por una infracción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD, una sanción de apercibimiento). SEGUNDO: REQUERIR a OPENVET TOP, S.L., con NIF B98858426, para que a tenor del art. 58.2
23. d)RGPD, y en el plazo de un mes a contar desde la notificación de esta resolución: -acredite haber procedido a la colocación del dispositivo informativo en las zonas videovigiladas, ubicando este dispositivo en lugar suficientemente visible, tanto en espacios abiertos como cerrados. -acredite que mantiene a disposición de los afectados la información a la que se refiere el citado RGPD. TERCERO: NOTIFICAR la presente resolución a OPENVET TOP, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
24. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-300320 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es