← España

PS-00227-2020

1/15  Procedimiento Nº: PS/00227/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Don A.A.A. (en adelante, el reclamante), con fecha 23 de julio de 2020, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra RECAMBIOS VILLALEGRE, S.L., con NIF B74393992 (en adelante, el reclamado) por unos hechos que podrían estar vulnerando la legislación sobre protección de datos personales. Los motivos principales en que basa la reclamación son los siguientes: «Me pongo en contacto con ustedes debido al acoso y amenazas que está sufriendo un pobre indigente de la ciudad de ***LOCALIDAD.1 (***PROVINCIA.1) por culpa de una publicación que la empresa Recambios Villalegre puso en su página de Facebook en la noche del día ***FECHA.1. En dicha publicación, acusan a este indigente (que se gana la vida pidiendo limosna) de haberles robado todo el dinero efectivo de la caja registradora, y por si fuera poco tan grave acusación, adjuntan una fotografía tomada a la citada persona desde las cámaras de videovigilancia algo totalmente ilegal más aún cuando la citada empresa carece de cartel informativo de zona videovigilada en sus instalaciones. Como podrán ver en las capturas adjuntadas a esta reclamación, se imaginarán la gran repercusión que esto ha tenido en la ciudad ya que, en el momento de escribir este texto, la publicación ha sido compartida por XXXX personas y con cientos de comentarios vejatorios, insultantes e incluso amenazantes. Cabe mencionar que, aunque en la polémica publicación aseguran tenerlo todo perfectamente grabado llama la atención que en la fotografía aportada no se ve la caja registradora por ninguna parte, motivo por el cual da que pensar si realmente ha sido un robo o por el contrario algún tipo de venganza o enemistad de la empresa con el perjudicado. Por si fuera poco, todo lo anteriormente expuesto, la citada empresa ha hecho circular también por grupos de WhatsApp otra fotografía (la cual se adjunta a esta reclamación) de esta persona tomada en este caso de frente, desde lo que parece ser un vehículo y en la cual su cara es perfectamente reconocible, multiplicando más aún si cabe todo el acoso y las amenazas que éste pobre hombre está sufriendo por toda la ciudad. Puesto que esta persona carece de recurso alguno para tratar de solucionar el problema que le han causado de forma intencionada, y tras comunicarme su decisión de abandonar la ciudad (en el mejor de los casos) por todo lo que está sufriendo, me veo en la obligación de comunicarlo a la AEPD con la intención de que tomen las medidas oportunas con la citada empresa que ha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/15 abusado de forma desmesurada contra esta persona. Cabe recordar que, la Constitución Española de 1.978 en su artículo 18, protege y predica el derecho al honor, a la intimidad personal y familiar, así como a la propia imagen, derecho que esta empresa ha vulnerado de forma flagrante contra esta persona. Por todo lo anteriormente expuesto, ruego tomen las medidas necesarias para acabar con esta situación a la mayor brevedad posible, así como proceder a imponer la correspondiente sanción a la citada empresa en el caso de que sea procedente. P.d.: Se adjuntan tres capturas de pantalla que demuestran todo lo explicado, así como también el enlace de la publicación que hizo la empresa. ***URL.1 Una de las imágenes enviadas es una fotografía de una persona que arrastra un carrito. La otra imagen es la incluida en el perfil de Facebook de la entidad reclamada, que se publicó el pasado ***FECHA.1 un post en el que se incluía una fotografía correspondiente con un fotograma de las imágenes captadas por la cámara de videovigilancia de la tienda, en la que se ve al otro lado del umbral de la puerta del local (la cá mara capta una parte importante de la acera sin que se observe cartel informativo), por fuera, la silueta de un hombre con un carrito de la compra. La publicación se acompaña del siguiente comentario: “Este señor que se pasa los días pidiendo ayuda muy educadamente por el centro de ***LOCALIDAD.1 y en especial, por las terrazas de los bares, hoy por la tarde nos ha entrado en nuestro negocio y en un momento que hemos tenido que estar en la parte de atrás de la tienda, ha entrado por dentro del mostrador y se llevo todo el dinero que teníamos en efectivo. Las cámaras lo han grabado perfectamente. Ruego máxima difusión para ayuda de todos. Se ha comprobado que la publicación permanece disponible. SEGUNDO: La reclamación fue admitida a trámite mediante resolución de 24 de julio de 2020. TERCERO: El reclamante presentó nuevo escrito, en fecha 25 de julio de 2020, en el que señala lo siguiente: “Pidiéndoles disculpas de antemano por escribirles por el mismo tema con un intervalo de tiempo de poco más de 24 horas, me veo en la hacerlo debido a los cambios surgidos recientemente con este asunto. Para ponernos en antecedentes, se trata del caso de la empresa ***LOCALIDAD.1 que publicó en sus redes sociales la fotoC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/15 grafía, tomada de forma totalmente ilegal de un indigente que había entrado al local a pedir limosna. En dicha denuncia ante ustedes en el día de ayer, se acusaba a la citada persona de haber cometido un robo bastante dudoso desde nuestro punto de vista, pero debido a la versión tan inverosímil argumentada por la empresa, se hubiera producido una vulneración a Ley de Protección de Datos por haber publicado la fotografía del supuesto delincuente. Pues bien, tal y como se puede ver en los enlaces más abajo aportados, la repercusión de este incidente se ha visto incrementa de forma considerable ya que ha sido publicado en los diarios más leídos en esta zona (***DIARIO.1 y ***DIARIO.2) Tal y como publican ambos, la detención de dicha persona por la denuncia que la empresa había cursado y teniendo que acudir a la celebración de un juicio rápido, ya que el supuesto robo superaba los XXX, en el día de hoy y por el que salió totalmente absuelto por falta de pruebas. Prueba de su inmediata liberación pueden corroborar ustedes leyendo la nueva publicación que la empresa denunciante ha puesto en sus redes sociales en la que afirma lo aquí expongo. Persona acusada de un delito penal ha sido puesta en libertad en el mismo día que se celebrara el juicio, creemos que es prueba más que suficiente y no hay motivo alguno por el cual someter al acusado a semejante exposición social. Y una vez más, que conformes con este acoso, vuelven a publicar las imágenes de esta persona para facilitar el reconocimiento del resto de personas. Tal y como hice en el día de ayer, mediante capturas de pantalla de la red social de la citada empresa, así como en los distintos enlaces en los que se ha publicado por medios de comunicación. Ruego su inmediata retirada de esas publicaciones: ***URL.2 ***URL.3 ***URL.4 CUARTO: Con fecha 11 de agosto de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 6 del RGPD, y del artículo 13 del RGPD, tipificadas en el Artículo 83.5 del RGPD. QUINTO: El acuerdo de inicio fue notificado electrónicamente al reclamado. Así lo exige el artículo 14.2 de la Ley 39/2015 de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) conforme al cual “En todo caso estarán obligados a relacionarse a través de medios electrónicos con las Administraciones Públicas para la realización de cualquier trámite de un procedimiento administrativo, al menos, los siguientes sujetos:

  1. a)Las personas jurídicas”. Obra en el expediente el Certificado emitido por el Servicio de Notificaciones Electrónicas y de Dirección Electrónica Habilitada de la FNMT-RCM, que deja constancia del envío del acuerdo de inicio, notificación de la AEPD dirigida al reclamado, a través de ese medio siendo la fecha de puesta a disposición en la sede electrónica del organismo el 13/08/2020 y la fecha de rechazo automático el 24/08/2020. El artículo 43.2. de la LPACAP establece que cuando la notificación por medios electrónicos sea de carácter obligatorio -como acontece en el presente caso- “se entenderá rechazada cuando hayan transcurrido diez días naturales desde la puesta a disposición de la notificación sin que se acceda a su contenido.” (El subrayado es de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/15 AEPD) Añadir que los artículos 41.5 y 41.1, párrafo tercero, de la LPACAP dicen, respectivamente: “Cuando el interesado o su representante rechace la notificación de una actuación administrativa, se hará constar en el expediente especificándose las circunstancias del intento de notificación y el medio, dando por efectuado el trámite y siguiéndose el procedimiento.” (El subrayado es de la AEPD) “Con independencia del medio utilizado, las notificaciones serán válidas siempre que permitan tener constancia de su envío o puesta a disposición, de la recepción o acceso por el interesado o su representante, de sus fechas y horas, del contenido íntegro, y de la identidad fidedigna del remitente y del destinatario de la misma. La acreditación de la notificación efectuadas se incorporará al expediente”. Así pues, atendiendo a que la notificación del acuerdo de inicio al reclamado se efectuó electrónicamente por imperativo legal (artículo 14 LPACAP) y que se produjo el rechazo de la notificación transcurridos diez días, tal y como dispone el artículo 43.2 de la precitada ley, el trámite se consideró efectuado y el procedimiento siguió su curso (ex artículo 41.5 LPACAP) SEXTO: Con fecha 26 de septiembre de 2020, se inició fase de prueba, acordando practicar las siguientes: 1. Se dan por reproducidos a efectos probatorios la reclamación interpuesta por el reclamante y la documentación aportada. 2. Se solicita a RECAMBIOS VILLALEGRE S.L., que nos informe de las cuestiones siguientes:
  2. a)Si ha presentado denuncia por robo de XXX euros contra el indigente que señala en el facebook de la entidad.
  3. b)Si se ha dictado sentencia sobre esa denuncia y su resultado, acompañando copia de la misma, si la hubiese.
  4. c)Si ha retirado de su Facebook las imágenes del indigente al que atribuía el robo de XXX euros de la caja de su establecimiento y de la grabación de esos hechos.
  5. d)Aporte prueba documental del cartel informativo de zona videovigilada con la información exigida por la normativa de protección de datos. La Notificación de la práctica de prueba ha sido devuelta con la leyenda de “Desconocido”. SÉPTIMO: De conformidad con el artículo 73.1 de la LPACAP el plazo para formular alegaciones al Acuerdo de Inicio es de diez días computados a partir del siguiente al de la notificación. El artículo 64.2. LPACAP, indica que se informará al denunciado del derecho a formular alegaciones, del “derecho a la audiencia en el procedimiento y de los plazos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/15 para su ejercicio, así como la indicación de que en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada”. (El subrayado es de la AEPD) El acuerdo de inicio del expediente sancionador que nos ocupa contenía un pronunciamiento preciso sobre la responsabilidad de la entidad reclamada: en el citado acuerdo se concretaba cuál era conducta infractora, el tipo sancionador en el que era subsumible, las circunstancias modificativas de la responsabilidad descrita y la sanción que a juicio de la AEPD procedía imponer. En consideración a lo expuesto y de conformidad con lo establecido en el artículo 64.2.
  6. f)de la LPACAP, el acuerdo de inicio del PS/00227/2020 es considerado Propuesta de Resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PRIMERO: Con fecha 23 de julio de 2020, se recibió en la Agencia Española de Protección de Datos una reclamación en la que se indicaba que la empresa Recambios Villalegre había publicado en su página de Facebook, el día ***FECHA.1, que un indigente les había robado todo el dinero efectivo que tenían en la caja registradora. Acompañaban a la publicación una imagen de la persona acusada tomada desde su cámara de videovigilancia. Incluyen la información siguiente: “Este señor que se pasa los días pidiendo ayuda muy educadamente por el centro de ***LOCALIDAD.1 y en especial, por las terrazas de los bares, hoy por la tarde nos ha entrado en nuestro negocio y en un momento que hemos tenido que estar en la parte de atrás de la tienda, ha entrado por dentro del mostrador y se llevo todo el dinero que teníamos en efectivo. Las cámaras lo han grabado perfectamente. Ruego máxima difusión para ayuda de todos. SEGUNDO: La publicación ha sido compartida por XXXX personas y se recogen numerosos comentarios vejatorios, insultantes e incluso amenazantes. Asimismo, la empresa reclamada ha hecho circular también por grupos de WhatsApp otra fotografía (la cual se adjunta a esta reclamación) de esta persona tomada en este caso de frente, desde lo que parece ser un vehículo y en la cual su cara es perfectamente reconocible, multiplicando más aún si cabe todo el acoso y las amenazas que éste pobre hombre está sufriendo por toda la ciudad. TERCERO: La empresa reclamada no dispone de carteles informando que es una zona videovigilada. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/15 I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), reconoce a cada Autoridad de Control, y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar y resolver este procedimiento. El artículo 63.2 de la LOPDGDD determina que: «Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.» II La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. En el artículo 4.2 del RGPD se define el concepto de “tratamiento” de datos personales. Es, por tanto, pertinente analizar si el tratamiento de datos personales (imagen de las personas físicas) llevado a cabo a través de la captación de fotografía y video denunciada es acorde con lo establecido en el RGPD. III En primer lugar y referido a la publicación de las imágenes indicadas en los antecedentes por parte de la reclamada, el artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales: «1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
  7. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  8. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  9. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  10. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
  11. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  12. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/15 fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  13. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.» Sobre esta cuestión de la licitud del tratamiento, incide asimismo el Considerando 40 del mencionado RGPD, cuando dispone que «Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.» En relación con lo anterior, se considera que existen evidencias de que el tratamiento de datos de la persona que aparece en las imágenes objeto de esta reclamación se ha efectuado sin causa legitimadora de las recogidas en el artículo 6 del RGPD. El RGPD se aplica a los datos personales, que se definen como «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona. La persona cuyos datos ha tratado la reclamada, es perfectamente identificable ya que su identidad pueda determinarse, directa o indirectamente, en particular mediante las imágenes y los comentarios que ha incluido en el Facebook la empresa reclamada. IV En segundo lugar, la fotografía que se extrae del sistema de videovigilancia instalado por la reclamada invade la acera de la calle desde la que se entra al local. Es, por tanto, pertinente analizar si el tratamiento de datos personales (imagen de las personas físicas) llevado a cabo a través del sistema de videovigilancia de la reclamada es acorde con lo establecido en el RGPD. El artículo 5.1.
  14. c)del RGPD, relativo a los principios del tratamiento, dispone que los datos personales serán «adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados (“minimización de datos”).» Este artículo consagra el principio de minimización de datos en el tratamiento de los datos personales. Supone que dicho tratamiento sea ajustado y proporcional a la finalidad a la que se dirige, debiendo restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. La pertinencia en el tratamiento de los datos debe producirse tanto en el ámbito de la recogida de los datos como en el posterior tratamiento que se realice de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/15 mismos. El artículo 12.1 del RGPD señala: “1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14” El RGPD enumera las categorías de información que deben facilitarse a un interesado en relación con el tratamiento de sus datos personales en los casos en los que se recaban del mismo (artículo 13) o se obtienen de otra fuente (artículo 14). El 12.7 indica: “La información que deberá facilitarse a los interesados en virtud de los artículos 13 y 14 podrá transmitirse en combinación con iconos normalizados que permitan proporcionar de forma fácilmente visible, inteligible y claramente legible una adecuada visión de conjunto del tratamiento previsto” El artículo 22 de la LOPDGDD establece las especificidades del tratamiento de datos con fines de videovigilancia, indicando lo siguiente: “1. Las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. 2. Solo podrán captarse imágenes de la vía pública en la medida en que resulte imprescindible para la finalidad mencionada en el apartado anterior. No obstante, será posible la captación de la vía pública en una extensión superior cuando fuese necesario para garantizar la seguridad de bienes o instalaciones estratégicos o de infraestructuras vinculadas al transporte, sin que en ningún caso pueda suponer la captación de imágenes del interior de un domicilio privado. 3. Los datos serán suprimidos en el plazo máximo de un mes desde su captación, salvo cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En tal caso, las imágenes deberán ser puestas a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación. No será de aplicación a estos tratamientos la obligación de bloqueo prevista en el artículo 32 de esta ley orgánica. 4. El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información. En todo caso, el responsable del tratamiento deberá mantener a disposición de los afectados la información a la que se refiere el citado reglamento. 5. Al amparo del artículo 2.2.
  15. c)del Reglamento (UE) 2016/679, se considera excluido de su ámbito de aplicación el tratamiento por una persona física de imágenes que solamente capten el interior de su propio domicilio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/15 Esta exclusión no abarca el tratamiento realizado por una entidad de seguridad privada que hubiera sido contratada para la vigilancia de un domicilio y tuviese acceso a las imágenes. 6. El tratamiento de los datos personales procedentes de las imágenes y sonidos obtenidos mediante la utilización de cámaras y videocámaras por las Fuerzas y Cuerpos de Seguridad y por los órganos competentes para la vigilancia y control en los centros penitenciarios y para el control, regulación, vigilancia y disciplina del tráfico, se regirá por la legislación de transposición de la Directiva (UE) 2016/680, cuando el tratamiento tenga fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluidas la protección y la prevención frente a las amenazas contra la seguridad pública. Fuera de estos supuestos, dicho tratamiento se regirá por su legislación específica y supletoriamente por el Reglamento (UE) 2016/679 y la presente ley orgánica. 7. Lo regulado en el presente artículo se entiende sin perjuicio de lo previsto en la Ley 5/2014, de 4 de abril, de Seguridad Privada y sus disposiciones de desarrollo. 8. El tratamiento por el empleador de datos obtenidos a través de sistemas de cámaras o videocámaras se somete a lo dispuesto en el artículo 89 de esta ley orgánica.” V Con la finalidad de que el deber de información previsto en el artículo 12 del RGPD se cumpla de manera concisa y comprensible para el afectado, el citado artículo 22 de la LOPDGDD prevé un sistema de “información por capas”. Se recomienda que la primera capa o modalidad insertada en el icono de advertencia de área videovigilada contenga la información más importante, los detalles del propósito del tratamiento, la identidad del responsable y una descripción de los derechos del interesado, base jurídica del tratamiento e identificación del responsable del tratamiento y forma de contacto. La importancia de proporcionar esta información por adelantado surge, en particular, del considerando 39 del RGPD, no siendo necesario especificar la ubicación precisa del equipo de vigilancia; sin embargo, deberá quedar bien claro el contexto de la vigilancia. Así, en resumen, en el cartel o distintivo de zona videovigilada, deberá informar acerca de: -La existencia del tratamiento (videovigilancia). -La identidad del responsable del tratamiento o del sistema de videovigilancia, y la dirección del mismo. -La posibilidad de ejercitar los derechos reconocidos en los artículos 15 a 22 del RGPD. -Dónde obtener más información sobre el tratamiento de los datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/15 La información de la segunda capa debe estar disponible en un lugar fácilmente accesible al interesado, sea una hoja informativa en una recepción, cajero etc. o colocada en un espacio público visible, o referirse a una dirección web con el resto de los elementos del artículo 13 del RGPD. El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, que es la siguiente: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  16. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  17. b)los datos de contacto del delegado de protección de datos, en su caso;
  18. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  19. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  20. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  21. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  22. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  23. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  24. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  25. d)el derecho a presentar una reclamación ante una autoridad de control;
  26. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
  27. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/15 significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.” La segunda parte de la reclamación se concreta en que la entidad reclamada no dispone de cartel en el que se informe sobre la presencia de las cámaras. Conforme a lo expuesto, esta Agencia considera que existen indicios sobre la existencia de cámaras de videovigilancia instaladas en la entidad reclamada sin el necesario distintivo informativo. VI Los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, se establecen en el artículo 58.2 del RGPD. Entre ellos se encuentran la potestad de sancionar con apercibimiento -artículo 58.2 b)-, la potestad de imponer una multa administrativa con arreglo al artículo 83 del RGPD -artículo 58.2 i)-, o la potestad de ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un plazo especificado -artículo 58. 2 d)-. Ha quedado acreditado que los hechos expuestos incumplen lo establecido en los artículos 6.1. y 13 RGPD, por lo que podrían suponer la comisión de sendas infracciones tipificadas en el artículo 83.5 del RGPD, que dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  28. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
  29. b)los derechos de los interesados a tenor de los artículos 12 a 22; […].” A efectos del plazo de prescripción de las infracciones, la infracción señalada en el párrafo anterior se considera muy grave y prescribe a los tres años, conforme al artículo 72.1 de la LOPDGDD, que establece que: “En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/15 siguientes:
  30. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. (…)
  31. h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta Ley Orgánica.” VII A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  32. a)a
  33. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  34. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  35. b)la intencionalidad o negligencia en la infracción;
  36. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  37. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  38. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  39. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  40. g)las categorías de los datos de carácter personal afectados por la infracción;
  41. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  42. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  43. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  44. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/15 Respecto al apartado
  45. k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: “2. De acuerdo a lo previsto en el artículo 83.2.
  46. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  47. a)El carácter continuado de la infracción.
  48. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  49. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  50. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  51. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  52. f)La afectación a los derechos de los menores.
  53. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  54. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” En el presente caso, se han tenido en cuenta, en especial, los siguientes elementos:     La naturaleza y gravedad de la infracción, teniendo en cuenta el propósito de la operación de tratamiento de que se trate así como el nivel de los daños y perjuicios que hayan sufrido;
  55. b)la intencionalidad o negligencia en la infracción; Que se trata de una pequeña empresa cuya actividad principal no está vincula con el tratamiento de datos personales. Que no se aprecia reincidencia, por no constar la comisión, en el término de un año, de más de una infracción de la misma naturaleza. VIII De acuerdo con lo establecido en el artículo 58.2
  56. d)del RGPD, según el cual cada autoridad de control podrá «ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado […].», se le requiere a que adecue el tratamiento de datos que supone la videovigilancia del centro veterinario a los requisitos establecidos en el RGPD, y en concreto, a la colocación en lugar visible de un dispositivo informativo. Se advierte que no atender a los requerimientos de este organismo puede ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/15 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a RECAMBIOS VILLALEGRE S.L., con NIF B74393992, por una infracción del artículo 6 del RGPD, tipificada en el Artículo 83.5.
  57. a)del RGPD, una multa de 10.000 euros (diez mil euros). SEGUNDO: IMPONER a RECAMBIOS VILLALEGRE S.L., con NIF B74393992, por una infracción del artículo 13 del RGPD, tipificada en el Artículo 83.5.
  58. b)del RGPD, una multa de 2.000 euros (dos mil euros). TERCERO: REQUERIR a RECAMBIOS VILLALEGRE S.L., con NIF B74393992, para que a tenor del art. 58.2
  59. d)RGPD, y en el plazo de un mes a contar desde la notificación de esta resolución: -Retire las imágenes subidas a Facebook y los comentarios que identifican a la persona cuyos datos son objeto de tratamiento. -Acredite haber procedido a la colocación del dispositivo informativo en las zonas videovigiladas o a completar la información ofrecida en el mismo (deberá identificarse, al menos, la existencia de un tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en dichos preceptos), ubicando este dispositivo en lugar suficientemente visible, tanto en espacios abiertos como cerrados. -Acredite que mantiene a disposición de los afectados la información a la que se refiere el citado RGPD. CUARTO: NOTIFICAR la presente resolución a RECAMBIOS VILLALEGRE S.L. QUINTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  60. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/15 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  61. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-300320 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.