1/17 Procedimiento Nº PS/00229/2013 RESOLUCIÓN: R/02388/2013 En el procedimiento sancionador PS/00229/2013, instruido por la Agencia Española de Protección de Datos a la entidad CESINEC S.L., vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 21/05/2012, tuvo entrada en esta Agencia escrito de Dña. A.A.A. (en lo sucesivo la denunciante) contra CESINEC S.L. en lo sucesivo la denunciada) “por haber instalado un sistema de cámaras con grabación de imagen y sonido distribuidas por las distintas estancias del recinto sin el consentimiento por parte del personal que presta sus servicios en la citada empresa y sin haberse informado a los trabajadores sobre la instalación del sistema de videovigilancia.” SEGUNDO: Tras la recepción de la denuncia, el Director de la Agencia Española de Protección de Datos ordenó a la Subdirección General de Inspección de Datos la realización de las actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1) Con fecha 6/08/2012 la denunciada presenta escrito respondiendo a la información solicitada por la Inspección de Datos, indicando: La mercantil denunciada es la responsable del sistema de videovigilancia instalado. La instalación del sistema fue realizada por la empresa SISTEMA-1 SEGURIDAD ANTIROBO. Se adjunta copia del contrato de instalación y mantenimiento de un sistema de protección de intrusos de fecha 3/10/2002. Actualmente la empresa SEGURCONTROL SOCIEDAD ANÓNIMA (en adelante la empresa de seguridad) lleva el mantenimiento del sistema. Se acompaña copia del contrato de arrendamiento de servicio de seguridad de fecha 22/11/2007, cuyo objeto es entre otros, “sistema de CCTV”. Se acompaña copia del croquis del edificio que tiene dos plantas, piso bajo y planta sótano. Manifiesta que “Las causas y el objeto de la instalación de las cámaras responden a razones disuasorias y de seguridad, evitando el posible mal uso o abuso de las instalaciones de esta compañía. La presencia de las cámaras cumple también la función disuasoria cara a terceros que quieran acceder a las instalaciones cuando el recinto se encuentra cerrado.” Existen carteles informativos tanto en el acceso general a este recinto desde la vía pública como en el acceso interior al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/17 edificio, junto a la recepción del centro. En el tablón de anuncios ubicado en el acceso al edificio de CESINEC, se encuentra colocado el modelo de formulario informativo al que se refiere el art.3.b de la Instrucción 1/2006, así como la posibilidad de solicitar copia del mismo por cualquier persona en el mostrador de recepción. Adjuntan fotografías de los carteles y su ubicación en los que consta como persona responsable la mercantil denunciada. Se manifiesta que los trabajadores han sido personalmente informados de la finalidad de la instalación de las cámaras de seguridad y que dicha información se encuentra colocada en el tablón de anuncios del centro existente al acceder al edificio. Adjuntan copia de la circular informativa, fechada el 9/01/2011. En la misma se contiene el siguiente literal: “Se informa a todo el personal de la existencia de un sistema de videovigilancia en CESINEC por razones de seguridad, así como disuasorias y para evitar el posible mal uso o abuso que se pueda realizar en el campus. Las imágenes se ven a través del monitor al que están conectadas las cámaras y cuyo monitor se encuentra instalado sobre el mostrador de la recepción y cuyas cámaras captan imágenes en tiempo real y se encuentran principalmente en zonas comunes, salidas de emergencia y en las aulas que cuentan con equipos informáticos/electrónicos, así como en la sala de ocio donde existen diversas máquinas y equipos, ya que en la sala de ocio donde existen diversas maquinas y equipos, ya que en cuya sala se han producido algunos problemas de mal uso con las citadas máquinas/equipos. Dichas cámaras de nuestro sistema son fijas, solo captan imágenes en tiempo real sin almacenarlas” El sistema de CCTV lo componen un total de 15 cámaras interiores y 1 cámara exterior, las cuales no disponen de movimiento ni zoom. Las cámaras permanecen en funcionamiento mientras el centro se encuentra abierto, no disponiendo de sistema de grabación de imágenes y por tanto no generando fichero alguno. En el escrito se incorpora una relación de las cámaras y un reportaje fotográfico que incluye por cada una de las mismas, fotografía del dispositivo y la imagen que capta visualizada en el monitor del sistema, así como cuatro planos o croquis con la ubicación del sistema de cámaras en las plantas: sótano, baja, primera y segunda. - De la relación de cámaras interiores, que en su mayoría enfocan pasillos y zonas comunes, acceso al garaje y hall planta sótano, cabe destacar las siguientes: o C/ Jorge Juan, 6 28001 – Madrid Cámara C1 ubicada en el hall de entrada/recepción planta baja. En el mapa o croquis se aprecia la zona en la que se sitúa (folio 25) tratándose de una cámara tipo domo En la imagen visualizada en el monitor del sistema se observa la citada área algo difuminada en la parte central-superior, distinguiéndose poco el puesto de trabajo de recepción situada en la parte baja a la izquierda y el resto que es una zona de acceso, y el vestíbulo del hall. La cámara C4 ubicada en el www.agpd.es sedeagpd.gob.es 3/17 hall vestíbulo planta 1 según la imagen aportada del monitor, aparece difuminada y enfocando a un pasillo lo mismo que la C5 que enfoca al pasillo planta 1, y la C7 pasillo planta 2, aspecto que también se desprende del mapa o croquis (folios 26 y 27). - o Cámara C2 ubicada en la biblioteca planta baja. Visualiza una imagen de baja resolución del interior de la biblioteca, pero sería posible identificar a las personas. Según el croquis la cámara se sitúa entrando a la izquierda (folios 11 y 25). o Las cámaras C3, C6 y C8 de la planta primera, croquis folio 26 están colocadas en un ángulo desde el que es susceptible de abarcar la casi totalidad de las aulas (folios 12-13) visualizan respectivamente el interior de las aulas 11, 14 y 12 en las que se distinguen una serie de puestos informáticos. o La cámara C16 se encuentra instalada en la sala de ocio donde según manifiesta la mercantil denunciada existen diversas máquinas de “vending” y donde se habían producido algunos problemas con personas que intentaron extraer el dinero recaudado en las máquinas. Sólo se aprecia en la imagen que visualiza el monitor, una serie de sillas y mesas sin que se recoja la imagen de la máquina. En el croquis no figura donde se halla la citada Sala, y de la foto aportada, la cámara está en una esquina sobre un monitor. La única cámara exterior indicada como cámara C11, que no es de tipo domo capta una imagen de la entrada principal al recinto con escaso espacio de lo que puede ser vía pública. (folio 14, croquis folio 25). Manifiestan que el sistema de cámaras sólo capta imágenes que son visualizadas en tiempo real. No existe almacenamiento de las imágenes. El monitor de visualización al que están conectadas las cámaras se encuentra instalado sobre un soporte fijado al techo en la zona de recepción, visible solamente al personal de recepción. En el escrito se adjunta una fotografía del monitor. Las cámaras a su vez no están conectadas ni con central de alarmas ni con ninguna otra empresa que pueda monitorizar o hacer uso de las imágenes captadas por el sistema de videovigilancia. Las únicas personas con acceso al sistema de videovigilancia son aquellas que ejercen funciones de recepcionista en el centro CESINEC. 2. Con fecha 13/11/2012, y mediante diligencia telefónica de Inspección se solicita a la entidad denunciada información complementaria al sistema de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/17 videovigilancia instalado. Teniendo entrada en esta Agencia escrito de fecha 20/11/2012 en el que la Sociedad manifiesta que la calidad de las imágenes no es buena debido a las características del equipo de videocámaras, ya que el sistema cumple más un objetivo disuasorio de actos vandálicos en el centro que propiamente la gestión de las imágenes por parte del usuario. Asimismo adjunta la siguiente documentación: Reportaje fotográfico de las imágenes captadas por las cámaras (documento Doc.6) visualizadas desde el monitor de recepción del riesgo CENTRO DE ESTUDIOS CESINEC, con una resolución de imagen similar al documento fotográfico remitido a esta Agencia con fecha 6/08/ 2012. Reportaje fotográfico de las notas informativas sobre la existencia del sistema de videovigilancia, expuestas en el tablón de anuncios del centro y dirigidas por una parte a los empleados y por otra a los usuarios de las instalaciones (alumnos, visitantes,…). TERCERO: El objeto social de la denunciada es el establecimiento de centros de enseñanza de informática, gestión de empresas, marketing y otras enseñanzas empresariales especializadas, de acuerdo con impresión obtenida del Registro Mercantil en la web. CUARTO: Según diligencia de Inspección de 13/11/2012, la denunciada no tiene fichero inscrito en el Registro de la Agencia. QUINTO: Con fecha 3/05/2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a CESINEC SL por una infracción del artículo 4.1 y del 5.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como grave y leve en los artículos 44.3.
- c)y 44.2.c), de dicha norma. SEXTO: Con fecha 13/05/2013 se remite a petición del Secretario Judicial del Juzgado de lo Social 3 de Santander, copia del expediente y de las actuaciones existentes hasta la fecha en el procedimiento. En el oficio de petición figura procedimiento despido, y como demandante la denunciante frente a CESINEC. SÉPTIMO: Notificado el acuerdo de inicio, mediante escrito de fecha 31/05/2013 la denunciada alega: 1) Debe ponerse en tela de juicio lo afirmado en la denuncia sobre que no se haya informado a los trabajadores con carácter previo de la existencia de dicho sistema de vigilancia, pues el mismo está instalado en el edificio desde el mismo momento en que se procedió a la apertura de la nueva sede de CESINEC S.L. en la c/ Simón Cabarga de Santander. Previamente a la apertura e inicio de las actividades en la nueva sede, todas las instalaciones fueron mostradas a los trabajadores, con indicación de los lugares en que prestarían sus servicios y las funciones de cada uno de ellos en este edificio de nueva construcción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/17 La denunciante, mientras ha mantenido su relación laboral con CESINEC S.L., ha venido desempeñando funciones de recepción; por lo tanto no puede aceptarse que sea cierto que no se le informó previa y expresamente de la existencia del sistema de CC VV, y no puede afirmar la denunciante desconocimiento y falta de información previa al respecto de su existencia, ya que resulta evidente que, al menos por prueba de presunciones, que la denunciante fue informada de su existencia previamente al desempeñar sus funciones, ya que la denunciante ha sido precisamente una de las empleadas que podía ver el monitor que recoge las imágenes desde el puesto del servicio de recepción del centro. Ni uno solo del resto de empleados han presentado nunca queja ni reclamación ni denuncia alguna desde entonces sobre tal supuesta falta de información previa de la existencia de dicho sistema de CC VV. Como conclusión, se debe estimar que la información previa existió y por tanto estimar que no se ha cometido la supuesta infracción del art. 44.2-
- c)de la LOPD 2) Además, la finalidad de las cámaras no es la de control laboral (sino el que se explicó en la información previa) ya que el mismo se ejerce particularmente mediante el registro mediante uso / inserción de tarjeta personalizada de cada empleado en el terminal que al efecto para el personal existe en este centro junto a la recepción. Los empleados de CESINEC S.L, acceden al edificio por entrada sita en lugar diferente a la puerta principal del edificio, y en cuya puerta de acceso del personal no hay cámara de vigilancia; y una vez en el edificio los empleados fichan en el terminal sito junto a la recepción y proceden a la apertura de la puerta general de acceso al vestíbulo del centro, con lo cual se hace totalmente innecesario ningún otro control al respecto. Por ello no se ajusta a la realidad lo manifestado en el acuerdo de iniciación del procedimiento sobre que “Los hechos expuestos relacionados con la ausencia de información personalizada a los empleados de la denunciada relativos al sistema de videovigilancia instalado con fines de control de la prestación laboral... “, ya que junto a lo que se ha expuesto en el párrafo anterior es de tener en cuenta a su vez que las cámaras enfocan a la puerta de entrada del vestíbulo del edificio y no hay ninguna que enfoque a la otra puerta de acceso exclusiva del personal (y sin que por otra parte tampoco halla cámara enfocando a la máquina de marcaje para fichar la entrada de los empleados). Acompaña DOCUMENTO N° 2 impresiones de fotografías tomadas a dicha puerta de acceso del personal y a la máquina de fichaje. (86 3) Por lo que respecta a la presunta infracción consistente en que la cámara colocada en la sala de ocio, no enfoca a las maquinas de “vending” a pesar de que el motivo de su instalación en dicho Departamento respondió a evitar el mal uso o abuso de las mismas que hay en dicho departamento, la imagen captada por la misma que se aportó en el expediente de información previa antecedente a este procedimiento sancionador responde a un mero error, motivado a que en la ejecución de labores de limpieza y mantenimiento del edificio (y entre ellas en dicha sala) se ha podido mover involuntariamente el objetivo de la misma. Una vez advertida por esta compañía dicha variación involuntaria de la orientación de tal cámara tras haber presentado esta parte ante este Organismo cuanto nos fue solicitado en el expediente de información previa, se ha procedido de inmediato a reorientar el objetivo de la misma a su posición original, antes por cierto de conocer la apertura del presente procedimiento sancionador. En prueba de ello se adjunta como DOCUMENTO N° 3 impresión de la imagen captada por dicha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/17 cámara que se muestra en el monitor de recepción, en la que se aprecia que está dirigida a las máquinas de “vending”. La propia denunciante no hace ninguna cita ni referencia explícita al respecto de que se hallan vulnerado sus derechos (o los de otras personas o empleados) en materia de datos personales por motivo de que la existencia de la cámara en la sala de ocio ni porque enfocara a la zona de descanso / ocio, ni tampoco manifiesta que se le haya causado daño o perjuicio alguno a ella ni a otro por la existencia de dicha cámara. 4) En el caso no esperado de que se considerara lo contrario y que haya habido infracción del art. 44.3-
- c)de la LOPD, a la vista que del total de las 16 cámaras instaladas solo la de la sala de ocio pudiera considerarse que ha estado en algún momento enfocando indebidamente a las personas que acuden a la misma, y que las otras 15 cumplen su cometido sin infringir la legislación sobre protección de datos personales, con ello se demuestra que la proporcionalidad del sistema es adecuada a la finalidad pretendida con su instalación durante un breve lapso temporal, y dado que además, el tratamiento de datos personales se limita a la captación de imágenes en tiempo real (es decir, la conducta a nuestro juicio más leve de las que comprende dicha definición legal del “tratamiento” de datos), es por ello que en lugar de iniciar el procedimiento sancionador, se debía de haber efectuado un apercibimiento por concurrir las circunstancias que contempla, haber requerido a esta parte para la corrección de la anomalía en plazo. 5) También concurren diversos elementos del artículo 45.5 de la LOPD, como que la actividad de CESINEC SL. no tiene vinculación alguna con la realización de actividad de tratamiento de datos personales. Ninguna clase de perjuicios se ha causado ni a la denunciante ni a terceros más allá de haber podido conocer en un breve tiempo los empleados de la recepción del centro la actividad que las personas realizan en la sala de ocio, y que en cualquier caso sería equivalente lo captado por la cámara a lo que un vigilante de seguridad que pudiera colocarse en la sala podría haber visto. 6) La advertencia mediante circulares y cartelería de la existencia del sistema de CCVV y de la posibilidad de ejercer los derechos de acceso, y otros, regulados en la legislación ad hoc suponen que tiene implantados procedimientos adecuados en el tratamiento de los datos. Ello aparte de la visibilidad de la situación de la cámara en la sala de ocio que facilita que cualquiera habría podido efectuar reclamación al respecto frente a CESINEC SL a lo largo de todos estos años en que el sistema ha venido y viene funcionando. 7) Propone la prueba testifical de algunos empleados a los que identifica para que contesten a
(1)sobre si ha habido información previa por parte de CESINEC SL a los trabajadores de la existencia del sistema de videovigilancia y los motivos de su instalación,
(2)sobre las labores que desempeñaba la denunciante para esta Compañía y si sus funciones y su puesto se encontraba en el mostrador de recepción del centro,
(3)sobre si la cámara de la sala de ocio enfocaba y enfoca a las maquinas de vending,
(4)sobre si en las labores de limpieza y mantenimiento del centro se ha podido involuntariamente modificar el enfoque de la cámara de aquella sala,
(5)sobre si la variación involuntaria del objetivo de la cámara ha permanecido en ese C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/17 estado durante un muy breve lapso temporal,
(6)sobre si ha sido inmediatamente corregida dicha anomalía una vez detectada; y en general sobre cualquier otra cuestión que se considere relevante para el mejor conocimiento de los hechos objeto de este expediente y su más justa resolución con arreglo a derecho. Se considera no admitida esta prueba, pues la mera declaración de empleados vinculados a la empresa no resultaría imparcial al ser esta misma la que los propone y mantener supuestamente la relación de dependencia con la misma, las meras declaraciones no son pruebas concluyentes sobre los hechos denunciados ni sobre los que se ha abierto el procedimiento, y porque pudiera haberse informado a un empleado y no a otros. Otros extremos no son precisos de tal acreditación pues ni siquiera se cuestionan. Finalmente, las declaraciones que la denunciada entienda que le benefician como las propuestas, pueden ser aportadas por ella misma, sin conexión con el período o la fase probatoria. OCTAVO: Con fecha 5/09/2013 se formuló propuesta de resolución, con el literal: “PRIMERO: Que por el Director de la Agencia Española de Protección de Datos se sancione a CESINEC S.L. con multa de 1.300 €, por la infracción del artículo 4.1 de la LOPD, tipificada como grave en el artículo 44.3.
- c)de dicha norma, de conformidad con el artículo 45.1, 2, 4 y 5 de dicha LOPD. SEGUNDO: Que por el Director de la Agencia Española de Protección de Datos se declare el ARCHIVO de la infracción del artículo 5.1 imputada a CESINEC SL, tipificada como leve en el artículo 44.2.
- c)de dicha norma. “ NOVENO: Frente a la propuesta no se recibieron alegaciones. HECHOS PROBADOS 1) CESINEC SL es una entidad que imparte cursos de formación, que tiene en su sede de c/ Simón Cabarga 6 de Santander, diversos despachos, clases, biblioteca o sala de descanso. En dicha sede, que cuenta con planta sótano, baja, primera y segunda se dispone de un sistema de videovigilancia que se instaló en octubre 2002 según contrato que se aporta (18 y 19) (7, 8,11 a 17, 24 a 27, 37). 2) El sistema de videovigilancia instalado en el centro se compone de 16 cámaras
(23). Las cámaras son fijas, no disponen de zoom ni de capacidad de movimiento. Las cámaras no están conectadas a central de alarmas (7,8, 20 a 23).La casi totalidad de las cámaras enfocan pasillos y zonas comunes (7, 11 a 19, CD folio 38). 3) La denunciada aportó una relación de donde se hallan situadas las cámarascroquis- (24 a 27) con las fotos de donde se sitúan físicamente las cámaras y las fotos de las imágenes que estas captan, (8, 11 a 17, CD folio 38). Las imágenes revelan que la casi totalidad de las cámaras enfocan pasillos, zonas comunes, biblioteca y aulas donde existen equipos informáticos para evitar el mal uso de bienes e instalaciones y con fines de seguridad (7, 11 a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/17 17, CD folio 38). 4) El monitor en el que se visionan las imágenes en tiempo real se halla colocado en el techo, sobre el mostrador de recepción, planta baja, orientado hacia el mismo, pudiendo ser visto solo por “las dos personas que hacen labores de recepcionistas (1, 7,8, 17,25), siendo una de ellas la denunciante. Al mismo tiempo, en el espacio de recepción enfocando principalmente al espacio de acogida, entrada o vestíbulo existe la cámara C1, de tipo domo que no se acredita que enfoque al puesto de recepcionista principalmente sino al espacio de entrada en recepción delante de recepción (25, CD folio 38 imagen C1, 37, 40). No se recoge imagen del espacio de recepción sino mas a la derecha del vestíbulo
(11)según la imagen que refleja el monitor cuya foto se aportó
(11). No se puede deducir que la cámara este enfocando el puesto de trabajo de la recepcionista ni que se esté usando para el control de la prestación laboral de las personas que son recepcionistas. (11 y 27, 17). 5) Una de las cámaras, la C16 según las fotos aportadas por la denunciada en agosto 2012, se encuentra colocada empotrada en el techo, en una esquina de la habitación, sala de ocio o descanso para vigilar la máquina de vending para prevenir extracciones de dinero. En el momento en que aportó la imagen que se capta, se enfocaba a las personas que podían estar en dicho espacio de ocio o descanso siendo identificables (16, CD folio 38 foto C 16, 37, 45, 87,97). La denunciada aporta en mayo 2013, durante la tramitación la imagen que se capta ahora
(97)en la que se ve principalmente las maquinas de vending, manifestando que ha corregido el defecto (86,87). 6) Según manifiesta la denunciada, el acceso de los empleados no se hace por la misma entrada que la del público que entra en recepción o entrada principal
(86), no existiendo cámara que enfoque la entrada de los empleados o el lugar en el que efectúan el fichaje de asistencia (86, 96, 96). 7) Del sistema de videovigilancia se avisa al público con un cartel antes de entrar en el edificio y una vez sobrepasado el acceso junto a recepción Además en un tablón informativo la empresa dispone de una nota informativa al personal fechada el 9/01/2011. La nota se titula “Circular existencia cámaras de videovigilancia“, informa de la instalación del sistema por motivos de seguridad, que las imágenes se ven en el monitor situado cerca de recepción y que las cámaras enfocan zonas comunes, salida de emergencia y aulas con equipos informáticos así como en la sala de ocio donde existen diversas maquinas por el mal uso que se ha hecho en alguna ocasión y que dichas cámaras son fijas y captan imágenes en tiempo real. La misma nota existe en otro ejemplar en el tablón, debajo de la reseñada anteriormente, pero “dirigida a los alumnos” (8, 10, 28, 37 CD folio 38 fotos informativas, 56 a 58). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 II El artículo 1 de la de la Ley Orgánica 15/1999, de 13/12, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la LOPD señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el apartado
- a)del artículo 3 de la LOPD, como “Cualquier información concerniente a personas físicas identificadas o identificables”. El artículo 3 de la LOPD define en su letra
- c)el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. Por su parte, la Instrucción 1/2006, de 8/11, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras (en lo sucesivo Instrucción 1/2006), en sus artículos 1.1 y 2 señala lo siguiente: “Artículo 1.1. La presente Instrucción se aplica al tratamiento de datos personales de imágenes de personas físicas identificadas o identificables, con fines de vigilancia a través de sistemas de cámaras y videocámaras. El tratamiento objeto de esta Instrucción comprende la grabación, captación, transmisión, conservación, y almacenamiento de imágenes, incluida su reproducción o emisión en tiempo real, así como el tratamiento que resulte de los datos personales relacionados con aquéllas. Se considerará identificable una persona cuando su identidad pueda determinarse mediante los tratamientos a los que se refiere la presente instrucción, sin que ello requiera plazos o actividades desproporcionados. Por tanto, pese a que algunas imágenes se capten parte de los espacios de forma difuminada, en otras, se hace fácilmente posible la identificación de las personas, siendo aplicable la LOPD. Cabe diferenciar las imágenes que captan datos personales y se almacenan en cualquier tipo de soporte, de las que se visionan en tiempo real y además no se almacenan. La Instrucción de videovigilancia a tal efecto indica en su artículo 7: 1. La persona o entidad que prevea la creación de ficheros de videovigilancia deberá notificarlo previamente a la Agencia Española de Protección de Datos, para su inscripción en el Registro General de la misma. 2. A estos efectos, no se considerará fichero el tratamiento consistente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/17 exclusivamente en la reproducción o emisión de imágenes en tiempo real.” En el presente supuesto se trata de imágenes visionadas en tiempo real y la denunciada no tiene inscrito fichero alguno, adaptándose al apartado segundo. III De conformidad con el artículo 2 de la Instrucción 1/2006 1. Sólo será posible el tratamiento de los datos objeto de la presente instrucción, cuando se encuentre amparado por lo dispuesto en el artículo 6.1 y 2 y el artículo 11.1 y 2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. 2. Sin perjuicio de lo establecido en el apartado anterior la instalación de cámaras y videocámaras deberá respetar en todo caso los requisitos exigidos por la legislación vigente en la materia.” El artículo 6.1 y 2 de la LOPD al que se refiere el artículo 2 de la Instrucción 1/2006 señala: “el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. 2 No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” Es preciso conocer en este caso, qué ley puede habilitar el tratamiento de datos personales-imágenes- en sentido genérico, y si en el ámbito laboral, se exige algún plus a dicha legitimación. En el plano genérico, la habilitación legal para el tratamiento de las imágenes de las personas físicas con fines de vigilancia procede de la Ley 25/2009, de 27/12, de modificación de diversas leyes para su adaptación a la Ley 17/2009, de 23/11, sobre el libre acceso a las actividades de servicios. Esta modifica la Ley 23/1992, de 30/06, de Seguridad Privada añadiendo una Disposición Adicional Sexta en la que se determina que cualquier particular o empresa cuya actividad no sea la propia de una empresa de seguridad privada podrá “vender, entregar, instalar y mantener equipos técnicos de seguridad” sin necesidad de cumplir las exigencias previstas en la Ley de Seguridad Privada para tales empresas. De este modo, dado que la ley permite la instalación y mantenimiento de dichos equipos por empresas distintas a las de seguridad privada, legitima a quienes adquieran de estos dispositivos para tratar los datos personales derivados de la captación de las imágenes sin necesidad de acudir a empresas de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/17 seguridad privada, siendo dicho tratamiento conforme a lo previsto en la LOPD. Sólo será necesario que se cumplan los requisitos exigidos tanto en la Ley de Seguridad Privada como en su Reglamento, y que hasta ahora debían de cumplirse en todos los casos; esto es, empresa de seguridad debidamente autorizada por el Ministerio del Interior, previa inscripción en su Registro y notificación del contrato, cuando el dispositivo de seguridad esté conectado a una central de alarmas. En el presente supuesto, una de las finalidades de la instalación era la protección del acceso al edificio, así como la captación de espacios comunes como pasillos, bibliotecas o halls y de equipos informáticos. Se observa de la captación de imágenes que la finalidad de la instalación no es el control del desempeño laboral ni de la denunciante ni de cualquier otro empleado, pues ni enfoca directamente a algún puesto de trabajo ni al control de fichajes. En tal sentido, para la finalidad declarada y en este caso, la denunciada no precisa para su instalación y funcionamiento del consentimiento de los empleados ni de los alumnos, ni por otro lado, de las personas que al centro acudan. Se precisa eso sí, una información completa en la entrada del recinto, siendo también aconsejable otro cartel en cada planta en la que funcione el sistema, aspecto que luego será examinado. Además, y en todo caso, el tratamiento de las imágenes deberá cumplir los restantes requisitos exigibles en materia de protección de datos de Carácter Personal, recogidos en la Ley Orgánica y, en particular, en la Instrucción 1/2006 de la Agencia Española de Protección de Datos. Por un lado, el artículo 4.1 de la LOPD indica “1. Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” Este artículo consagra el principio de pertinencia en el tratamiento de los datos de carácter personal, que impide el tratamiento de aquellos que no sean necesarios o proporcionados a la finalidad que justifica el tratamiento, debiendo restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. En consecuencia, el tratamiento del dato ha de ser “pertinente” al fin perseguido. Esta pertinencia y proporcionalidad se concreta en el artículo 4 de la Instrucción 1/2006 que indica: “1. De conformidad con el artículo 4 de la Ley Orgánica 15/1999 de 13 de diciembre, de Protección de Datos de Carácter Personal, las imágenes sólo serán tratadas cuando sean adecuadas, pertinentes y no excesivas en relación con el ámbito y las finalidades determinadas, legítimas y explícitas, que hayan justificado la instalación de las cámaras o videocámaras. 2. Sólo se considerará admisible la instalación de cámaras o videocámaras cuando la finalidad de vigilancia no pueda obtenerse mediante otros medios que, sin exigir esfuerzos desproporcionados, resulten menos intrusivos para la intimidad de las personas y para su derecho a la protección de datos de carácter personal. 3. Las cámaras y videocámaras instaladas en espacios privados no podrán obtener imágenes de espacios públicos salvo que resulte imprescindible para la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/17 finalidad de vigilancia que se pretende, o resulte imposible evitarlo por razón de la ubicación de aquéllas. En todo caso deberá evitarse cualquier tratamiento de datos innecesario para la finalidad perseguida.” En el presente supuesto, las finalidades son lícitas y por otro lado, la calidad de las imágenes hace identificables en la mayoría de espacios a las personas, siendo las cámaras de tipo fijo, sin zoom ni movimiento. Asimismo, solo hay un monitor que es visible por el personal de recepción por la posición en la que se encuentra. Sin embargo, por no adecuarse a la finalidad de protección y vigilancia de las instalaciones, habría que destacar que la cámara de la Sala de Ocio, tanto por el lugar en que está colocada; en un ángulo final de la habitación, el ángulo que enfoca respecto a lo que se quiere proteger, la máquina de vending, así como la imagen obtenida, que no es la máquina citad, sino la de personas sentadas descansando, no se adecuaría a la finalidad declarada, y ello con independencia de que pueda albergar a alumnos y/o empleados, pues está realizando un tratamiento de imágenes de personas descansando, sin que se cumpla la principal finalidad que parece ser la de vigilancia de la máquina instalada, pues de las imágenes aportadas, no se visualiza ni total ni parcialmente esta. La temporalidad que hace suponer la corrección del enfoque puede tenerse en cuenta a la hora de graduación de la responsabilidad, pero lo cierto es que tanto en la documentación de la denunciada entrada el 6/08/2012 como la que se envía el 20/11/2012 por correo electrónico, la cámara de esta sala enfoca el espacio de descanso, sillas y mesas, y no la de la máquina cuya imagen se aporta en las alegaciones al acuerdo de inicio. Los hechos expuestos relacionados con la instalación de la cámara en la Sala de Ocio, suponen por parte de CESINEC la comisión de una infracción del artículo 4.1 de la LOPD, que señala que “ Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” en relación con el artículo 4.1 de la Instrucción 1/2006, IV Los hechos expuestos relacionados con la ausencia de información personalizada a los empleados de la denunciada relativos al sistema de videovigilancia instalado con fines de control de la prestación laboral, supusieron la apertura de este procedimiento imputando a CESINEC la comisión de una infracción del artículo 5. 1 de la LOPD que determina: “Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/17
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante.”. En cuanto a la facultad del empleador del control de la prestación laboral mediante el sistema de videovigilancia deriva del poder de control del mismo (art. 20.3 de la Ley del Estatuto de los Trabajadores, en adelante LET), que comprende entre otras facultades, la de adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento del trabajador de sus obligaciones laborales. Esta facultad ha de producirse en todo caso, como es lógico, dentro del debido respeto a la dignidad del trabajador, como expresamente nos lo recuerda la normativa laboral (arts. 4.2. e y 20.3 LET) y la Sentencia del Constitucional (STCO 98/2000, de 10 de abril de 2000) que destaca en su fundamento jurídico 6 que “… Estas limitaciones empresariales tienen que ser las indispensables y estrictamente necesarias para satisfacer un interés empresarial merecedor de tutela y protección, de manera que si existen otras posibilidades de satisfacer dicho interés menos agresivas y afectantes del derecho en cuestión, habrá que emplear estas últimas y no aquellas otras más agresivas y afectantes. Se trata, en definitiva, de la aplicación del principio de proporcionalidad.” Sin embargo, como detalla la sentencia del Tribunal Constitucional en el recurso de amparo 29/2013, de 11/02/2013, en su fundamento de derecho 7, al final: “no será suficiente que el tratamiento de datos resulte en principio lícito, por estar amparado por la Ley (arts. 6.2 LOPD y 20 LET), o que pueda resultar eventualmente, en el caso concreto de que se trate, proporcionado al fin perseguido; el control empresarial por esa vía, antes bien, aunque podrá producirse, deberá asegurar también la debida información previa”, y en el 8: “No contrarresta esa conclusión que existieran distintivos anunciando la instalación de cámaras y captación de imágenes en el recinto universitario, ni que se hubiera notificado la creación del fichero a la Agencia Española de Protección de Datos; era necesaria además la información previa y expresa, precisa, clara e inequívoca a los trabajadores de la finalidad de control de la actividad laboral a la que esa captación podía ser dirigida.” El tratamiento se limitará a las finalidades previstas por el Estatuto de los Trabajadores, y/o en todo caso a finalidades legítimas reconocidas por la normativa vigente, debiendo cumplir en este último caso adicionalmente las previsiones específicas que sean de aplicación, entre las que cabe destacar:
- a)Respetarán de modo riguroso el principio de proporcionalidad.
- b)Se adoptará esta medida cuando no exista otra más idónea.
- c)Las instalaciones, en caso de utilizarse, se limitarán a los usos estrictamente necesarios captando imágenes en los espacios indispensables para satisfacer las finalidades de control laboral.
- d)No podrán utilizarse estos medios para fines distintos de los propios del control laboral salvo que se trate de fines legítimos y se adopten las medidas pertinentes para el cumplimiento de la normativa que les sea de aplicación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/17
- e)Tendrán en cuenta los derechos específicos de los trabajadores respetando: - Los derechos a la intimidad y el derecho fundamental a la protección de datos en relación con espacios vetados a la utilización de este tipo de medios como vestuarios, baños, taquillas o zonas de descanso. - Se garantizará el derecho a la información en la recogida de las imágenes: - Con información específica a la representación sindical. Mediante el cartel anunciador y el impreso establecidos por la instrucción 1/2006.- Mediante información personalizada - En el examen de este sistema de cámaras que tiene la denunciada, no se aprecia que haya habido una información dirigida a los trabajadores sobre el uso de las cámaras para la finalidad de control del desempeño laboral, con información previa y expresa, precisa, clara e inequívoca a los trabajadores de la finalidad de control de la actividad laboral a la que esa captación podía ser dirigida, pero es que tampoco se aprecia que las cámaras tengan la finalidad de control laboral, sino de un control de las instalaciones. A tal efecto tiene relevancia la captación de imágenes de espacios de uso público relacionado con la enseñanza en las aulas y la biblioteca donde existen infraestructuras dignas de protección. Por tanto, no puede prosperar la imputación del artículo 5.1 de la LOPD por ausencia de información del sistema de videovigilancia a los empleados al no considerarse que la finalidad del sistema sea la de control laboral. Adicionalmente, y en cuanto a la información que cabe esperar de la recogida de datos por el sistema de videovigilancia que existe en la entidad denunciada, como se señala en el hecho probado 6, se cumplen los requisitos que la norma y la Instrucción requieren. Procede así el archivo de la infracción del artículo 5.1 incoado a la denunciada. V La infracción del artículo 4.1 de la LOPD está tipificada como grave en el artículo 44.3.
- c)de dicha norma, que considera como tal “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave.” VI El artículo 45 de la LOPD, establece, en su apartado 1, 2 y 4 a 5, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 € a 40.000 €. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/17 “2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros.” 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción. b El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza. infracción.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5 El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» La denunciada solicita la aplicación del artículo 45.5 de la LOPD en base a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/17 actividad de CESINEC SL no tiene vinculación con la realización de actividad de tratamiento de datos personales, no se han causado daños ni a la denunciante ni a terceros y que en cualquier caso sería lo captado por la cámara sería equivalente a lo que un vigilante de seguridad que pudiera colocarse en la sala podría haber visto. Se aprecia que la denunciada ha corregido la situación irregular (45.5.
- b)de la LOPD, y que solo en esa cámara se producía un enfoque irregular, sin que se graben las imágenes, pudiéndose aplicar la reducción solicitada. Teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD y, en especial, que la actividad de la denunciada no está ligada con el tratamiento de datos, que las imágenes son en tiempo real y se subsanó en cuanto se recibió el acuerdo de inicio, se propone una sanción por la infracción del artículo 4.1 de 1.300 euros. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad CESINEC S.L., por una infracción del artículo 4.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de dicha norma, una multa de 1.300 € de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: DECLARAR el ARCHIVO de la infracción del artículo 5.1 de la LOPD imputado a CESINEC S.L.. TERCERO: NOTIFICAR la presente resolución a CESINEC S.L. y a A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/17 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es