← España

PS-00231-2022

1/9  Expediente N.º: EXP202200866 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 17/01/2022, tuvo entrada en esta Agencia Española de Protección de Datos un escrito presentado por A.A.A. (en adelante, la parte reclamante), mediante el que formula reclamación contra B.B.B. con NIF ***NIF.1 (en adelante, la parte reclamada), por la instalación de un sistema de videovigilancia ubicado en ***DIRECCIÓN.1, existiendo indicios de un posible incumplimiento de lo dispuesto en la normativa de protección de datos de carácter personal. Los motivos que fundamentan la reclamación son los siguientes: “En la compra de un producto ve una cámara en frente mía dentro del local grabándome y no hay cartel que me advierta de mi grabación ni dirección donde reclamar, rectificar o anular dicha grabación ni la empleada. Tampoco el día 15/01/2022 cuando vuelvo de nuevo (…).” Adjunta copia del ticket de compra de fecha 16/12/2022 y reportaje fotográfico del exterior del local y de la ubicación de la cámara. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 27/01/2022 se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos; pero fue “Devuelto a origen por sobrante (no retirado en oficina)”, según el Aviso emitido por Correos. El traslado se reiteró por partida doble el 18/02/2022, uno a la dirección de la parte reclamada y otro a su establecimiento “***ESTABLECIMIENTO.1”, resultando “Entregado” en ambas ocasiones los días 01/03/2022 y 25/02/2022, respectivamente. TERCERO: El 18/03/2022 se recibe en esta Agencia respuesta de la parte reclamada en la que aporta copia del contrato formalizado con la empresa de seguridad y reportaje fotográfico de la ubicación de la cámara y del cartel de la empresa de seguridad. Con fecha 21/03/2022, se le solicita a la parte reclamada como información adicional fotografías nítidas del cartel y del monitor, entre otra; resultando notificado el 31/03/2021. A día de hoy, esta Agencia no ha recibido contestación alguna. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 CUARTO: Con fecha 17/04/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. QUINTO: Con fecha 20/06/2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 del RGPD. SEXTO: El 30/06/2022 se le notifica a la parte reclamada el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP; y presenta escrito de alegaciones en el que, en síntesis, señala lo siguiente: “[…] Se adjuntan a este escrito fotografías relativas al local donde se refleja que tanto en el interior como en el exterior de éste se hace mención de que se está grabando imágenes. Que la grabación de estas imágenes se hace con la única finalidad de evitar hurtos en el establecimiento, por ello la cámara instalada lo es por la empresa de seguridad que lleva el sistema de seguridad del comercio. Que, por ello se pensó que con el cartel situado en la entrada donde se menciona la existencia de grabación de imágenes por lo que el cliente es conocedor de esta circunstancia, y en particular, con la finalidad de evitar robos o hurtos. Que en el cartel se especifica claramente que la titular del establecimiento comercial es la responsable del tratamiento de estos datos y, lógicamente, es ante quien se deben ejercitar los derechos que asisten a los clientes. (…)” Adjunta reportaje fotográfico del local, de los carteles y de la imagen capturada por el monitor de la cámara de videovigilancia. SÉPTIMO: Con fecha 13/09/2022, la instructora del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, EXP202200866, así como los documentos aportados por la reclamada en fecha 11/07/2022. OCTAVO: Con fecha 20/09/2022, se formuló propuesta de resolución en la que se proponía sancionar con una multa de 300€ a la parte reclamada por la infracción del artículo 13 del RGPD, por no disponer en su establecimiento de los debidos carteles informativos de zona videovigilada. También, se ordenaba que, en el plazo de diez días hábiles desde la fecha en la que la resolución en que así lo acuerde le sea notificada, la parte reclamada proceda a cumplimentar adecuadamente los distintivos con la información exigida por el RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 NOVENO: La propuesta de resolución se notificó el 27/10/2022 a la parte reclamada en la dirección correspondiente a su establecimiento a través de correo postal. A día de hoy, en esta Agencia no consta respuesta alguna. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Instalación de una cámara de videovigilancia en el interior del establecimiento “***ESTABLECIMIENTO.1” perteneciente a la parte reclamada, sito en ***DIRECCIÓN.1 SEGUNDO: Consta identificado como principal responsable de la instalación B.B.B. con NIF ***NIF.1. TERCERO: Existencia de un cartel de “Alarma Zerovisión con intervención inmediata” de la empresa “Securitas Direct” en el exterior del local que indica lo siguiente: - Grabación de imágenes. - Impide la visión al intruso. - Aviso a Policía 24h. CUARTO: El cartel amarillo de zona videovigilada colocado en el interior del establecimiento señala lo siguiente: - “Responsable”: B.B.B.. - “Puede ejercitar sus derechos de protección de datos ante”: B.B.B.. - “Más información sobre el tratamiento de sus datos personales”: B.B.B.. QUINTO: Esta Agencia ha notificado a la parte reclamada la propuesta de resolución del presente procedimiento sancionador, pero esta no ha presentado alegaciones ni pruebas que contradigan los hechos denunciados. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II En el presente caso procede examinar la reclamación de 17/01/2022 presentada en esta Agencia en la que se pone de manifiesto la existencia de una cámara de videovigilancia en el interior del establecimiento “***ESTABLECIMIENTO.1”, propiedad de la parte reclamada, ubicado en ***DIRECCIÓN.1; sin que esté debidamente señalizada mediante los preceptivos carteles informativos de zona videovigilada. De conformidad con lo establecido en el artículo 4.1 del RGPD, la imagen física de una persona es un dato personal y, por tanto, su recogida y conservación da lugar a un tratamiento de datos personales. El artículo 5 del RGPD enumera los principios que han de regir dicho tratamiento y, en concreto, el apartado 1 letra

  1. a)dispone que: “Los datos personales serán:
  2. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»). En este sentido, el artículo 12 del RGPD indica que quien lleve a cabo un tratamiento de datos personales, como es la captación de imágenes mediante un sistema de videovigilancia, deberá suministrar a los interesados la información indicada en los artículos 13 y 14 del RGPD. Con la finalidad de que el deber de información previsto en el artículo 12 del RGPD se cumpla de manera concisa y comprensible para el afectado, el artículo 22.4 de la LOPDGDD dispone que: “se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información. En todo caso, el responsable del tratamiento deberá mantener a disposición de los afectados la información a la que se refiere el citado reglamento.” Esto significa que el deber de información se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible, y como mínimo, en los accesos a las zonas vigiladas ya sean interiores o exteriores. En caso de que el espacio videovigilado disponga de varios accesos deberá disponerse de dicho distintivo de zona videovigilada en cada uno de ellos. Esta infracción se tipifica en el artículo 83.5.
  3. b)del RGPD: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 (…)
  4. b)Los derechos de los interesados a tenor de los artículos 12 a 22; A efectos del plazo de prescripción de las infracciones, la misma se considera muy grave y prescribe a los tres años, conforme al artículo 72.1.
  5. h)de la LOPDGDD, que establece que: (…)
  6. h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta Ley Orgánica.” III De conformidad con las evidencias de las que se dispone en el presente procedimiento sancionador, se considera que el cartel colocado en el exterior del establecimiento, bajo la rúbrica “Alarma Zerovisión con intervención inmediata”, carece de la preceptiva información exigida por el RGPD. Por su parte, el cartel amarillo de zona videovigilada no se aprecia en ninguna de las fotografías tomadas del interior del local. Si se analiza la fotografía que la parte reclamada toma de cerca al distintivo se puede observar que está colocado en una pared muy similar a la que está situada detrás del mostrador. De este modo, si se compara esa imagen con el resto de las fotografías, ese cartel no figura en ningún momento detrás del mismo. Además, en el escrito de alegaciones al acuerdo de apertura, la parte reclamada señala que “se pensó que con el cartel situado en la entrada donde se menciona la existencia de grabación de imágenes por lo que el cliente es conocer de esta circunstancia”; por lo que se podría entender que únicamente tenía colocado el cartel exterior en el momento de la presentación de la reclamación al considerar que era suficiente. En cualquier caso, si ya existiera en el momento de iniciarse el presente procedimiento sancionador, el mencionado cartel carece de la información enumerada con anterioridad ya que solo contiene los siguientes datos: - “Responsable”: B.B.B.. - “Puede ejercitar sus derechos de protección de datos ante”: B.B.B.. - “Más información sobre el tratamiento de sus datos personales”: B.B.B.. De este modo, ninguno de los carteles recoge toda la información requerida por la normativa, debiendo informar acerca de la identidad del responsable, no solo su nombre, sino también dirección; la posibilidad de ejercitar los derechos reconocidos en los artículos 15 a 22 del RGPD y a través de qué vía, así como dónde podrá obtener el interesado el resto de la información exigida de conformidad con el RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 Por tanto, el deber de información de los afectados no queda cubierto con la presencia de los dos distintivos colocados en el local, al no estar cumplimentados debidamente; lo que supone una infracción del artículo 13 del RGPD. IV Los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, se establecen en el artículo 58.2 del RGPD. Entre ellos se encuentran la potestad de imponer una multa administrativa con arreglo al artículo 83 del RGPD -artículo 58.2 i)-, o la potestad de ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un plazo especificado -artículo 58. 2 d). En el presente caso, se considera oportuno sancionar a la parte reclamada por la infracción del artículo 13 del RGPD de la que es responsable, con la imposición de una multa administrativa que deberá ser individual, efectiva, proporcionada y disuasoria, de acuerdo con el artículo 83.1 del RGPD. A fin de determinar la multa administrativa a imponer se han de observar las previsiones del artículo 83.2 del RGPD, que indica: “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  7. a)a
  8. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  9. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  10. b)la intencionalidad o negligencia en la infracción;
  11. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  12. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  13. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  14. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  15. g)las categorías de los datos de carácter personal afectados por la infracción;
  16. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9
  17. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  18. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42,
  19. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, en relación con la letra
  20. k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  21. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  22. a)El carácter continuado de la infracción.
  23. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  24. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  25. d)La posibilidad de que la conducta del afectado hubiera podido incluir a la comisión de la infracción.
  26. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente
  27. f)La afectación a los derechos de los menores
  28. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  29. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. El balance de las circunstancias contempladas, con respecto a la infracción cometida al vulnerar lo establecido en su artículo 13 del RGPD, permite fijar una multa de 300€ (trescientos euros). Asimismo, al amparo de lo dispuesto en el artículo 58.2
  30. d)del RGPD, se le ordena a la parte reclamada que, en el plazo de diez días hábiles desde la fecha en la que la resolución en que así lo acuerde le sea notificada, acredite: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 - Haber completado la información de los distintivos atendiendo a las exigencias del RGPD. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a B.B.B., con NIF ***NIF.1, por una infracción del artículo 13 del RGPD, tipificada en el artículo 83.5.
  31. b)del RGPD, una multa de 300€ (trescientos euros). SEGUNDO: ORDENAR a B.B.B., con NIF ***NIF.1 que, en el plazo de DIEZ DÍAS HÁBILES desde la fecha en la que la resolución en que así lo acuerde le sea notificada, acredite: - Haber completado la información de los distintivos atendiendo a las exigencias del RGPD. TERCERO: NOTIFICAR la presente resolución a B.B.B., con NIF ***NIF.1. CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  32. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  33. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-181022 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.