1/8 Procedimiento Nº PS/00244/2015 RESOLUCIÓN: R/02734/2015 En el procedimiento sancionador PS/00244/2015, instruido por la Agencia Española de Protección de Datos a la entidad TRAGO LOCO, vista la denuncia presentada por DELEGACION DEL GOBIERNO EN ILLES BALEARS, y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 11/6/14 tiene entrada en esta Agencia escrito de la DELEGACION DEL GOBIERNO EN ILLES BALEARS remitiendo denuncia, formulada el día 20/05/14 por si los hechos allí formulados pudieran ser constitutivos de una infracción de la Ley Orgánica de Protección de Datos. SEGUNDO: Se refiere la denuncia a la inspección realizada en el establecimiento denominado TRAGO LOCO sito en la (C/........1) de Palma de Mallorca. En dicha inspección quedó acreditado lo siguiente: <<< En el local se observa que en la parte superior de la puerta de acceso hay una cámara de video, la cual apunta hacia la calle con intención de ver quien se acerca al local, teniéndose que llamar a un timbre para franquear la puerta si el dueño del establecimiento lo estima oportuno….En el monitor que hay detrás de la barra del bar se observa que la cámara de vigilancia anteriormente reseñada está dirigida hacia el exterior del local y se ve claramente la acera y parte de la calzada de la calle Robert Graves >>> TERCERO: Consta en esta Agencia expediente sancionador abierto al responsable del establecimiento BAR TRAGO LOCO por la presencia de un sistema de videovigilancia que capta imágenes de la vía pública, que finalizó por resolución del Director de la Agencia de fecha 4/7/12, sancionando al responsable de dicho establecimiento por las infracción del artículo 6 de la LOPD CUARTO: Con fecha 14/5/15, por el Director de la Agencia, se acordó la apertura del presente procedimiento sancionador a BAR TRAGO LOCO por la presunta infracción del art. 6 de la LOPD QUINTO Con fecha 19/5/15 se remitió al denunciado, con acuse de recibo, notificación del Acuerdo de Inicio. Certificando el Servicio de Correos, que dicho aviso no fue recogido de la oficina por el denunciado. SEXTO: El citado acuerdo de inicio de procedimiento sancionador fue publicado en el Boletín Oficial del Estado, en fecha 19/6/15, otorgándose al denunciado plazo para efectuar alegaciones a dicho acuerdo, acabando el mismo sin que por parte de éste se presentara escrito alguno SEPTIMO: Que se han procedido a incorporar al expediente, el informe aportado en el escrito de denuncia, y en base a la presunción de veracidad de la fuerza denunciante (Cuerpo Nacional de Policía) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 OCTAVO: Transcurrido el plazo concedido para formular alegaciones al acuerdo de inicio sin que se hayan recibido las mismas, el citado acuerdo se considera propuesta de resolución, por lo que procede a elevar el procedimiento a la resolución de la Directora de la Agencia Española de Protección de Datos, en virtud de lo previsto en el artículo 13.2 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el ejercicio de la potestad sancionadora HECHOS PROBADOS 1º Consta denuncia de la Policía Nacional (Palma de Mallorca) de fecha 20/5/14 en la que se pone de manifiesto que, en la puerta de acceso al establecimiento denominado “TRAGO LOCO”, sito en la (C/........1) de Palma de Mallorca, está instalada una cámara de videovigilancia que está dirigida a la vía pública con la finalidad de visionar las personas que pretenden acceder al local. 2º Consta en esta agencia expediente sancionador abierto al responsable del establecimiento BAR TRAGO LOCO por la presencia de un sistema de videovigilancia que capta imágenes de la vía pública, que finalizó por resolución del Director de la Agencia de fecha 4/7/12, sancionando al responsable de dicho establecimiento por las infracción del artículo 6 de la LOPD 3º Que intentada la notificación del acuerdo de inicio a la entidad denunciada, no se pudo realizar la misma. 4º Consta notificado mediante su publicación en el Boletín Oficial del Estado el día 19/6/15 5º No han efectuado alegaciones al acuerdo de inicio del procedimiento sancionador PS/00244/2015 por parte del denunciado FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II La LOPD en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma ley orgánica establece: “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 El artículo. 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento, de encargado de tratamiento y de cesión de datos: “
- d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento…...
- g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento…… I) Cesión o comunicación de datos: toda revelación de datos realizada a la persona distinta del interesado.” La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d), arriba citado, que incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. En el presente caso, la entidad Bar Trago Loco es responsable del tratamiento relazado por el sistema de videovigilancia instalado en dicho local. III Con carácter previo, procede situar la materia de videovigilancia en su contexto normativo. Así el artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar” En cuanto al ámbito de aplicación de la LOPD, el artículo 2.1 de la misma señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”, definiéndose el concepto de dato de carácter personal en el apartado
- a)del artículo 3 de la LOPD, como “Cualquier información concerniente a personas físicas identificadas o identificables”. El artículo 3 de la LOPD define en su letra
- c)el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. El artículo 5.1.
- f)del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, define datos de carácter personal como: “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables”, mientras que el artículo 5
- t)del RD 1720/2007 como “cualquier operación o procedimiento técnico, sea o no automatizado, que permita la recogida, grabación, conservación, elaboración, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 modificación, consulta, utilización, cancelación, bloqueo o supresión, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este mismo sentido se pronuncia el artículo 2.
- a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, según el cual, a efectos de dicha Directiva, se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Asimismo, el Considerando 26 de esta Directiva se refiere a esta cuestión señalando que, para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona para identificar a aquélla. La Exposición de Motivos de la Instrucción 1/2006, de 8 de noviembre, de esta Agencia Española de Protección de Datos, relativa al tratamiento de los datos con fines de videovigilancia señala que: “La seguridad y la vigilancia, elementos presentes en la sociedad actual, no son incompatibles con el derecho fundamental a la protección de la imagen como dato personal, lo que en consecuencia exige respetar la normativa existente en materia de protección de datos, para de esta manera mantener la confianza de la ciudadanía en el sistema democrático”. Sigue señalando: “Las imágenes se consideran un dato de carácter personal, en virtud de los establecido en el artículo 3 de la Ley Orgánica 15/1999…”. La garantía del derecho a la protección de datos, conferida por la normativa de referencia, requiere que exista una actuación que constituya un tratamiento de datos personales en el sentido expresado. En otro caso las mencionadas disposiciones no serán de aplicación. Por su parte, la citada Instrucción 1/2006, dispone en su artículo 1.1 lo siguiente: “1. La presente Instrucción se aplica al tratamiento de datos personales de imágenes de personas físicas identificadas o identificables, con fines de vigilancia a través de sistemas de cámaras y videocámaras. El tratamiento objeto de esta Instrucción comprende la grabación, captación, transmisión, conservación, y almacenamiento de imágenes, incluida su reproducción o emisión en tiempo real, así como el tratamiento que resulte de los datos personales relacionados con aquéllas. Se considerará identificable una persona cuando su identidad pueda determinarse mediante los tratamientos a los que se refiere la presente instrucción, sin que ello requiera plazos o actividades desproporcionados. Las referencias contenidas en esta Instrucción a videocámaras y cámaras se entenderán hechas también a cualquier medio técnico análogo y, en general, a cualquier sistema que permita los tratamientos previstos en la misma.” La Instrucción 1/2006 en su artículo 2 establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 “1. Sólo será posible el tratamiento de los datos objeto de la presente instrucción, cuando se encuentre amparado por lo dispuesto en el artículo 6.1 y 2 y el artículo 11.1 y 2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. 2. Sin perjuicio de lo establecido en el apartado anterior la instalación de cámaras y videocámaras deberá respetar en todo caso los requisitos exigidos por la legislación vigente en la materia.” De lo anteriormente expuesto se desprende que el concepto de dato personal, según la definición de la LOPD, requiere la concurrencia de un doble elemento: por una parte, la existencia de una información o dato y, por otra, que dicho dato pueda vincularse a una persona física identificada o identificable, por lo que la imagen de una persona física identificada o identificable constituye un dato de carácter personal IV Debe tenerse en cuenta que el tratamiento de imágenes en lugares públicos sólo puede ser realizado, salvo que concurra autorización gubernativa, por las Fuerzas y Cuerpos de Seguridad, o que opere la excepción establecida el artículo 4.3 de la Instrucción 1/2006 de esta Agencia que establece: “las cámaras y videocámaras instaladas en espacios privados no podrán obtener imágenes de espacios públicos salvo que resulte imprescindible para la finalidad de vigilancia que se pretende, o resulte imposible evitarlo por razón de la ubicación de aquellas. En todo caso deberá evitarse cualquier tratamiento de datos innecesario para la finalidad perseguida” No obstante, en algunas ocasiones la protección de los espacios privados sólo es posible si las cámaras se ubican en espacios como las fachadas. A veces también resulta necesario captar los accesos, puertas o entradas, de modo que aunque la cámara se encuentre en el interior del edificio, resulta imposible no registrar parte de lo que sucede en la porción de vía pública que inevitablemente se capta Para que esta excepción resulte aplicable, no deberá existir una posibilidad de instalación alternativa. Debiendo tenerse en cuenta que: - El responsable del fichero adecuará el uso de la instalación de modo que el impacto en los derechos de los viandantes sea el mínimo posible. - En ningún caso se admitirá el uso de prácticas de vigilancia más allá del entorno objeto de la instalación y en particular en lo que se refiere a los espacios públicos circundantes, edificios contiguos y vehículos distintos de los que accedan al espacio vigilado. Esta última precisión no viene sino a recoger el principio de proporcionalidad en todo tratamiento de datos personales: “1. Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido. 2. Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos”. Dicho principio, aplicado al tratamiento de datos personales con fines de video vigilancia se explicita en el artículo 4 de la Instrucción 1/2006, que establece: “1. De conformidad con el artículo 4 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, las imágenes sólo serán tratadas cuando sean adecuadas, pertinentes y no excesivas en relación con el ámbito y las finalidades determinadas, legítimas y explicitas, que hayan justificado la instalación de las cámaras o videocámaras. 2. Sólo se considerará admisible la instalación de cámaras o videocámaras cuando la finalidad de vigilancia no pueda obtenerse mediante otros medios que, sin exigir esfuerzos desproporcionados, resulten menos intrusivos para la intimidad de las personas y para su derecho a la protección de datos de carácter personal. 3. Las cámaras y videocámaras instaladas en espacios privados no podrán obtener imágenes de espacios públicos salvo que resulte imprescindible para la finalidad de vigilancia que se pretende, o resulte imposible evitarlo por razón de la ubicación de aquéllas. En todo caso deberá evitarse cualquier tratamiento de datos innecesario para la finalidad perseguida”. En el caso que nos ocupa se ha constatado que en el local con denominación TRAGO LOCO existe, una cámara de videovigilancia que está dirigida a la vía pública con la finalidad de visionar las personas que pretenden acceder al local. En consecuencia la entidad denunciada ha incurrido en la infracción grave descrita ya que el consentimiento para el tratamiento de los datos personales es un principio básico del derecho fundamental a la protección de datos, recogido en el artículo 6 de la LOPD , habiendo tratado datos de las personas que pudieran haber sido captadas por la cámara de video vigilancia sin contar con su consentimiento , lo que supone una vulneración de este principio, conducta que encuentra su tipificación en este artículo 44.3.b). El artículo 44.3.
- b)de la LOPD, tipifica como infracción grave: “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo” V En cuanto a la posibilidad de que se aplicara el procedimiento de apercibimiento, establecido en la en la disposición final quincuagésima sexta “cuatro” de la Ley 2/2011 de 4/03, de Economía Sostenible (BOE 5-3-2011) que ha añadido este nuevo apartado 6 al artículo 45 de la LOPD, en lugar del existente hasta su entrada en vigor, se debe indicar que al acordar el inicio del procedimiento sancionador no concurrían los elementos señalados en el mismo; al tratarse de una infracción consistente un tratamientos continuos y permanentes, en todo momento, mediante la posibilidad de la recogida automática de las imágenes de las personas que por la vía pública transitaran y visualización en un monitor, y además que por resolución de esta Agencia, de fecha 4/7/12, ya se sancionó al responsable de dicho establecimiento por la existencia de una cámara de videovigilancia que enfocaba la vía pública, siendo circunstancias suficientes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 para no aplicarse el apercibimiento. Debe considerarse que pese a que el denunciado no ha efectuado alegaciones que resten veracidad al acta policial concurren al menos una causa que justifica la aplicación del artículo 45.5 de la LOPD, a saber, que la vinculación de la actividad del infractor, un bar, con la realización de tratamientos de datos de carácter personales no es de carácter profesional ni necesaria para el desenvolvimiento de su actividad, En consecuencia, dentro de los criterios de graduación se ha de tener en cuenta que la actividad desarrollada por el denunciado no aparece relacionada especialmente con la materia de protección de datos, y no constan beneficios obtenidos con la instalación del sistema. Por ello, procede imponer una multa de 2.500€. por la infracción cometida. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad TRAGO LOCO, por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.b de dicha norma, una multa de 2.500 € (dos mil quinientos euros) de conformidad con lo establecido en el artículo 45.1 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a TRAGO LOCO, y a DELEGACION DEL GOBIERNO EN ILLES BALEARS. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es