1/9 Procedimiento Nº: PS/00244/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 27 de enero de 2020, tuvo entrada en esta Agencia Española de Protección de Datos un escrito presentado por A.A.A. (en lo sucesivo, el reclamante), mediante el que formula reclamación contra ***EMPRESA.1 con NIF ***NIF.1 (en adelante, el reclamado), por la instalación de un sistema de videovigilancia instalado en ***DIRECCION.1, existiendo indicios de un posible incumplimiento de lo dispuesto en la normativa de protección de datos. Los motivos que fundamentan la reclamación y, en su caso, los documentos aportados por el reclamante son los siguientes: “El local sito en la ***DIRECCION.1 dispone de una cámara de videovigilancia no señalizada instalada en su fachada con la finalidad de vigilar sus veladores desplegados en la vía pública. La cámara está dispuesta de tal modo que permite la captación de imágenes de la totalidad del acerado durante las 24 horas, así como de calles aledañas, calzadas, vehículos e incluso la plaza contigua. La instalación no está señalizada. No existen datos disponibles del responsable de los datos ni se facilita una dirección de contacto. En la web ***URL.1 se ofrece una dirección de correo falsa o inexistente (***EMAIL.1). Se adjunta pdf con el email enviado solicitando la reubicación y el ejercicio de los derechos ARCO, así como la respuesta del servidor certificando que no existe.” Adjunta varias fotografías de la cámara instalada desde distintas perspectivas, así como su posible ángulo de captación. SEGUNDO: La Subdirección General de Inspección de Datos comprueba que en la página web del reclamado figura la cuenta de correo <***EMAIL.1> como dirección de contacto. TERCERO: Con carácter previo a la admisión a trámite de esta reclamación, la Subdirección General de Inspección de Datos dirigió, el día 20 de febrero de 2020, una solicitud de información al reclamado en el que se le comunicaba que la Agencia de Protección de Datos había tenido conocimiento de la existencia de cámaras de videovigilancia situadas en la dirección indicada en el hecho primero que podrían estar vulnerando la normativa de protección de datos y en el que se le solicitaba que, en el plazo de 1 mes, acreditase la conformidad de la mencionada instalación con la citada normativa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 La notificación electrónica expiró el día 3 de marzo de 2020 por falta de acceso a su contenido y ante esta situación, y ante esta situación, se reiteró la solicitud de información de manera excepcional vía correo postal en fecha 3 de marzo de 2020, cuya notificación tuvo lugar el 10 de marzo de 2020. No consta contestación alguna por parte del reclamado. TERCERO: La reclamación fue admitida a trámite mediante resolución de 7 de agosto de 2020. CUARTO: Con fecha 22 de febrero de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del Artículo 5.1.
- c)del RGPD, Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: En fecha 14/04/21 se requiere colaboración de las Fuerza y Cuerpos de Seguridad del Estado para que acredite la presencia del dispositivo y realice las indagaciones oportunas. SEXTO: En fecha 25/05/21 se recibe parte emitido por la Policía Local (Sevilla) constatando la presencia de tres cámaras de video-vigilancia en la fachada del establecimiento ***EMPRESA.1 direccionadas las tres hacia la acera y entrada del establecimiento, negándose el visionado de las mismas a la fuerza actuante. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS Primero. Los hechos traen causa de la reclamación de fecha 27/01/20 por medio de la cual se traslada “la instalación de un sistema de videovigilancia en la fachada de un establecimiento sito ***DIRECCION.1”. Segundo. Consta identificado como principal responsable ***EMPRESA.1 local situado en ***DIRECCION.1. Tercero. Consta acreditada la presencia de tres cámaras en la fachada del establecimiento reseñado con orientación hacia la acera pública, lo que permite inferir una captación excesiva de la zona de transito afectando a derechos de los transeúntes. Cuarto. Se ha constatado la ausencia de cartel (
- s)informativo indicando el responsable del tratamiento adaptado a la normativa en vigor. Quinto. No consta que la reclamada disponga de formulario (
- s)informativo a disposición de los clientes del establecimiento acorde a la normativa en vigor. Sexto. No se ha realizado alegación alguna a pesar de los diversos requerimientos de esta Agencia, ni se ha acreditado la regularización del sistema. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), reconoce a cada Autoridad de Control, y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar y resolver este procedimiento. El artículo 63.2 de la LOPDGDD determina que: «Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.» II La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. En el artículo 4.2 del RGPD se define el concepto de “tratamiento” de datos personales. Es, por tanto, pertinente analizar si el tratamiento de datos personales (imagen de las personas físicas) llevado a cabo a través del sistema de videovigilancia denunciado es acorde con lo establecido en el RGPD. III El artículo 6.1 del RGPD establece los supuestos que permiten considerar lícito el tratamiento de datos personales. Por su parte, el artículo 5.1.
- c)del RGPD, relativo a los principios del tratamiento, dispone que los datos personales serán “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados (“minimización de datos”).” Este artículo consagra el principio de minimización de datos en el tratamiento de los datos personales. Supone que dicho tratamiento sea ajustado y proporcional a la finalidad a la que se dirige, debiendo restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. La pertinencia en el tratamiento de los datos debe producirse tanto en el ámbito de la recogida de los datos como en el posterior tratamiento que se realice de los mismos. El artículo 13, apartados 1 y 2, del RGPD, establece la información que debe facilitarse al interesado en el momento de la recogida de sus datos. En el caso de tratamientos de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras, el deber de información puede cumplirse mediante la colocación, en las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 zonas videovigiladas, de un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados, y sirviéndose de impresos en los que se detalle la información prevista, que el responsable deberá poner a disposición de los interesados. El contenido y el diseño del distintivo informativo debe ajustarse a lo previsto en el artículo 22.4 de la LOPDGDD. Por otra parte, conforme a lo establecido en el artículo 22 de la LOPDGDD, referido específicamente a los “Tratamientos con fines de videovigilancia”, el tratamiento de imágenes en lugares públicos sólo puede ser realizado -en su caso y previo el cumplimiento de los requisitos legalmente exigibles-, por las Fuerzas y Cuerpos de Seguridad, a menos que opere la excepción establecida en el citado artículo 22 de la LOPDGDD para las personas físicas o jurídicas, públicas o privadas, respetando las condiciones exigidas en dicho artículo. En algunas ocasiones la protección de los espacios privados sólo es posible si las cámaras se ubican en espacios como las fachadas. A veces también resulta necesario captar los accesos, puertas o entradas, de modo que, aunque la cámara se encuentre en el interior del edificio, resulta imposible no registrar una parte mínima e imprescindible de la vía pública, que inevitablemente se capta. Para que esta excepción sobre la protección de espacios privados resulte aplicable, no deberá existir una posibilidad de instalación alternativa. En estos casos, el responsable del tratamiento realizado a través de cámaras adecuará el uso de la instalación, de modo que el impacto en los derechos de terceros (viandantes) sea el mínimo posible. En ningún caso se admitirá el uso de prácticas de vigilancia más allá del entorno objeto de la instalación, no pudiendo afectar a los espacios públicos circundantes, edificios contiguos y vehículos distintos de los que accedan al espacio vigilado. IV De conformidad con lo expuesto, el tratamiento de imágenes a través de un sistema de videovigilancia, para ser conforme con la normativa vigente, debe cumplir los requisitos siguientes: - Respetar el principio de proporcionalidad. - Cuando el sistema esté conectado a una central de alarma, únicamente podrá ser instalado por una empresa de seguridad privada que reúna los requisitos contemplados en el artículo 5 de la Ley 5/2014 de Seguridad Privada, de 4 de abril. - Las videocámaras no podrán captar imágenes de las personas que se encuentren fuera del espacio privado en donde esté instalado el sistema de videovigilancia, ya que el tratamiento de imágenes en lugares públicos sólo puede ser realizado, salvo que concurra autorización gubernativa, por las Fuerzas y Cuerpos de Seguridad. Tampoco pueden captarse ni grabarse espacios propiedad de terceros sin el consentimiento de sus titulares, o, en su caso, de las personas que en ellos se encuentren. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 Esta regla admite alguna excepción ya que, en algunas ocasiones, para la protección de espacios privados, donde se hayan instalado cámaras en fachadas o en el interior, puede ser necesario para garantizar la finalidad de seguridad la grabación de una porción de la vía pública. Es decir, las cámaras y videocámaras instaladas con fines de seguridad no podrán obtener imágenes de la vía pública salvo que resulte imprescindible para dicho fin, o resulte imposible evitarlo por razón de la ubicación de aquéllas y extraordinariamente también se recogerá el espacio mínimo para dicha finalidad. Por lo tanto, las cámaras podrían excepcionalmente captar la porción mínimamente necesaria para la finalidad de seguridad que se pretende. - Se deberá cumplir el deber de informar a los afectados previsto en los artículos 12 y 13 del RGPD y 22.4 de la LOPDGDD. En concreto se deberá colocar en las zonas videovigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados, en el que se identificará, al menos, la existencia de un tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en dichos preceptos. Asimismo, deberá mantenerse a disposición de los afectados la información a la que se refiere el citado RGPD. - El responsable deberá llevar un registro de actividades de los tratamientos efectuados bajo su responsabilidad en el que se incluya la información a la que hace referencia el artículo 30.1 del RGPD. - Las cámaras instaladas no pueden obtener imágenes de espacio privativo de tercero y/o espacio público sin causa justificada debidamente acreditada, ni pueden afectar a la intimidad de transeúntes que transiten libremente por la zona. No está permitida, por tanto, la colocación de cámaras hacia la propiedad privada de vecinos con la finalidad de intimidarlos o afectar a su ámbito privado sin causa justificada. - En ningún caso se admitirá el uso de prácticas de vigilancia más allá del entorno objeto de la instalación y en particular, no pudiendo afectar a los espacios públicos circundantes, edificios contiguos y vehículos distintos de los que accedan al espacio vigilado. En relación con lo expuesto, para facilitar la consulta a los interesados la Agencia Española de Protección de Datos ofrece a través de su página web [https://www.aepd.es] acceso a la legislación en materia de protección de datos personales, incluyendo el RGPD y la LOPDGDD (apartado “Informes y resoluciones” / “normativa”), así como a la Guía sobre el uso de videocámaras para seguridad y otras finalidades, así como la Guía para el cumplimiento del deber de informar (ambas disponibles en el apartado “Guías y herramientas”). También resulta de interés, en caso de realizar tratamientos de datos de bajo riesgo, la herramienta gratuita Facilita (en el apartado “Guías y herramientas”), que mediante unas preguntas concretas, permite valorar la situación del responsable respecto del tratamiento de datos personales que lleva a cabo, y en su caso, generar diversos documentos, cláusulas informativas y contractuales, así como un anexo con medidas de seguridad orientativas consideradas mínimas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 V La reclamación se basa en la presunta ilicitud de la instalación por parte del reclamado de un sistema de videovigilancia, compuesto por una de cámara ubicadas en la fachada del ***EMPRESA.1 sito en ***DIRECCION.1, que podría captar imágenes de zonas públicas de forma desproporcionada. Además, el reclamante advierte que el inmueble reseñado no dispone de cartel en el que se informe sobre la presencia de las cámaras y sobre la identidad del responsable del tratamiento de los datos, para que las personas interesadas puedan ejercitar los derechos previstos en los arts. 15 a 22 del RGPD. Como prueba de estas manifestaciones, el reclamante aportó las evidencias señaladas en el apartado de “Hechos”, primer punto, de este acuerdo. Así, en las imágenes fotográficas aportadas se observa una cámara sin cartel informativo en la parte frontal del establecimiento que por su orientación podría estar captando de manera sustancial la acera y vía pública excediendo el control de la puerta de acceso y del mínimo imprescindible adyacente al perímetro. VI De conformidad con las evidencias de las que se dispone en el presente procedimiento sancionador, se considera que los hechos expuestos incumplen lo establecido en los artículos 5.1.
- c)y 13 del RGPD, por lo que podrían suponer la comisión de sendas infracciones tipificadas en el artículo 83.5 del RGPD, que dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
- b)los derechos de los interesados a tenor de los artículos 12 a 22; […]”. A efectos del plazo de prescripción de las infracciones, el artículo 72.1 de la LOPDGDD, que establece que: “En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. […]
- h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica.” Se ha constatado la presencia de tres cámaras orientadas hacia zona de tránsito público realizando un control excesivo de zona pública, realizando un tratamiento de datos de terceros desproporcionado, careciendo asimismo del preceptivo cartel (
- s)informando que se trata de una zona video-vigilada, por lo que queda desvirtuado el principio de presunción de inocencia ante los hechos expuestos por la fuerza actuante desplazada al lugar de los hechos. VII Los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, se establecen en el artículo 58.2 del RGPD. Entre ellos se encuentran la potestad de dirigir un apercibimiento -artículo 58.2 b)-, la potestad de imponer una multa administrativa con arreglo al artículo 83 del RGPD -artículo 58.2 i)-, o la potestad de ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un plazo especificado -artículo 58. 2 d)-. Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en el artículo 58.2
- d)del citado Reglamento es compatible con la sanción consistente en multa administrativa. Sin perjuicio de lo establecido en el artículo 83 del RGPD, el citado Reglamento dispone en su art. 58.2
- b)la posibilidad de dirigir un apercibimiento, en relación con lo señalado en el Considerando 148: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” VIII En el presente caso, se han tenido en cuenta, en especial, que se trata de una pequeña empresa y de que no se aprecia reincidencia, por no constar la comisión, en el término de un año, de más de una infracción de la misma naturaleza. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 Por todo ello, se considera que las sanciones que corresponderían dirigir para cada infracción son las de apercibimiento, de acuerdo con lo establecido en el artículo 58.2
- b)del RGPD, en relación con lo señalado en el Considerando 148, antes citados. En caso de persistir la conducta descrita, el reclamante pasado un tiempo prudencial (dos meses) puede enviar nueva reclamación a esta AEPD con fotografía fecha y hora que respalde la nueva reclamación o bien dar traslado de los hechos a la Policía Local (Sevilla) para levantar la correspondiente Acta-Inspección. Se advierte que no atender a los requerimientos de este organismo puede ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR un apercibimiento a la entidad ***EMPRESA.1, con NIF ***NIF.1, por una infracción del artículo 5.1.
- c)del RGPD, así como del artículo 13 del RGPD, tipificada en el artículo 83.5 del RGPD. SEGUNDO: ORDENAR a la entidad reclamada para que en el plazo de UN MES de conformidad con el art. 58.2
- d)RGPD proceda a adoptar las siguientes medidas: Acredite haber procedido a la retirada de la cámara del lugar actual o bien a su reorientación. Acredite haber procedido a la colocación del dispositivo informativo adecuado en las zonas videovigiladas (deberá identificarse, al menos, la existencia de un tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del RGPD), ubicando este dispositivo en lugar suficientemente visible. Acredite que mantiene a disposición de los afectados la información a la que se refiere el citado RGPD. TERCERO: NOTIFICAR la presente resolución a la entidad reclamada ***EMPRESA.1. e INFORMAR del resultado de las actuaciones a Don A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 938-131120 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es