1/14 Expediente N.º: EXP202301534 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Dña. A.A.A. (en lo sucesivo, la parte reclamante) con fecha 26 de enero de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra D. B.B.B. con NIF ***NIF.1 (en adelante, la parte reclamada), por la instalación de un sistema de videovigilancia ubicado en ***DIRECCIÓN.1, existiendo indicios de un posible incumplimiento de lo dispuesto en el artículo 6 del Reglamento General de Protección de Datos (en adelante, RGPD). Los motivos que fundamentan la reclamación son los siguientes: La parte reclamante manifiesta que está separada de su marido (la parte reclamada) desde diciembre de 2021 y actualmente en trámites de divorcio. Que ambos viven en la misma casa dividida en dos viviendas independientes. En la vivienda en la que reside la parte reclamante, su marido puso una cámara de seguridad alegándole que era un sensor de seguridad. Cuando se dio cuenta que le vigilaba por dicha cámara le indicó que la retirase, se rio y no hizo caso, ya que la casa es de su propiedad. La parte reclamante tapó la cámara, pero se ha enterado que tiene audio y sigue vigilándole, y utiliza lo que veía y escucha a través de la cámara en la demanda de divorcio. Aporta imágenes del dispositivo en el interior de su vivienda. Los documentos aportados son: - Reportaje fotográfico SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante correo postal certificado, fue entregado en fecha 22/02/2023. Ante la falta de respuesta, se reitera el traslado por el mismo medio, se notifica el día 31/03/2023. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 Con fecha 05/04/2023 se recibe en esta Agencia escrito de respuesta en el que no se alude a la cámara objeto de la reclamación (sobre la que específicamente se preguntaba en el traslado de la reclamación) sino que aporta información de otra cámara diferente, instalada en la vivienda en que reside la parte reclamada. TERCERO: Con fecha 26 de abril de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 13 de julio de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del Artículo 6 del RGPD, tipificada en el Artículo 83.5 del RGPD. En el Acuerdo de Inicio se ordenó, conforme al artículo 58 RGPD en conexión con el artículo 69 de la LOPDGDD, como medida cautelar la suspensión temporal de la grabación del sistema, no debiendo estar el mismo operativo, sin perjuicio de su presencia en el lugar de su instalación, debiendo acreditar tal extremo ante este organismo. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba que: “1º.- La denunciante, obvia intencionadamente en su denuncia elementos esenciales; en primer lugar la misma se enmarca en un contexto de divorcio, lo cual denota sin mayor esfuerzo un ánimo espúreo; en segundo lugar, igualmente obvia que el exponente y la denunciante residían en el mismo inmueble compuesto por dos plantas comunicadas entre sí, son que lo que se dice como cámara de grabación de imágenes lo sea, sino UN MERO SENSOR PRESENCIAL de movimientos, como elemento de seguridad al tratarse de una vivienda (casa aislada en el campo) POR LO QUE ES ABSOLUTAMENTE FALSO, los hechos contenidos en la denuncia y que ha sido inmediatamente retirado. 2º.- No existe en el expediente dato alguno que acredite con un mínimo de consistencia que el citado detector se corresponda con una cámara de captación de imágenes ni de sonido.” SEXTO: Con fecha 8 de febrero de 2024 se acuerda abrir una fase de práctica de prueba. Se acuerda, asimismo, incorporar al expediente, a efectos de prueba, la reclamación que dio origen al procedimiento sancionador y su documentación anexa, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación y las alegaciones al acuerdo de inicio presentadas por la parte reclamada junto con su documentación anexa. Asimismo, se acuerda realizar diligencia relativa a la información e imagen sobre los detectores de presencia con cámara de la página web https://movistarproseguralarmas.es/detectores/de-movimiento-sensores-presencia. Tal acuerdo fue notificado a la parte reclamada el 15 de febrero de 2024. SÉPTIMO: Con fecha 15 de febrero de 2024, la instructora del presente procedimiento sancionador, en el marco de la fase de práctica de prueba, practica diligencia relativa a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 la información e imagen sobre los detectores de presencia con cámara de la página web https://movistarproseguralarmas.es/detectores/de-movimiento-sensorespresencia. OCTAVO: La parte reclamada ha presentado un nuevo escrito, en fecha 14 de marzo de 2024, al que denomina Recurso de Reposición, en el que manifiesta: “Que, muestro ABSOLUTA DISCONFORMIDAD con la propuesta de sanción por infracción de la normativa vigente, por ser la misma totalmente injusta y arbitraria, en base a las siguientes alegaciones, Primera.- Que es incierto los hechos que se mencionan en la resolución, así como las alegaciones realizadas por la reclamante, con manifiesta y grosera falta a la verdad, sin perjuicio de que pudiera constituir otro tipo de infracción. En la fecha de la instalación de la alarma, el suscribiente y la reclamante convivían juntos y en perfecto estado de armonía. Tango la reclamante como esta parte, e insisto, con anterioridad al divorcio y conviviendo juntos al momento de la instalación del detector, recibieron una oferta/promoción por parte de la compañía Movistar para la instalación de una alarma, por un precio inferior al habitual, con la única finalidad de reforzar los sistemas de seguridad de dicha vivienda. (…). Por tanto, la reclamante, (…). Se parte por tanto de un grave error de base, toda vez que la instalación de la alarma/detector/cámara (…). Segundo.- Se dice asimismo en la propuesta de resolución, Antecedente Primero, párrafo tercero, que “la parte reclamante se ha enterado que tiene audio y sigue vigilándole, y utiliza lo que veía y escucha a través de la cámara en la demanda de divorcio” (negrita propio). La narración de la reclamante no sólo es absolutamente falsa, sino grosera y esperpéntica. La reclamante (…), con la que Dña. A.A.A. tiene poco o ningún contacto. Todo ello, evidencia la clara intención de la reclamante de obtener un beneficio ilícito, causando con ello un perjuicio injustificado tanto a su exesposo como a su hija. Que se acompaña a la presente, el correo electrónico dirigido a la compañía Movistar a fin de que remitan copia del contrato de instalación de la alarma a los efectos de constatar la fecha de dicha instalación. Por todo lo anteriormente expuesto, RUEGO A LA AEPD.- Que habiendo presentado este escrito, se sirva admitirlo, teniendo por formulada las ALEGACIONES que anteceden, y se dicte resolución por la que se archive el expediente al no revestir los hechos infracción alguna de la Ley de Protección de datos, y sin perjuicio de que la narración absolutamente falsa de la reclamante pudieran constituir otro tipo de infracciones. OTROSÍ DIGO.- Que a fin de acreditar lo anteriormente expuesto, se interesa: -Se requiera a la compañía Movistar para que certifiquen la fecha de instalación de la alarma, o bien la entrega del contrato de dicha instalación a fin de constatar la fecha del mismo. -Se requiera, asimismo, a la compañía instaladora para que indique/identifique los datos del técnico/s que acudieron al domicilio en cuestión a instalar la alarma a fin de que manifieste y/o identifique la persona que le atendió en dicho domicilio al momento de la instalación, así como la obligada información proporcionada sobre el funcionamiento de la alarma.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 NOVENO: Con fecha 18 de abril de 2024 se formuló propuesta de resolución, proponiendo: Que la Directora de la Agencia Española de Protección de Datos sancione a D. B.B.B., con NIF ***NIF.1, por una infracción del Artículo 6 del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 5000 € (cinco mil euros). Que la Directora de la Agencia Española de Protección de Datos ordene la confirmación de la medida cautelar consistente en la suspensión temporal de la grabación del sistema, no debiendo estar el mismo operativo, sin perjuicio de su presencia en el lugar de su instalación, debiendo acreditar tal extremo ante este organismo. DÉCIMO: Notificada la propuesta de resolución en fecha 6 de mayo de 2024, y transcurrido el plazo otorgado para alegar, no se han presentado alegaciones a dicha propuesta. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Ambas partes, reclamante y reclamada, manifiestan que están en trámites de divorcio. SEGUNDO: Ambas partes, reclamante y reclamada, manifiestan que las dos viven en la misma casa dividida en dos viviendas independientes. TERCERO: La parte reclamada reconoce en sus escritos de alegaciones de 7 de agosto de 2023 y 14 de marzo de 2024 que decidió instalar en la casa un sensor presencial de movimientos, el cual fue instalado por técnicos de Movistar. CUARTO: Consta en el expediente un correo electrónico, de 25 de julio de 2023, enviado por la parte reclamada a ***EMAIL.1, cuyo asunto es: “Detector imagen marca moviestar prosegur alarmas, detecta solo imagen sin sonido ni grabación de vídeo”. QUINTO: Obra en el expediente diligencia de la instructora del procedimiento de fecha 15 de febrero de 2024, relativa a la información e imagen sobre los detectores de presencia con cámara de la página web https://movistarproseguralarmas.es/detectores/de-movimiento-sensores-presencia, la cual indica las siguientes características de la cámara que coincide totalmente con el de la fotografía aportada por la parte reclamante a este expediente: “Detectores de presencia con cámara. Permiten captar imágenes del momento de la intrusión. Cuando el sensor de presencia identifica la intrusión, su cámara integrada salta y capta el momento con una ráfaga de imágenes durante 10 segundos. De esta manera contarás con pruebas del delito que podrás presentar a las autoridades, en procesos judiciales o al perito del seguro si fuese necesario.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Alegaciones al Acuerdo de Inicio En respuesta a las alegaciones presentadas por la parte reclamada en fecha 7 de agosto de 2023 se debe señalar lo siguiente: La parte reclamante no obvia nada de lo que dice la parte reclamada, sino que, en lo esencial, los hechos son coincidentes. En su reclamación indica que está en trámites de divorcio, y que ambos viven en la misma casa, en dos viviendas independientes. La vivienda en la que la parte reclamante reside es considerada su domicilio, a “los efectos de la protección dispensada por el art. 18.2 CE” (Sentencia ContenciosoAdministrativa Nº 2923/2020, del Tribunal Superior de Justicia de Cataluña, Sala de lo Contencioso, Sección 3, de 2 de Julio de 2020). En cuanto a que no exista en el expediente dato alguno que acredite que el detector se corresponda con una cámara de captación de imágenes ni de sonido, la parte reclamante ha aportado fotografías del sensor, y la parte reclamada ha enviado con sus alegaciones un correo electrónico, de 25 de julio de 2023, enviado por la parte reclamada a ***EMAIL.1, cuyo asunto es: “Detector imagen marca moviestar prosegur alarmas, detecta solo imagen sin sonido ni grabación de vídeo”. Comprobado el “Detector de Presencia | Movistar Prosegur Alarmas”, sólo constan dos modelos con su correspondiente fotografía. Y el detector que coincide totalmente con el de la fotografía aportada por la parte reclamante, tiene las siguientes características: “Detectores de presencia con cámara. Permiten captar imágenes del momento de la intrusión. Cuando el sensor de presencia identifica la intrusión, su cámara integrada salta y capta el momento con una ráfaga de imágenes durante 10 segundos. De esta manera contarás con pruebas del delito que podrás presentar a las autoridades, en procesos judiciales o al perito del seguro si fuese necesario.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 Es evidente, ante la información sobre el dispositivo, que éste capta y guarda imágenes tomadas en el domicilio de la parte reclamante, si bien es cierto que no capta audio. También que el control del dispositivo lo tiene la parte reclamada, pues, al ser la persona que lo ha contratado, puede decidir sobre la activación del sensor de movimiento, así como disponer de las imágenes captadas y guardadas por el dispositivo. En definitiva, la parte reclamada realiza un tratamiento del dato personal de la imagen de las personas físicas que capta el sensor que se encuentren en la vivienda de la parte reclamante, entre las que se encuentra la de la reclamante, sin contar con base legitimadora para ello. Por otro lado, respecto al escrito presentado el 14 de marzo de 2024 en el que formula una serie de alegaciones, se debe señalar lo siguiente: Que, si bien la parte reclamada indica que muestra su disconformidad “con la propuesta de sanción”, hay que poner de manifiesto que, en el momento de presentación de tal escrito, todavía no se había emitido propuesta de resolución alguna, sino solamente el acuerdo de inicio de procedimiento sancionador y acuerdo de apertura de periodo probatorio. En cuanto a que la parte reclamante “no sólo tenía pleno conocimiento de la instalación de dicha alarma, sino que CONSINTIÓ LIBRE Y EXPONTÁNEAMENTE SU INSTALACIÓN” hay que hacer referencia al artículo 7.3 del RGPD: “El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo.” Consentimiento que, en el presente caso, la parte reclamante ha retirado desde el momento en que solicitó a la parte reclamada que quitara el dispositivo. Finalmente, respecto a la solicitud de práctica de prueba hay que poner de relieve que, si bien la fase probatoria ya ha tenido lugar tras su apertura mediante acuerdo de la instructora de fecha 8 de febrero de 2024, el artículo 77.2 de la LPACAP establece: “(…) Asimismo, cuando lo considere necesario, el instructor, a petición de los interesados, podrá decidir la apertura de un periodo extraordinario de prueba por un plazo no superior a diez días.” No obstante, no se consideran necesarias las pruebas solicitadas por la parte reclamada toda vez que (
- i)el certificado de Movistar sobre la fecha de instalación de la alarma o, en su caso, el contrato de instalación de tal dispositivo, así como (
- ii)la identificación del técnico que realizó tal instalación y (iii) la información que tal técnico le proporcionó en ese momento sobre el funcionamiento de la alarma, no aporta información relevante de cara a determinar que la parte reclamada cuente actualmente con base legitimadora para tratar la imagen de las personas físicas que capte el sensor en la vivienda de la parte reclamante, entre las que se encuentra la de la propia reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 A la vista de lo expuesto, no se aceptan las alegaciones presentadas por la parte reclamada, porque se ha podido acreditar que el sensor instalado en la vivienda de la parte reclamante por la parte reclamada tenía una cámara que captaba imágenes cuando detectaba movimiento, y estaba colocado en una esquina del salón-cocina de la vivienda en la que habitaba la parte reclamante, lo que implica una captación continuada de su imagen, durante largos periodos de tiempo, debido al carácter de tal estancia. III La imagen es un dato personal La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. En el artículo 4.2 del RGPD se define el concepto de “tratamiento” de datos personales. Las imágenes generadas por un sistema de cámaras o videocámaras son datos de carácter personal, por lo que su tratamiento está sujeto a la normativa de protección de datos. Es, por tanto, pertinente analizar si el tratamiento de datos personales (imagen de las personas físicas) llevado a cabo a través del sistema de detector de presencia con cámara denunciado es acorde con lo establecido en el RGPD. IV Infracción El artículo 18 apartado 4º CE dispone: “La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”. En el Considerando número 40 RGPD se indica que para que un “tratamiento sea lícito, los datos personales deberán ser tratados sobre alguna de las bases legitimadoras establecidas conforme a Derecho (…)”. Por tanto, el “tratamiento de datos” efectuados con la cámara instalada en el interior del inmueble debe poder justificarse en las denominadas bases legitimadoras, esto es, que se pueda acreditar la licitud del tratamiento en el listado de situaciones o supuestos concretos en los que es posible tratar datos personales. Los hechos anteriormente descritos pueden suponer una afectación al contenido del artículo 6 RGPD (Reglamento 2016/679/ UE, 27 de abril). El primer requisito para que un tratamiento de datos personales sea lícito es que cuente con una base legitimadora. Debe poder sustentarse en alguna de las seis bases habilitantes establecidas con carácter tasado en el artículo 6 RGPD, cuyo tenor es el siguiente: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” La finalidad de los detectores de presencia con cámara, con carácter general, es la protección de bienes, personas e instalaciones, si bien se deben adoptar ciertas cautelas a la hora de instalarlas dado que su presencia, en cuanto conlleve la captación de imágenes, puede colisionar con otros derechos de carácter fundamental en juego, máxime como cuando en el supuesto examinado la parte reclamada ha colocado dicho detector en el domicilio de la parte reclamante, resultando, además, que la parte reclamante ha solicitado su retirada. Hay que tener en cuenta que el domicilio de una persona es inviolable (artículo 18.2 de la Constitución Española). Es el ámbito reservado a la más estricta intimidad personal y familiar de una persona. El derecho a la intimidad recordemos consiste en garantizar el libre desarrollo de la vida privada individual de cada uno, sin “que existan intromisiones de terceros”, y la presencia de cámaras interiores no solo supone un control excesivo de las entradas/salidas del mismo del morador y/o acompañantes, sino un “tratamiento de datos” que no se justifica por seguridad, al existir otros medios de garantizarla sin que afecten a la privacidad de la parte reclamante. Consecuentemente, la protección del domicilio no es sino un aspecto de la protección de la intimidad que sirve al libre desarrollo de la personalidad. También, el Tribunal Constitucional afirma en la STC 22/1984, que el derecho a la inviolabilidad del domicilio constituye un auténtico derecho fundamental de la persona, establecido, según hemos dicho, para garantizar el ámbito de privacidad de ésta dentro del espacio que la propia persona elige y que tiene que caracterizarse precisamente por quedar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 exento o inmune a las invasiones o agresiones exteriores, de otras personas o de la autoridad pública. En este sentido, la Sentencia Contencioso-Administrativa Nº 2923/2020, del Tribunal Superior de Justicia de Cataluña, Sala de lo Contencioso, Sección 3, de 2 de Julio de 2020-: "Como se afirmaba en la STC 10/2002, de 17 de enero (FFJJ 5 y 6), citada por el Fiscal y por el recurrente en amparo, y se ha recordado después en la STC 22/2003, de 10 de febrero, la norma constitucional que proclama la inviolabilidad del domicilio y la interdicción de la entrada y registro domiciliarios ( art. 18.2 CE), a pesar de la autonomía que la Constitución española reconoce a ambos derechos, constituye una manifestación de la norma precedente ( art. 18.1 CE) que garantiza el derecho fundamental a la intimidad personal y familiar. De modo que si el derecho proclamado en el art. 18.1 CE tiene por objeto la protección de un ámbito reservado de la vida de las personas excluido del conocimiento de terceros, sean éstos poderes públicos o particulares, en contra de su voluntad, el derecho a la inviolabilidad domiciliaria protege <un ámbito espacial determinado> dado que en él ejercen las personas su libertad más íntima, libres de toda sujeción a los usos y convenciones sociales, siendo objeto de protección de este derecho tanto el espacio físico en sí mismo considerado, como lo que en él hay de emanación de la persona y de su esfera privada. Por ello, hemos afirmado que la protección constitucional del domicilio es una protección de carácter instrumental, que defiende los ámbitos en que se desarrolla la vida privada de la persona. Entre otras consecuencias, tal carácter instrumental determina que el concepto constitucional de domicilio tiene mayor amplitud que el concepto jurídico privado o jurídico administrativo de domicilio y no admite "concepciones reduccionistas" (por todas SSTC 94/1999, de 31 de mayo, FJ 5, y 10/2002, de 17 de enero, FJ 6 in fine). Por ello, hemos afirmado en el fundamento jurídico 8 de la citada STC 10/2002 que "el rasgo esencial que define el domicilio a los efectos de la protección dispensada por el art. 18.2 CE reside en la aptitud para desarrollar en él vida privada y en su destino específico a tal desarrollo aunque sea eventual. Ello significa, en primer término, que su destino o uso constituye el elemento esencial para la delimitación de los espacios constitucionalmente protegidos, de modo que, en principio, son irrelevantes su ubicación, su configuración física, su carácter mueble o inmueble, la existencia o tipo de título jurídico que habilite su uso, o, finalmente, la intensidad y periodicidad con la que se desarrolle la vida privada en el mismo. En segundo lugar, si bien el efectivo desarrollo de vida privada es el factor determinante de la aptitud concreta para que el espacio en el que se desarrolla se considere domicilio, de aquí no se deriva necesariamente que dicha aptitud no pueda inferirse de algunas de estas notas, o de otras, en la medida en que representen características objetivas conforme a las cuales sea posible delimitar los espacios que, en general, pueden y suelen ser utilizados para desarrollar vida privada". Así como que "el propio carácter instrumental de la protección constitucional del domicilio respecto de la protección de la intimidad personal y familiar exige que, con independencia de la configuración física del espacio, sus signos externos revelen la clara voluntad de su titular de excluir dicho espacio y la actividad en él desarrollada del conocimiento e intromisiones de terceros". De ahí extrajimos la consecuencia, al declarar la inconstitucionalidad de lo dispuesto en el art. 557 de la Ley de enjuiciamiento criminal que "las habitaciones de los hoteles C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 pueden constituir domicilio de sus huéspedes, ya que, en principio, son lugares idóneos, por sus propias características, para que en las mismas se desarrolle la vida privada de aquéllos habida cuenta de que el destino usual de las habitaciones de los hoteles es realizar actividades enmarcables genéricamente en la vida privada" (*la negrita y el subrayado pertenece a este organismo). La medida restrictiva no sólo debe ser idónea material y funcionalmente para limitar el derecho en razón de su fundamento; además, de entre las posibles maneras de imponer la medida restrictiva, sólo cabe elegir la forma o el medio que resulte menos gravoso para alcanzar aquella finalidad. La instalación de aparatos de detección de presencia con cámara no puede suponer una desvirtuación del propio concepto de vivienda “como refugio de los seres humanos que les proporciona intimidad, espacio para guardar sus pertenencias y desarrollar libremente sus actividades cotidianas” de tal manera que, en aras de una pretendida seguridad del mismo, se condicione sin límite alguno el derecho a la intimidad y relacionado con este último, su derecho a la protección de datos. De conformidad con las evidencias de las que se dispone en el presente momento del procedimiento sancionador, se considera que la parte reclamada ha procedido a la instalación de un sistema de detección de presencia con cámara en el interior del domicilio de la parte reclamante, que afecta al tratamiento de la imagen de la parte reclamante, sin causa justificada y sin sustento en las bases legitimadoras mencionadas, lo que supone la vulneración del artículo 6 del RGPD. V Tipificación y calificación de la infracción La citada infracción del artículo 6 del RGPD supone la comisión de una de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone que: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;”. A efectos del plazo de prescripción de las infracciones, la infracción señalada en el párrafo anterior se considera muy grave conforme al artículo 72.1 de la LOPDGDD, que establece que: “En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14
- b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.” VI Sanción El artículo 58.2 del RGPD establece: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (...)
- d)ordenar al responsable o encargado de tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; (...)
- i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular”. Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en el artículo 58.2.
- d)del citado Reglamento es compatible con la sanción consistente en multa administrativa. Con respecto a la infracción del artículo 6 del RGPD, atendiendo a los hechos probados, se considera que la sanción que corresponde imponer es de multa administrativa. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. A fin de determinar la multa administrativa a imponer se han de observar las previsiones del artículo 83.2 del RGPD, que indica: “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
- b)la intencionalidad o negligencia en la infracción;
- c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
- d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
- f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14
- g)las categorías de los datos de carácter personal afectados por la infracción;
- h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
- i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
- j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42,
- k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, en relación con la letra
- k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
- k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
- a)El carácter continuado de la infracción.
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
- c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
- e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente
- f)La afectación a los derechos de los menores
- g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
- h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. El balance de las circunstancias contempladas, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 6 del RGPD, permite fijar una multa de 5000 € (cinco mil euros). VII Conclusión Por tanto, conforme a la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a D. B.B.B., con NIF ***NIF.1, por una infracción del Artículo 6 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 5000 € (cinco mil euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14 SEGUNDO: ORDENAR a D. B.B.B., con NIF ***NIF.1, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo de 10 días desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de la confirmación de la medida cautelar consistente en la suspensión temporal de la grabación del sistema, no debiendo estar el mismo operativo, sin perjuicio de su presencia en el lugar de su instalación, debiendo acreditar tal extremo ante este organismo. Se advierte que no atender la orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. TERCERO: NOTIFICAR la presente resolución a D. B.B.B.. CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es