1/7 Procedimiento Nº: PS/00253/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Doña A.A.A. (en adelante, la reclamante) con fecha 30 de enero de 2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra B.B.B. con NIF ***NIF.1 (en adelante, el reclamado). Los motivos en que basa la reclamación son los siguientes: “tiene una cámara de vigilancia que supuestamente me dijo que solo enfocaba a la puerta de entrada por seguridad y el sonido estaba desactivado. Por un percance pasando la aspiradora rompí la televisión, el me mando el vídeo el cual no enfoca la puerta de entrada como aseguraba y encima tiene sonido, me sentí espiada ya que enfoca parte del salón donde yo he tenido conversaciones privadas por teléfono y me ha podido ver todo lo que hacía. No solo queda aquí, tuvo que venir un perito a ver los daños y estuvo escuchando la conversación y vigilándonos” (folio nº 1). Junto a la reclamación aporta un CD en apoyo a su reclamación sobre los hechos descritos (Doc. probatorio nº 1) que corroboran la presencia del dispositivo en la mesilla del recibidor del local arrendado a modo de vivienda. SEGUNDO: En fecha 18/06/20 el denunciado solicita de esta Agencia copia del expediente administrativo a los efectos legales oportunos. TERCERO: En fecha 24/03/20 se procede al TRASLADO de la reclamación al denunciado para que manifieste lo que considere oportuno en relación a los hechos expuestos. “No entiendo porque la Denuncia se ha recibido en casa de mi expareja, NO entiendo el motivo de la Denuncia, porque la cámara está dentro de mi casa, no es un local como se indica en el escrito sino mi vivienda particular. La cámara es de sobremesa comprada en Amazon, situada en el mueble del recibidor y enfoca hacia el interior (…) para ahuyentar a posibles ladrones. Los datos se almacenan en una tarjeta de memoria instalada en la misma cámara y la única persona que tiene acceso soy yo”. CUARTO. Con fecha 1 de septiembre de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.
- c)del RGPD, tipificada en el Artículo 83.5 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 QUINTO. En fecha 07/10/20 se recibe copia del Acta de declaración realizada ante las Fuerzas y Cuerpos de seguridad del Estado por el propio denunciado de fecha 17/01/20, en dónde reconoce ser el responsable de la instalación de una cámara en el interior de la habitación alquilada a la denunciante. SEXTO: Se acompaña como anexo relación de documentos obrantes en el procedimiento, estando a su disposición el contenido del expediente administrativo. SÉPTIMO. En fecha se emite propuesta de Resolución por medio de la cual se acredita la infracción del contenido del art. 5.1
- c)RGPD, proponiendo una sanción en la cuantía de 5.000€ (Cinco Mil Euros). OCTAVO. Consultada la base de datos de este organismo en fecha 30/11/20 no se ha recibido alegación alguna en relación a la misma, ni se ha acreditado el pago de cantidad alguna a los efectos legales oportunos. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS Primero. En fecha 30/01/20 se recibe en esta AEPD reclamación de la denunciante por medio de la cual traslada lo siguiente: “tiene una cámara de vigilancia que supuestamente me dijo que solo enfocaba a la puerta de entrada por seguridad y el sonido estaba desactivado. Por un percance pasando la aspiradora rompí la televisión, el me mando el vídeo el cual no enfoca la puerta de entrada como aseguraba y encima tiene sonido, me sentí espiada ya que enfoca parte del salón donde yo he tenido conversaciones privadas por teléfono y me ha podido ver todo lo que hacía. No solo queda aquí, tuvo que venir un perito a ver los daños y estuvo escuchando la conversación y vigilándonos” (folio nº 1). Segundo. Consta identificado como principal responsable B.B.B., el cual es el propietario del inmueble dónde se encontraba instalada la cámara, no negando ser el responsable de la presencia de la misma. Tercero. En la declaración aportada ante las Fuerzas y Cuerpos de Seguridad (Dirección General de la Policía 17/01/20) manifiesta que “ha alquilado dos habitaciones a una chica llamada A.A.A.” “Que desde el principio A.A.A. sabía de la existencia de la cámara en la entrada de la vivienda y que funciona a modo disuasorio para ladrones”. Cuarto. No consta contrato con cláusula específica en materia de protección de datos, informando de la finalidad del tratamiento de los mismos. Quinto. No consta que el denunciado dispusiera de cartel informativo en la puerta de acceso al local alquilado a modo de vivienda, informando que se trataba de una zona video-vigilada. Sexto. Consta que se han utilizado las imágenes obtenidas de la cámara web-cam al afirmar en declaración de fecha 17/01/20 ante la Dirección General Policía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 “Que al mostrar las imágenes a A.A.A., esta niega lo sucedido”. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II En el presente caso, se procede a examinar la reclamación de fecha 30/01/20 por medio de la cual la reclamante traslada como hecho principal el siguiente: “instalación de cámara en la vivienda que tiene arrendada, obtenido imágenes del interior de la misma sin causa justificada” (folio nº 1). Los hechos se concretan en la instalación por el denunciado de un dispositivo de grabación (web-cam) que ha utilizado para obtener imágenes/sonido de la arrendataria del mismo, sin causa justificada, procediendo a tratar los datos de esta sin que exista motivo aparente alguno. El art. 5.1
- c)RGPD dispone lo siguiente: Los datos personales serán: “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»). Cabe recordar que los particulares son responsables de velar por que los sistemas instalados se ajusten a la legalidad vigente, acreditando que la misma cumpla con todos los requisitos exigidos por la normativa en vigor. La instalación de este tipo de dispositivos debe contar con el preceptivo cartel informativo, indicando los fines y responsable del tratamiento en su caso de los datos de carácter personal. En el presente caso, nos encontramos con un contrato de arrendamiento cuyo objeto arrendado es satisfacer la necesidad primaria y permanente de vivienda del arrendatario (a). En el inmueble objeto del contrato se encuentra instalada una cámara de videovigilancia (web-cam), en concreto en la habitación bajo su uso y disfrute, de manera que la misma permite al arrendador obtener imágenes del interior de la habitación (local a modo de vivienda) y proceder a escuchar lo que acontece en la misma. Desde el mismo momento en que se cedió el uso (disfrute) del inmueble a un tercero (arrendataria), desparece la noción de “ámbito personal y doméstico”, estando la captación de imágenes de terceros sujeta a la normativa de protección de datos, siendo preceptivo cumplir con una serie de garantías que están recogidas en la normativa en vigor, máxime si el propietario era el principal responsable de las imágenes que se obtenían de entrada/salida de la vivienda en cuestión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 La descripción que el Tribunal Constitucional realiza respecto del concepto domicilio, tomando como tal “el espacio donde el individuo vive ejerciendo su libertad más íntima, al margen de convenciones sociales”. La inviolabilidad del domicilio protege no solo el espacio físico en sí mismo considerado, sino lo que en él hay de emanación de la persona y de su esfera privada, habiendo definido el Tribunal Constitucional, en su sentencia nº 22/1984 (Rec.59/1983), de 17 de febrero, el domicilio inviolable como: “un espacio en el cual el individuo vive sin estar sujeto necesariamente a los usos y convenciones sociales y ejerce su libertad más íntima”. III De conformidad con las pruebas de las que se dispone en el presente procedimiento sancionador, se considera que el reclamado disponía de una web-cam, procediendo a tratar datos de la reclamante a través del dispositivo instalado en el interior de la vivienda (local) que procedió a arrendar, tratando los mismos sin causa justificada. En concreto, las imágenes obtenidas son utilizadas por el mismo para reprochar a la arrendataria la rotura de la pantalla de la televisión que se encontraba en el interior de la vivienda. Manifiesta ante las Fuerzas y Cuerpos de Seguridad del Estado (Declaración fecha (17/01/20) “Que al ver las imágenes ve como la Sra. A.A.A., mientras usaba el aspirador. Ha tirado el biombo y ha roto la televisión, el biombo y una mesa de diseño que hay detrás”. De manera que queda acreditado que la orientación de la cámara no era en exclusiva como asevera “solo hacia la entrada de la puerta”, dado que la televisión estaba en el parte interior del habitáculo, y solo mediante el visionado de las imágenes pudo saber con tal precisión de detalle que la rotura del televisor se produjo “al pasar la aspiradora y que afecto a una mesa de diseño que hay detrás”. Los hechos conocidos acreditados son constitutivos de una infracción administrativa, imputable al reclamado, por vulneración del contenido del artículo 5.1
- c)RGPD. IV Respecto a la alegada inexistencia culpabilidad en la comisión de la conducta infractora. En este sentido, no cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 28 de la Ley 40/2015 (1 octubre) dispone que “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento de la culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” La Audiencia Nacional, en Sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 5 de junio de 1998 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables”. En el presente caso, el denunciado es el responsable de la instalación de una webcam, habiendo obtenido datos personales de la denunciada, para una finalidad no permitida por el ordenamiento jurídico, como fue el uso de las mismas para reprocharle la “rotura” de un televisor de su propiedad, por lo que queda acreditada la intencionalidad del imputado a título de negligencia grave al menos. V El artículo 83.5 RGPD dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; A la hora de motivar la sanción se tiene en cuenta lo siguiente: -la gravedad de la infracción al obtener dato(
- s)de un espacio reservado a la intimidad, como era el espacio arrendado a la reclamante, pudiendo escuchar las conC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 versaciones de la misma y tratando los datos de esta sin causa justificada (art. 83.2
- a)RGPD). -la intencionalidad o negligencia de la infracción, al no informar en el contrato de arrendamiento de la finalidad del tratamiento de los datos obtenidos con el dispositivo denunciado y extralimitarse en la zona de grabación (artículo 83.2
- b)RGPD). En el presente caso, se tiene en cuenta la gravedad de los hechos descritos, que suponen un ataque a la inviolabilidad del domicilio, en este caso objeto de arrendamiento a la denunciante, procediendo a tratar datos de la misma en sus quehaceres diarios sin causa justificada, motivos todos ellos que justifican imponer una sanción cifrada en la cuantía de 5.000 € (Cinco Mil Euros). Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a Don B.B.B., con NIF ***NIF.1, por una infracción del Artículo 5.1.
- c)del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 5.000 € (Cinco Mil Euros). SEGUNDO: NOTIFICAR la presente resolución a Don B.B.B. e INFORMAR del resultado de las actuaciones a la denunciante Doña A.A.A.. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-131120 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es