1/23 Expediente Nº: EXP202402542 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 5 de noviembre de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a RAMÓN GRAU, S.L. (en adelante, RAMON GRAU), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202402542 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos, y en base a los siguientes HECHOS PRIMERO: Con fecha 30 de enero de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra RAMÓN GRAU, S.L. con NIF B40583783 (en adelante, la parte reclamada), por la instalación de un sistema de videovigilancia ubicado en ***DIRECCIÓN.1, existiendo indicios de un posible incumplimiento de lo dispuesto en el 13 y 6.1 del RGPD. Los motivos que fundamentan la reclamación son los siguientes: La parte reclamante manifiesta que la empresa reclamada, en la que trabaja, tiene repartidas por sus instalaciones cámaras de vigilancia instaladas por ***EMPRESA.1. Las cámaras se encuentran instaladas dentro de la oficina, en el almacén y en la fábrica, en lugares frecuentes de paso de los trabajadores y donde trabajan continuamente. Todas ellas enfocando a las instalaciones y a los trabajadores. Estas cámaras registran, además de la imagen, el sonido. No siendo los empleados informados de esto último en ningún momento, ni por carteles ni en el documento que se le entrega a cada trabajador (cláusula de confidencialidad). Las cámaras son de la marca (…), que ***EMPRESA.1 anuncia en su página web como cámaras que tienen "Audio bidireccional de alta calidad", según puede comprobarse en la web de dicha entidad y en la del fabricante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/23 Añade que también en la oficina hay una cámara IP doméstica instalada justo en su mesa por el administrador para poder grabar y escuchar las conversaciones de los empleados. Esta cámara es de la marca (…). Una de sus características es que tiene audio bidireccional. Según el reclamante, el mismo jefe ha hecho referencia a alguna conversación privada mantenida por los trabajadores delante de una de estas cámaras. Aporta fotografía en primer plano de la cámara supuestamente ubicada en la oficina y fotografía, también en primer plano, de una cámara marca “(…)” instalada sobre una pared. Ninguna de las fotografías permite conocer su ubicación exacta. Asimismo, aporta el detalle obtenido de la web de ***EMPRESA.1 sobre las características de la cámara “(…)”, en el que consta que dispone de “audio bidireccional de alta calidad”. Por otra parte, aporta copia del documento de protección de datos firmado por el reclamante, con el rótulo “Carta informativa y de confidencialidad para los trabajadores”, que incluye la siguiente información sobre el sistema de videovigilancia: “Del mismo modo se le informa de la existencia de un sistema de cámaras de seguridad con la finalidad de vigilar las instalaciones propias de la empresa, cuyas imágenes serán incluidas en la actividad de tratamiento denominada “Videovigilancia”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 15 de febrero de 2024 como consta en el acuse de recibo que obra en el expediente. En dicha comunicación se solicitó expresamente a la entidad reclamada, entre otros extremos, la información siguiente: “…deberá acreditar que las cámaras que componen el sistema de vídeo vigilancia objeto de esta reclamación, no graban sonido. Asimismo, y en el caso de que las cámaras se utilicen para el control laboral de los trabajadores, deberá acreditar que ha informado de esta finalidad (control laboral) a sus trabajadores o en caso de tenerlos, a sus representantes en la empresa (teniendo en cuenta, que en el caso de uso para el control laboral, las cámaras no pueden instalarse en áreas de descanso, vestuarios, aseos y comedor de los trabajadores)”. Con fecha 14 de marzo de 2024 se recibe en esta Agencia escrito de respuesta de la parte reclamada en el que informa que son 4 las cámaras instaladas y que adjunta fotografías de todas ellas, así como fotografías del monitor, pantalla de móvil o sistema equivalente utilizado para la visión de las imágenes, afirmando que “Estas fotografías muestran claramente las zonas que quedan dentro del campo de visión de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/23 cámaras, sin grabar ni permitir la visión de terrenos colindantes que no sean de nuestra propiedad, ni del interior de viviendas u otros espacios privados o reservados, ni tampoco de la vía pública, salvo la porción mínimamente necesaria para la finalidad de seguridad que se pretende. Se adjuntan fotografías del cartel o carteles que informan de la existencia de una zona videovigilada. Estas fotografías muestran claramente la información contenida en el cartel, así como su ubicación.” Añade que adjunta fotografías que demuestran que los monitores donde se muestran las imágenes captadas por las cámaras solo son accesibles para el personal autorizado, afirmando la parte reclamada que “Estas fotografías muestran claramente la ubicación de los monitores. Hemos implementado medidas específicas para garantizar que solo el personal autorizado accede a las imágenes y grabaciones. Estas medidas incluyen que solo tienen acceso a las imágenes el encargado del tratamiento, con claves y contraseñas propias donde solo puede acceder él, desde su teléfono móvil.” Respecto de la utilización del sistema con fines de control laboral, se indica por la parte reclamada que “En caso de utilizar las cámaras de vigilancia para el control laboral de las personas trabajadoras, hemos informado debidamente al personal y a sus representantes sobre esta finalidad. Adjuntamos copia de las comunicaciones remitidas al personal y, en su caso, a sus representantes para informarles de esta finalidad. Además, hemos tenido en cuenta que no se permite la instalación de cámaras en los vestuarios, servicios, comedores y zonas de descanso de las personas trabajadoras” La parte reclamada concluye afirmando que: “Hemos contratado con una empresa de seguridad la instalación, mantenimiento y/o gestión del sistema de videovigilancia. Adjuntamos una copia del contrato suscrito con la empresa de seguridad y, cuando sea posible, un informe técnico del sistema de videovigilancia elaborado por dicha empresa. Las imágenes captadas por el sistema de vigilancia se conservan durante el plazo máximo de un mes, con excepción de las imágenes que sean aportadas a los tribunales y las fuerzas y cuerpos de seguridad.” En definitiva, la parte reclamada manifiesta que tiene cuatro cámaras instaladas (aportan fotografía de los dispositivos y de su campo de visión). Indican que no están captando espacios privados, ni viviendas, ni vía pública. En las imágenes se aprecia que captan las instalaciones de la empresa. Aporta fotografías de los carteles informativos en los que se aprecia su contenido y ubicación, en ellos se identifica al responsable del tratamiento. Según indican, las grabaciones de las imágenes se conservan por espacio de un mes. Tanto a las visualizaciones como a las grabaciones acceden sólo las personas autorizadas mediante usuario y contraseña. La parte reclamada indica que tiene contrato con ***EMPRESA.1 para la instalación y mantenimiento de las cámaras (adjunta copia del contrato). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/23 La parte reclamada manifiesta que se ha informado a los trabajadores sobre el control laboral y que no hay cámaras en los vestuarios, comedores o servicios. Aporta copia de las cartas informativas y de confidencialidad, firmadas por sus trabajadores, en las que entre otros aspectos se les informa del uso de sus datos y del deber de secreto de aquellos datos que conozcan por razón de su trabajo. Así mismo les informan que existen cámaras cuya finalidad es vigilar las instalaciones propias de la empresa, sin indicación alguna sobre la utilización del sistema con fines de control laboral. El contenido de estas cartas informativas y de confidencialidad coincide con la aportada por la parte reclamante, que consta reseñada en el Antecedente Primero. Por otro lado, la parte reclamada no hace ninguna mención a la posibilidad de que las cámaras graben sonido. Se aporta copia del “Contrato de Servicio de Seguridad” suscrito con ***EMPRESA.1, de fecha 09/01/2019, que tiene por objeto la instalación mantenimiento y explotación de centrales de alarma. De lo estipulado en las Condiciones Generales de Servicio cabe destacar los extremos siguientes: . “(…)”. . “(…)”. . “(…): (…). (…). (…). (…). (…). (…)”. . “(…)”. . “(…)”. . “(…)”. (…): . (…) . (…) . (…) . (…) (…). TERCERO: Por esta Agencia se accede al sitio web “***WEB.1” para verificar la información ofrecida por este servicio, en la que se indica: “(…). (…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/23 CUARTO: Con fecha 30 de abril de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad reclamada es una empresa constituida en el año 2019 y con un volumen de negocios de (…) euros en el año 2024. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de la presunta infracción cometida, se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
- f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). III Cuestiones previas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/23 El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento.” En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, existen indicios sobre la realización de tratamientos de datos personales, toda vez que la entidad reclamada realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas, incluidos sus empleados, mediante la captación de imágenes y sonidos sirviéndose del sistema de videovigilancia instalado en los locales de la empresa. La entidad reclamada realiza esta actividad en su condición de responsable del tratamiento, dado que es quien recoge los datos. A este respecto, debe tenerse en cuenta que la imagen física y la voz de una persona, a tenor del artículo 4.1 del RGPD, son un dato personal y su protección, por tanto, es objeto de dicho Reglamento. Las imágenes y la voz captadas por un sistema de cámaras o videocámaras son datos de carácter personal, por lo que su tratamiento está sujeto a la normativa de protección de datos. Es, por tanto, pertinente analizar si el tratamiento de datos personales (imagen y voz de personas físicas que presten servicio como empleadas en la empresa de la parte reclamada) llevado a cabo a través del sistema de videovigilancia denunciado es acorde con lo establecido en el RGPD. IV Obligaciones en materia de videovigilancia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/23 El artículo 6.1 del RGPD establece los supuestos que permiten considerar lícito el tratamiento de datos personales. La implantación permanente de un sistema de cámaras de video por razones de seguridad tiene base legítima en la LOPDGDD, cuya exposición de motivos indica: “Junto a estos supuestos se recogen otros, tales como la videovigilancia… en que la licitud del tratamiento proviene de la existencia de un interés público, en los términos establecidos en el artículo 6.1.
- e)del Reglamento (UE) 2016/679”. En cuanto al tratamiento con fines de videovigilancia, el artículo 22 de la LOPDGDD establece que las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. Este mismo artículo 22, en su apartado 8, dispone que “El tratamiento por el empleador de datos obtenidos a través de sistemas de cámaras o videocámaras se somete a lo dispuesto en el artículo 89 de esta ley orgánica”. Sobre la legitimación para la implantación de sistemas de videovigilancia en el ámbito laboral, se tiene en cuenta el Real Decreto Legislativo 1/1995, de 24/03, que aprueba el texto refundido de la Ley del Estatuto de los Trabajadores (LET), cuyo artículo 20.3 señala: “3. El empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad y teniendo en cuenta, en su caso, la capacidad real de los trabajadores con discapacidad”. Entre las medidas de vigilancia y control admitidas se incluye la instalación de cámaras de seguridad, si bien estos sistemas deberán responder siempre al principio de proporcionalidad, es decir, el uso de las videocámaras debe ser proporcional al fin perseguido, esto es garantizar la seguridad y el cumplimiento de las obligaciones y deberes laborales. El artículo 89 de la LOPDPGDD, referido específicamente al “derecho a la intimidad frente al uso de dispositivos de videovigilancia y de grabación de sonidos en el lugar de trabajo” y al tratamiento de datos personales obtenidos con sistemas de cámaras o videocámaras para el ejercicio de funciones de control de los trabajadores, permite que los empleadores puedan tratar las imágenes obtenidas a través de sistemas de cámaras o videocámaras para el ejercicio de las funciones de control de los trabajadores o los empleados públicos previstas, respectivamente, en el artículo 20.3 del Estatuto de los Trabajadores y en la legislación de función pública, siempre que estas funciones se ejerzan dentro de su marco legal y con los límites inherentes al mismo. En relación con la grabación de sonidos, el citado artículo 89 de la LOPDGDD establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/23 “2. En ningún caso se admitirá la instalación de sistemas de grabación de sonidos ni de videovigilancia en lugares destinados al descanso o esparcimiento de los trabajadores o los empleados públicos, tales como vestuarios, aseos, comedores y análogos. 3. La utilización de sistemas similares a los referidos en los apartados anteriores para la grabación de sonidos en el lugar de trabajo se admitirá únicamente cuando resulten relevantes los riesgos para la seguridad de las instalaciones, bienes y personas derivados de la actividad que se desarrolle en el centro de trabajo y siempre respetando el principio de proporcionalidad, el de intervención mínima y las garantías previstas en los apartados anteriores. La supresión de los sonidos conservados por estos sistemas de grabación se realizará atendiendo a lo dispuesto en el apartado 3 del artículo 22 de esta ley”. Por otra parte, interesa destacar que, según doctrina del Tribunal Constitucional, la grabación de conversaciones entre trabajadores o entre éstos y clientes no se justifica por la verificación del cumplimiento por el trabajador de sus obligaciones o deberes (Sentencia 2000/98, de fecha 10/04/2000, dictada en el Rec. núm. 4015/1996). Asimismo, los empleadores habrán de informar con carácter previo, y de forma expresa, clara y concisa, a los trabajadores y, en su caso, a sus representantes, acerca de esta medida. El artículo 12.1 del RGPD indica que quien lleve a cabo un tratamiento de datos personales, como es la captación de imágenes mediante un sistema de videovigilancia, deberá suministrar a los interesados la información indicada en los artículos 13 y 14 del RGPD. Con la finalidad de que el deber de información previsto en el artículo 12 del RGPD se cumpla de manera concisa y comprensible para el afectado, el citado artículo 22 de la LOPDGDD prevé en relación con la videovigilancia un sistema de "información por capas". En este sentido, la primera capa ha de referirse, al menos, a la existencia del tratamiento (videovigilancia), la identidad del responsable, la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del RGPD y dónde obtener más información sobre el tratamiento de los datos personales. La información de la segunda capa debe estar disponible en un lugar fácilmente accesible al empleado, colocada en un espacio público visible o en una dirección web, y ha de referirse al resto de elementos del artículo 13 del RGPD. Este deber de información se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible, y como mínimo, en los accesos a las zonas vigiladas ya sean interiores o exteriores. En caso de que el espacio videovigilado disponga de varios accesos deberá disponerse de dicho distintivo de zona videovigilada en cada uno de ellos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/23 Esta información debe suministrarse por adelantado -considerando 39 del RGPD-. El objetivo es que quede claro el contexto y la finalidad de la vigilancia para los trabajadores. El tratamiento de datos personales está sometido al resto de los principios del tratamiento contenidos en el artículo 5 del RGPD. Destacaremos el principio de minimización de datos contenido en el artículo 5.1.
- c)del RGPD que dispone que los datos personales serán “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados”. Esto significa que en un tratamiento concreto sólo pueden tratarse los datos personales oportunos, que vengan al caso y que sean los estrictamente necesarios para cumplir la finalidad para la que son tratados. El tratamiento debe ser ajustado y proporcional a la finalidad a la que se dirige. La pertinencia en el tratamiento de los datos debe producirse tanto en el momento de la recogida de los datos como en el posterior tratamiento que se realice de los mismos. Conforme a lo antedicho, debe restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de estos. La aplicación del principio de minimización de datos comporta que el sistema de cámaras o videocámaras instalado no pueda obtener imágenes afectando a la intimidad de los empleados, resultando desproporcionado captar imágenes en espacios privados, tales como vestuarios, taquillas o zonas de descanso de trabajadores. Además de todo lo expuesto, el tratamiento de imágenes a través de un sistema de videovigilancia, para ser conforme con la normativa vigente, debe cumplir los requisitos siguientes: 1.- La personas físicas o jurídicas, públicas o privadas, pueden establecer un sistema de videovigilancia con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. Se ha de valorar si la finalidad pretendida puede lograrse de otra forma menos intrusiva para los derechos y libertades de los ciudadanos. Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios, considerando 39 del RGPD. 2.- Las imágenes obtenidas no puedan utilizarse para una finalidad ulterior incompatible con la que motivó la instalación del sistema de videovigilancia. 3.- Se deberá cumplir con el deber de informar a los afectados previsto en los artículos 12 y 13 del RGPD, y 22 de la LOPDGDD. En tal sentido, el artículo 22 de la LOPDGDD prevé en relación con la videovigilancia un sistema de “información por capas”. La primera capa ha de referirse, al menos, a la existencia del tratamiento (videovigilancia), la identidad del responsable, la posibilidad de ejercitar los derechos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/23 previstos en los artículos 15 a 22 del RGPD y dónde obtener más información sobre el tratamiento de los datos personales. Esta información se contendrá en un dispositivo colocado en un lugar suficientemente visible y debe suministrarse por adelantado. La información de la segunda capa debe estar disponible en un lugar fácilmente accesible al afectado, ya sea una hoja informativa en una recepción, cajero, etc…, colocada en un espacio público visible o en una dirección web, y ha de referirse al resto de elementos del artículo 13 del RGPD. 4.- No pueden captarse imágenes de la vía pública, puesto que el tratamiento de imágenes en lugares públicos sólo puede ser realizado por las Fuerzas y Cuerpos de Seguridad previa autorización gubernativa. En algunas ocasiones, para la protección de espacios privados, donde se hayan instalado cámaras en fachadas o en el interior, puede ser necesario para garantizar la finalidad de seguridad la grabación de una porción de la vía pública. Es decir, las cámaras y videocámaras instaladas con fines de seguridad no podrán obtener imágenes de la vía pública salvo que resulte imprescindible para dicho fin, o resulte imposible evitarlo por razón de la ubicación de aquéllas. Y, en tal caso extraordinario, las cámaras sólo podrán captar la porción mínima necesaria para preservar la seguridad de las personas y bienes, así como de sus instalaciones. Las cámaras instaladas no pueden obtener imágenes de espacio privativo de tercero y/o espacio público sin causa justificada debidamente acreditada, ni pueden afectar a la intimidad de transeúntes que transiten libremente por la zona. No está permitida, por tanto, la colocación de cámaras hacia la propiedad privada de vecinos con la finalidad de intimidarlos o afectar a su ámbito privado sin causa justificada. En ningún caso se admitirá el uso de prácticas de vigilancia más allá del entorno objeto de la instalación y en particular, no pudiendo afectar a los espacios públicos circundantes, edificios contiguos y vehículos distintos de los que accedan al espacio vigilado. No pueden captarse ni grabarse imágenes en espacios propiedad de terceros sin el consentimiento de sus titulares, o, en su caso, de las personas que en ellos se encuentren. Resulta desproporcionado captar imágenes en espacios privados, tales como vestuarios, taquillas o zonas de descanso de trabajadores. 5.- Las imágenes podrán conservarse por un plazo máximo de un mes, salvo en aquellos supuestos en que se deban conservar para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/23 En este segundo supuesto, deberán ser puestas a disposición de la autoridad competente en un plazo máximo de 72 horas desde que se tuviera conocimiento de la existencia de la grabación. 6.- El responsable deberá llevar un registro de actividades de los tratamientos efectuados bajo su responsabilidad en el que se incluya la información a la que hace referencia el artículo 30.1 del RGPD. 7.- El responsable deberá realizar un análisis de riesgos o, en su caso, una evaluación de impacto en la protección de datos, para detectar los derivados de la implantación del sistema de videovigilancia, valorarlos y, en su caso, adoptar las medidas de seguridad apropiadas. 8.- Cuando se produzca una brecha de seguridad que afecte a los tratamientos de cámaras con fines de seguridad, siempre que exista riesgo para los derechos y libertades de las personas físicas, deberá notificarlo a la AEPD en un plazo máximo de 72 horas. Se entiende por brecha de seguridad la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizado a dichos datos. 9.- Cuando el sistema esté conectado a una central de alarma, únicamente podrá ser instalado por una empresa de seguridad privada que reúna los requisitos contemplados en el artículo 5 de la Ley 5/2014 de Seguridad Privada, de 4 de abril. La Agencia Española de Protección de Datos ofrece a través de su página web [https://www.aepd.es] acceso a: la legislación en materia de protección de datos personales, incluyendo el RGPD y la LOPDGDD (apartado “Informes y resoluciones” / “normativa”), la Guía sobre el uso de videocámaras para seguridad y otras finalidades, la Guía para el cumplimiento del deber de informar (ambas disponibles en el apartado “Guías y herramientas”). También resulta de interés, en caso de realizar tratamientos de datos de bajo riesgo, la herramienta gratuita Facilita (en el apartado “Guías y herramientas”), que, mediante unas preguntas concretas, permite valorar la situación del responsable respecto del tratamiento de datos personales que lleva a cabo, y en su caso, generar diversos documentos, cláusulas informativas y contractuales, así como un anexo con medidas de seguridad orientativas consideradas mínimas. V Posible infracción administrativa del artículo 6 del RGPD No resulta controvertido en este caso el hecho de que la parte reclamada es la titular y responsable del sistema de videovigilancia denunciado y, por tanto, la responsable de los tratamientos de datos que conlleva la utilización de dicho sistema. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/23 La reclamación se basa en la presunta ilicitud del sistema de videovigilancia instalado por la parte reclamada en el local donde desarrolla su actividad empresarial, en relación con la utilización del sistema de videovigilancia con la finalidad de control laboral, que no ha sido negada por la parte reclamada, y con la captación de sonidos, sobre la que existen indicios, según los detalles que constan en los antecedentes del presente acuerdo. Se tiene en cuenta que, con ocasión del trámite de traslado de la reclamación formalizado por esta AEPD, se requirió expresamente información sobre la utilización del sistema de videovigilancia para control laboral, sin que la parte reclamada haya negado esta utilización, habiéndose limitado a responder que “En caso de utilizar las cámaras de vigilancia para el control laboral de las personas trabajadoras, hemos informado debidamente al personal y a sus representantes sobre esta finalidad”. Sin embargo, no consta en las actuaciones que el responsable haya informado a sus trabajadores sobre este extremo, sino únicamente sobre la “existencia de un sistema de cámaras de seguridad con la finalidad de vigilar las instalaciones propias de la empresa”, según se expresa en el documento “Carta informativa y de confidencialidad para los trabajadores” que suscriben los empleados. En el mismo trámite se consultó a la parte reclamada sobre la captación de sonidos, sin haber recibido respuesta alguna y sin que consta, igualmente, que la entidad haya informado sobre la captación de sus datos personales relativos a la voz de los interesados. Tampoco la parte reclamada tiene en cuenta los limites previstos en el artículo 20.3 de la Ley del Estatuto de los Trabajadores (LET); lo establecido en el artículo 89.3 de la LOPDGDD, que admite la grabación de sonidos únicamente cuando resulten relevantes los riesgos y respetando los principios de proporcionalidad e intervención mínima; ni la doctrina del Tribunal Constitucional, ya expresada, según la cual la grabación de conversaciones entre trabajadores o entre éstos y clientes no se justifica por la verificación del cumplimiento por el trabajador de sus obligaciones o deberes. Se entiende que la captación de la voz tanto de los trabajadores como de clientes de la parte reclamada para la función de videovigilancia pretendida no está motivada ni tiene amparo legal y se tiene en cuenta que la grabación de voz supone una mayor intromisión en la intimidad. De conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos expuestos podrían vulnerar lo establecido en el artículo 6.1 del RGPD, por lo que podrían suponer la comisión de una infracción tipificada en el artículo 83.5 del RGPD, que dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/23
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; A efectos del plazo de prescripción de las infracciones, la infracción señalada en el párrafo anterior se considera muy grave conforme al artículo 72.1 de la LOPDGDD, que establece que: “En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. (…) VI Propuesta de sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
- b)la intencionalidad o negligencia en la infracción;
- c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
- d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
- f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
- g)las categorías de los datos de carácter personal afectados por la infracción;
- h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/23
- i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
- j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
- k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
- k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
- a)El carácter continuado de la infracción.
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
- c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
- e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
- f)La afectación a los derechos de los menores.
- g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
- h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de la parte reclamada que en el año 2024 ascendió a un total de (…) euros. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. . Artículo 83.2.
- a)del RGPD: “
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/23 de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido”. La naturaleza y gravedad de la infracción, teniendo en cuenta que los afectados no conocen el tratamiento de datos que se está llevando a cabo y el uso que se realizará de los datos personales, lo que incide en la capacidad de los interesados de ejercer un verdadero control sobre sus datos personales. Se considera, asimismo, que el sistema de videovigilancia se encuentra instalado desde 2019. . Artículo 83.2.
- b)del RGPD: “
- b)la intencionalidad o negligencia en la infracción". La negligencia apreciada en la instalación de cámaras de videovigilancia que permiten la recogida de audio en un entorno laboral, sin ni siquiera dar cuenta a los empleados y otros afectados, a pesar de que estos sistemas tienen una regulación especial y expresa que impone a los responsables un especial cuidado en su utilización. . Artículo 83.2.
- d)del RGPD: “
- d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32”. La parte reclamada no tiene implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, en lo que se refiere a la recogida y tratamiento de datos personales relativos a la voz de la persona empleada en su empresa, de modo que la infracción no es consecuencia de una anomalía en el funcionamiento de dichos procedimientos sino un defecto del sistema de gestión de los datos personales diseñado por la responsable. . Artículo 83.2.
- g)del RGPD: “las categorías de los datos de carácter personal afectados por la infracción”; Si bien no se han visto afectadas “Categorías especiales de datos personales”, según define el RGPD en el artículo 9, los datos personales a los que se refieren las actuaciones (voz de los interesados) tiene una naturaleza especialmente sensible y aumenta los riesgos sobre su privacidad. Por todo ello, se considera que la sanción que correspondería es de multa administrativa por importe de 15.000 euros. VII Posible infracción administrativa del artículo 13 del RGPD De conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, por las razones expuestas en el Fundamento de Derecho V en relación con la falta de información a los trabajadores sobre la utilización del sistema de videovigilancia para el control laboral y de la posibilidad de captar sonidos, se considera que los hechos expuestos podrían vulnerar lo establecido en el artículo 13 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/23 del RGPD, por lo que podrían suponer la comisión de una infracción tipificada en el artículo 83.5 del RGPD, que dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- b)los derechos de los interesados a tenor de los artículos 12 a 22; (…)”. A efectos del plazo de prescripción de las infracciones, la infracción señalada en el párrafo anterior se considera muy grave conforme al artículo 72.1 de la LOPDGDD, que establece que: “En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta Ley Orgánica. VIII Propuesta de sanción Teniendo en cuenta lo establecido en los apartados 1 y 2 del artículo 83 del RGPD y lo dispuesto en el artículo 76 de la LOPDGDD, respecto al apartado
- k)del citado artículo 83.2 RGPD, así como el volumen de negocio de la parte reclamada, y sin perjuicio de lo que resulta de la instrucción, procede fijar la multa por la infracción del artículo 13 del RGPD de conformidad con los criterios ya expresados en el Fundamento de Derecho VI al fijar la multa inicial correspondiente a la infracción del artículo 6 del RGPD. Por todo ello, se considera que la sanción inicial que correspondería es de multa administrativa por importe de 15.000 euros. IX Posibles medidas De confirmarse las infracciones, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/23 Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que podrían dar lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, en la resolución que se adopte se podrá requerir a la parte reclamada para que, en el plazo máximo de 3 meses, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, acredite ante esta AEPD haber adoptado las medidas siguientes: • Acredite haber procedido a suministrar la información a la que se refieren el artículo 13 del RGDP y el artículo 89 de la LOPDGDD. • Acredite haber cesado en la captación de sonidos mediante el sistema de videovigilancia instalado en los locales de la empresa, en el domicilio indicado al inicio. La imposición de estas medidas es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender a los requerimientos de este organismo puede ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa obligación. Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a RAMÓN GRAU, S.L., con NIF B40583783, por la presunta infracción de los artículos 6.1 y 13 del RGPD, tipificadas en el artículo 83.5
- a)y
- b)respectivamente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/23 SEGUNDO: NOMBRAR instructor a A.A.A. y, como secretario, a B.B.B., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación presentada, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones realizadas con anterioridad al inicio del presente procedimiento sancionador. CUARTO: QUE de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD se adopten las siguientes medidas: • Acredite haber procedido a suministrar la información a la que se refieren el artículo 13 del RGDP y el artículo 89 de la LOPDGDD. • Acredite haber cesado en la captación de sonidos mediante el sistema de videovigilancia instalado en los locales de la empresa, en el domicilio indicado al inicio. QUINTO: QUE a los efectos previstos en el art. 64.2
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de una primera multa de 15.000 euros por la presunta infracción del artículo 6.1 del RGPD, y una segunda multa de 15.000 euros por la presunta infracción del artículo 13 del RGPD, lo que suma un total de 30.000 euros (treinta mil euros), sin perjuicio de lo que resulte de la instrucción. SEXTO: NOTIFICAR el presente acuerdo a RAMÓN GRAU, S.L., con NIF B40583783, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de expediente que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
- f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio, lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 24.000 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/23 la sanción quedaría establecida en 24.000 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 18.000 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (24.000 euros o 18.000 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El procedimiento sancionador tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 948-130325 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 19 de noviembre de 2025, RAMON GRAU ha procedido al pago de la sanción en la cuantía de 18.000,00 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio y su calificación jurídica. TERCERO: En el Acuerdo de inicio transcrito anteriormente, se señalaba que de confirmarse la infracción, podría acordarse imponer al responsable la adopción de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/23 medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose recibido escrito mediante el que RAMON GRAU informa que ha adoptado las medidas necesarias para que no se vuelvan a producir los hechos determinantes de la infracción cometida, por parte de esta Agencia se acusa recibo del mismo, sin que esta declaración suponga ningún pronunciamiento sobre la regularidad o licitud de las medidas adoptadas. Se advierte sobre lo dispuesto en el artículo 5.2 del RGPD, que establece el principio de responsabilidad proactiva cuando señala que “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo”. Este principio hace referencia a la obligación que recae en el responsable del tratamiento no solo de diseñar, implementar y observar las medidas jurídicas, técnicas y organizativas adecuadas para que el tratamiento de datos sea acorde con la normativa, sino de permanecer activamente atento a lo largo de todo el ciclo de vida del tratamiento para que ese cumplimiento sea correcto, siendo además capaz de demostrarlo. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/23 El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Pago voluntario y reconocimiento de responsabilidad De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y de realizar el pago voluntario de la sanción propuesta, lo que supondría dos reducciones acumulables de un 20% cada una. Con la aplicación de estas dos reducciones, la sanción quedaría establecida en 18.000,00 euros y su pago implicaría la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la notificación del citado acuerdo de inicio, RAMON GRAU ha procedido al reconocimiento de la responsabilidad y al pago voluntario de la sanción, acogiéndose a las dos reducciones previstas. De conformidad con el apartado 3 del artículo 85 LPACAP, la efectividad de las citadas reducciones estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/23 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente resolución. La suma de las citadas cuantías arroja una cantidad total 30.000,00 euros. Tras haber procedido RAMÓN GRAU, S.L. al pronto pago y reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 40% del total mencionado, lo cual supone la cantidad definitiva de 18.000,00 euros. La efectividad de las citadas reducciones está condicionada, en todo caso, al desistimiento o renuncia de cualquier acción o recurso en vía administrativa. SEGUNDO: DECLARAR la terminación del procedimiento EXP202402542, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: NOTIFICAR la presente resolución a RAMÓN GRAU, S.L.. CUARTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de su notificación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. No obstante, conforme a lo previsto en el artículo 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/23 Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1219-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es