PS-00266-2020

1/7  Procedimiento Nº: PS/00266/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 13 de enero de 2020, tuvo entrada en esta Agencia Española de Protección de Datos un escrito presentado por A.A.A. (en lo sucesivo, el reclamante), mediante el que formula reclamación contra MANCOMUNIDAD DE PROPIETARIOS R.R.R. con NIF ***NIF.1 (en adelante, el reclamado), por la instalación de un sistema de videovigilancia instalado en ***DIRECCION.1, respecto al que existen indicios de un posible incumplimiento de lo dispuesto en la normativa de protección de datos. Uno de los motivos que fundamenta la reclamación es: “[…] Los carteles se encuentran obsoletos y además en ellos no constan la información necesaria para el usuario […].” Adjunta fotografías de dos carteles ubicados en ***LOCALIDAD.1. La fecha de toma de la imagen que aparece en la captura de pantalla del dispositivo con las que se han realizado es “hoy” a las 17:48 y a las 17:53 horas. SEGUNDO: Con carácter previo a la admisión a trámite de esta reclamación, la Subdirección General de Inspección de Datos dirigió, el día 5 de marzo de 2020, una solicitud de información al reclamado en el que se le comunicaba que la Agencia de Protección de Datos había tenido conocimiento de la existencia de cámaras de videovigilancia situadas en la dirección indicada en el hecho primero que podrían estar vulnerando la normativa de protección de datos y en el que se le solicitaba que, en el plazo de un mes, acreditase la conformidad de la mencionada instalación con la citada normativa Ante el rechazo de la notificación electrónica por haber transcurridos diez días desde su puesta a disposición, se reiteró una nueva solicitud de información el día 23 de marzo de 2020 por correo postal. En esta reiteración se recordaba al reclamado que, en cumplimiento del artículo 14.2 de la ley 39/2015 de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), las personas jurídicas y las entidades sin personalidad jurídica, así como quienes representen a sujetos obligados, entre otros, estarán obligados a relacionarse con las Administraciones Públicas a través de medios electrónicos. La notificación de la reiteración fue devuelta por Sobrante (no retirado en oficina) el día 22 de junio de 2020 TERCERO: La reclamación fue admitida a trámite mediante resolución de 17 de agosto de 2020. TERCERO: Con fecha 10 de diciembre de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 13 del del Reglamento (UE) 2016/679 (Reglamento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 General de Protección de Datos, en adelante RGPD), tipificada en el artículo 83.5 de la misma norma. CUARTO: La notificación electrónica del acuerdo de inicio fue puesta a disposición del reclamado el 14 de diciembre de 2020 a través del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada sin que aquel accediera a su contenido en el plazo de 10 días naturales. De acuerdo con lo dispuesto en el artículo 43.2 de la LPACAP, la mencionada notificación debe entenderse rechazada. QUINTO: Notificado formalmente el acuerdo de inicio, el reclamado no ha presentado escrito de alegaciones, por lo que es de aplicación lo señalado en el artículo 64.2.

1. f)de la LPACAP, que establece que en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, por lo que se procede a dictar Resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PRIMERO: La ***DIRECCION.1 dispone de un sistema de videovigilancia de las edificaciones que forman parte de dicha urbanización. SEGUNDO: De conformidad con las imágenes aportadas en la reclamación, los carteles son de dos tipos: 1. Cartel de la empresa Domo Activa en el que únicamente consta como información el apartado responsable, siendo, en este caso Princess Park. 2. Cartel de color amarillo que responde a la Ley Orgánica 15/1999,.de 13 de diciembre, de Protección de Datos de Carácter Personal. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Se imputa al reclamado la comisión de una infracción por vulneración del artículo 13 del RGPD, que señala lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
2. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
3. b)los datos de contacto del delegado de protección de datos, en su caso;
4. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
5. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
6. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
7. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
8. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
9. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
10. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
11. d)el derecho a presentar una reclamación ante una autoridad de control;
12. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7
13. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3.Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4.Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.” Las citadas infracciones se encuentran tipificadas en el artículo 83.5 del RGPD, que dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
14. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
15. b)los derechos de los interesados a tenor de los artículos 12 a 22 […]” Esta infracción se tipifica en el artículo 83.5 del RGPD, que dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: […]
16. b)los derechos de los interesados a tenor de los artículos 12 a 22; […]». A efectos del plazo de prescripción de la infracción, el artículo 74 de la LOPDGDD establece: “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes:
17. a)El incumplimiento del principio de transparencia de la información o del derecho de información del afectado por no facilitar toda la información exigida por los artículos 13 y 14 del Reglamento (UE) 2016/679. […]” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 III El artículo 13 del RGPD —en cumplimiento del deber de información recogido en el precedente artículo 12 del mismo texto legal— regula la información que ha de proporcionarse cuando los datos personales se obtengan del interesado, situación que se produce en los supuestos en que se captan imágenes por un sistema de videovigilancia. En este sentido, el artículo 22.4 de la LOPDGDD establece que “El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información”. En el presente supuesto, la valoración del conjunta de elementos fácticos obrantes en el procedimiento sancionador pone de manifiesto que MANCOMUNIDAD DE PROPIETARIOS R.R.R., como responsable del tratamiento de datos a través del sistema de videovigilancia, no cuenta con carteles informativos adecuados a la normativa de protección de datos. Así, los carteles con el logotipo de la empresa DOMO ACTIVA únicamente identifican al reclamante, pero no proporcionan información acerca del ejercicio de los derechos previstos en los artículos 15 a 22 del RGPD. Los otros tipos de carteles responden a un modelo adecuado a la anterior Ley 15/1999, por lo que deberían adaptarse a la normativa actualmente vigente y procediendo a actualizar la información proporcionada en la medida en que sea preciso. IV Sin perjuicio de lo establecido en el artículo 83.5, apartados
18. a)y b), del RGPD, su art. 58.2
19. b)dispone la posibilidad de sancionar con apercibimiento, en relación con lo señalado en el Considerando 148: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” En el presente caso, al decidir la sanción que corresponde imponer, se ha tenido en cuenta, en especial, que se trata de una entidad cuya actividad principal no está vinculada con el tratamiento de datos personales y que la presunta infracción se considera leve por la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 Por todo ello, se considera que la sanción que corresponde imponer es de apercibimiento, de acuerdo con lo establecido en el artículo 58.2
20. b)del RGPD, en relación con lo señalado en el Considerando 148, antes citados. Por otra parte, de acuerdo con lo establecido en el artículo 58.2
21. d)del RGPD, según el cual cada autoridad de control podrá «ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado […]”, el responsable deberá acreditar, en el plazo de