PS-00270-2014

1/22 Procedimiento Nº PS/00270/2014 RESOLUCIÓN: R/02248/2014 En el procedimiento sancionador PS/00270/2014, instruido por la Agencia Española de Protección de Datos a la entidad ROTOMADRID S.L., vista la denuncia presentada por la CONFEDERACION INTERSINDICAL DE MADRID y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 28 de mayo de 2013 tiene entrada en esta Agencia escrito de la CONFEDERACION INTERSINDICAL DE MADRID (en adelante el denunciante) comunicando la posible infracción a la Ley Orgánica 15/1999 motivada por las cámaras de videovigilancia cuyo titular es la entidad ROTOMADRID S.L. (en adelante el denunciado) instaladas en la sede de la empresa situada en la calle (C/..............1), Madrid. El denunciante manifiesta que se comenten supuestas irregularidad por parte de la empresa denunciada en relación con el sistema de videovigilancia:  Grabación sin consentimiento ROTOMADRID, S.L. de los trabajadores de  Falta de control de acceso y gestión de soportes de los ficheros de imágenes.  Uso indebido de las grabaciones ya que cualquier vigilante puede crear ficheros para su uso personal.  Captación de la vía pública. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: El día 14 de abril de 2014 se realizó una visita de inspección en ROTOMADRID S.L. en la calle (C/..............1), Madrid, poniéndose de manifiesto los siguientes hechos durante la inspección, recogidos así en el Acta de Inspección: 1. C/ Jorge Juan, 6 28001 – Madrid ROTOMADRID, S.L. tiene como actividad la impresión de periódicos y es la sociedad responsable del sistema de videovigilancia instalado en la sede de la empresa en la que se realiza la presente inspección. www.agpd.es sedeagpd.gob.es 2/22 2. La finalidad de la instalación del sistema de videovigilancia es por motivos de seguridad para proteger el establecimiento, las personas y bienes de su interior. 3. El sistema de videovigilancia consta de 33 cámaras de video, de las que 4 están fuera de servicio por avería. Excepto 4 de dichas cámaras que son de tipo DOMO el resto son cámaras fijas y no disponen de función de zoom. Las 4 cámaras de tipo DOMO disponen de movimiento horizontal (360º) y vertical (180 º). Así mismo el sistema dispone de un grabador en el que se registran las imágenes capturadas por todas las cámaras con capacidad para conservar dichas imágenes por un periodo de 7 días. 4. EL sistema de videovigilancia ha sido instalado por la empresa PROSEGUR COMPAÑÍA DE SEGURIDAD S.A., con la que además tienen contratados los servicios de seguridad de la empresa y son los encargados de la gestión del sistema de videovigilancia. 5. El sistema no se encuentra conectado a ninguna Central Receptora de Alarmas. 6. Las imágenes que recogen las cámaras de video son reproducidas en tiempo real en dos monitores que se encuentran ubicados uno de ellos en la garita de seguridad ubicada junto a la puerta de acceso principal y el otro en una sala de control que se encuentra ubicada en el interior del edificio. 7. Existe un acceso restringido tanto a las imágenes como al sistema de grabación, ya que únicamente el personal autorizado dispone de acceso al sistema y a las imágenes, que se custodian en una sala de control en el interior del edificio. 8. Los trabajadores de la empresa han sido informados verbalmente de la existencia de un sistema de videovigilancia y de la finalidad del mismo. 9. Desconocen el procedimiento para la extracción de imágenes grabadas del sistema de videovigilancia ya que no han necesitado realizar extracciones desde que está instalado el sistema, llegado el caso se lo solicitarían a PROSEGUR que es la empresa encargada de la gestión del sistema. 10. Respecto a las imágenes capturadas por las cámaras se comprobó lo siguiente:  La cámara DOMO 1 captura imágenes de la vía pública calle (C/..............1).  La cámara DOMO 2 captura imágenes de la vía pública (C/..............2).  La cámara DOMO 3 captura imágenes de la parcela colindante.  La cámara DOMO 4 captura imágenes de la vía pública calle (C/..............1). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/22  La cámara 4 recoge imágenes de la campa exterior que no es propiedad de ROTOMADRID, S.L.  La cámara 5 recoge imágenes de la parcela adyacente.  La cámara 8 recoge imágenes de la vía pública calle (C/..............1).  La cámara 13 recoge imágenes de la vía pública calle (C/..............1).  La cámara 31 recoge imágenes de la entrada al recinto y parte de la acera pública.  Las cámaras instaladas en el interior del edificio recogen imágenes de pasillos y zonas comunes.  Las imágenes más antiguas conservadas corresponden al día 7 de abril de 2014, de lo que se desprende que las imágenes se conservan durante 7 días. 11. Existen 3 carteles informativos de la existencia de una zona videovigilada ubicados uno en cada una de las tres puertas de acceso al recinto, que informan del responsable ante el que ejercer los derechos de protección de datos de carácter personal, aunque el texto aparece algo borroso por la falta de conservación. No se han localizado ficheros inscritos en el Registro General de Protección de Datos cuyo responsable sea ROTOMADRID, S.L., con la finalidad de VIDEOVIGILANCIA. TERCERO: Con fecha 19 de mayo de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la entidad ROTOMADRID S.L., por presunta infracción de los artículos 26.1 y 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como leve y grave en los artículos 44.2.

1. b)y 44.3.b), respectivamente de dicha norma, pudiendo ser sancionada con multa de 900 € a 40.000 € en el primer caso y de 40.001 € a 300.000 € en el segundo, de acuerdo con el artículo 45.1 y.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la entidad ROTOMADRID S.L. formuló alegaciones, significando, que: “…Mí mandante reconoce expresamente que ha incurrido en la infracción consistente en no notificar a la AEPD la creación de ficheros de datos de carácter personal. (…) Concurren todos los requisitos exigidos por el artículo 45.6 de la LOPD, lo que debe conducir al sobreseimiento y archivo del presente procedimiento en relación con la primera de las infracciones imputadas y, en su caso, a la aplicación del apercibimiento previsto por dicho precepto. Y ello, con arreglo a la normativa y jurisprudencia expuestas y a los pronunciamientos anteriores de la AEPD. Para el caso de que no se estime la concurrencia de los requisitos del apercibimiento (lo que únicamente se admite a los efectos dialécticos), procedería la imposición de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/22 sanción prevista para las infracciones de carácter leve en el artículo 45.1 de la LOPD en su cuantía mínima, esto es, 900 euros. (…) RESPECTO DE LA SEGUNDA DE LAS INFRACCIONES IMPUTADAS, (…) El Acuerdo de Inicio vulnera el principio de tipicidad y el derecho a la legítima defensa de mi mandante(…) No existe infracción en relación con la grabación de trabajadores porque la conocen y la consienten (…) No existe infracción en relación con las grabaciones de la vía pública porque las mismas responden a las exigencias de seguridad de las instalaciones de ROTOMADRID y son proporcionadas (…) En conclusión, la captación de imágenes en vía pública y en las parcelas colindantes por parte de las cámaras de ROTOMADRID están fueran del ámbito de aplicación de la normativa en materia de protección de datos y, por tanto, no puede ser sancionada con base en la misma. (…) …si se admitiese, a efectos dialécticos, que sí ha existido un tratamiento de datos, debe señalarse que, en el presente caso, concurren determinadas circunstancias que legitiman dichas grabaciones con arreglo a la normativa y jurisprudencia expuestas: Frecuentes incursiones en la propiedad de ROTOMADRID: (…) Inseguridad de la zona: (…) Frecuentes incidentes con motivo de huelgas: (…) En atención a lo anterior, es evidente que las partes de vía pública y de parcelas colindantes captadas por las cámaras son las estrictamente necesarias para garantizar las necesidades de seguridad de las instalaciones de ROTOMADRID. (…) En el caso de que se estime que mi representada ha incurrido en una infracción, igualmente procedería el sobreseimiento y archivo del expediente de referencia y, si dicha pretensión no fuera estimada, la sanción debería aplicarse en su grado y cuantía mínimos (…) No procedería la imposición de sanción alguna sino, en su caso, un apercibimiento. (…) Aun cuando se admitiera (a efectos dialécticos) la procedencia de imponer una sanción a mi mandante, la misma debe imponerse en su grado y cuantía mínimos. (…)” Concluyen las alegaciones solicitando que se dicte resolución por la que se acuerde: “El sobreseimiento y archivo del expediente sancionador de referencia y, en caso de resultar procedente en los términos expuestos en el presente escrito, el apercibimiento a mi representada. Con carácter subsidiario, la aplicación de las sanciones previstas para las dos infracciones cometidas en su grado y cuantía mínimos en los términos expuestos en este escrito.” QUINTO: Con fecha 26 de junio de 2014 se inició el período de práctica de pruebas, acordándose practicar las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/22 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por la CONFEDERACION INTERSINDICAL DE MADRID y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante la entidad ROTOMADRID S.L., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/04671/2013. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00270/2014 presentadas por la entidad ROTOMADRID S.L., y la documentación que a ellas acompaña. SEXTO: Con fecha 26 de agosto de 2014 se formuló propuesta de resolución, proponiendo la imposición de una sanción de 40.001 € a la entidad ROTOMADRID S.L., por la comisión de una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
2. b)de dicha Ley y la imposición de una sanción de 10.000 €, por la comisión de una infracción del artículo 26.1 de la LOPD, tipificada como leve en el artículo 44.2.
3. b)de dicha Ley. SÉPTIMO: Notificada la propuesta de resolución la entidad ROTOMADRID S.L. realizó alegaciones frente a la misma en las que comunica: “…En las alegaciones formuladas por esta representación frente al Acuerdo de Inicio, mi mandante reconoció expresamente que incurrió en la infracción consistente en no notificar a la AEPD la creación de ficheros de datos de carácter personal. Ahora bien, en relación con ello, se acreditó (
4. i)que concurren determinadas circunstancias que deben conllevar el sobreseimiento y archivo del expediente de referencia y (
5. u)que, si procediera, éste debe sustituirse por un mero apercibimiento a mi representada. (…) No está acreditado que mi representada realice grabaciones de personas “identificadas o identificables” mediante su sistema de videovigilancia. (…) …concurren determinadas circunstancias que legitiman las mentadas grabaciones con arreglo a la normativa y jurisprudencia aplicable. En concreto, se ha acreditado debidamente (
6. i)frecuentes incursiones en la propiedad de ROTOMADRID, (
7. i)la inseguridad de la zona y (iii) frecuentes incidentes con motivo de huelgas. (…) Tal y como se ha acreditado en la presente alegación, no han quedado desvirtuadas en la Propuesta de Resolución las alegaciones que esta representación formuló frente a Acuerdo de Inicio en relación con las dos presuntas infracciones cometidas. Con base en ello, no cabe sino concluir que debe declararse el sobreseimiento del presente procedimiento sancionador y el archivo de sus actuaciones y, en su caso, aplicar a mi representada el apercibimiento previsto en el artículo 45.6 de la LOPD. (…) VULNERACIÓN DEL PRINCIPIO DE PROPORCIONALIDAD Admitiendo a los meros efectos dialécticos que procede la imposición de una sanción por la comisión de la primera de las infracciones, en la presente alegación ha quedado acreditado que la cuantía de la sanción que se recoge en la Propuesta de Resolución, resulta contraria a Derecho por vulnerar de manera manifiesta el principio de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/22 proporcionalidad reconocido en el artículo 131 de la LRJPAC, y su concreción en el deber de especial motivación, conforme al artículo 54 de la misma norma, al proponer una sanción de multa en cuantía superior a la mínima prevista, sin contener la justificación que resultaría exigible para ello, en los términos que exige la jurisprudencia aplicable. Asimismo, la cuantificación de la sanción que recoge la Propuesta de Resolución supone un trato discriminatorio a mi mandante respecto de otros administrados que en supuestos análogos fueron sancionados con 900 euros. (…) EN RELACIÓN CON LA SEGUNDA DE LAS INFRACCIONES IMPUTADAS, SUBISIDIARIAMENTE PROCEDE LA APLICACIÓN DE LA SANCIÓN PREVISTA PARA LAS INFRACCIONES LEVES EN SU GRADO Y CUANTÍA MÍNIMOS Con base en todo lo anterior, en el caso de apreciar que mi representada ha cometido la infracción prevista en el artículo 44.3.
8. b)de la LOPD y que, además, no procede la imposición de un apercibimiento (lo que únicamente se admite a los meros efectos dialécticos), la sanción que procedería imponer a mi mandante debería ser (
9. i)la prevista para las infracciones calificadas corno leves y (
10. ji)en su grado y cuantía mínimos (esto es, 900 euros).(…) Como ha quedado acreditado a través de la documentación que se adjunta al presente escrito, a pesar de que considera que no ha cometido la infracción que se le imputa, como muestra de su deseo de colaborar con las autoridades competentes en cualquier ámbito y de su buena fe, mi mandante ha procedido a reorientar las cámaras evitando la captación de imágenes de la vía pública y de las parcelas colindantes. (…) Pues bien, mediante el presente escrito se aporta como Documento n° 1 un certificado emitido por SABICO SEGURIDAD, S.A. en el que se declara que, en la sede de mi mandante, “ha gestionado la obtención de las fotografías que se adjuntan a la presente y que reflejan las imágenes que se captan en la actualidad a través de las cámaras de seguridad. Dichas fotografías acreditan que las referidas cámaras han sido reorientadas con posterioridad al 21 de mayo de 2014 y que han limitado la captación de imágenes de la vía pública y de las parcelas colindantes. En relación con las cuatro cámaras DOMO instaladas en la referida sede, las mismas han sido fijadas y la única imagen que captan, con carácter permanente, es la que se refleja en las fotografías que se adjuntan a la presente” Concluyen las alegaciones solicitando que se dicte resolución en la que se acuerde: “El sobreseimiento y archivo del expediente sancionador de referencia y, en caso de resultar procedente en los términos expuestos en el presente escrito, el apercibimiento a mi representada. Con carácter subsidiario, la aplicación de las sanciones previstas para las dos infracciones cometidas en su grado y cuantía mínimos en los términos expuestos en este escrito.” HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/22 PRIMERO: Con fecha 14 de abril de 2014 la Inspección de esta Agencia Española de Protección de Datos realizó una visita a la entidad ROTOMADRID S.L. situada en la calle (C/..............1), Madrid, con motivo de la denuncia recibida por la posible infracción de la LOPD de su sistema de videovigilancia.(folios 14 a 41) SEGUNDO: ROTOMADRID, S.L. tiene como actividad la impresión de periódicos y es la sociedad responsable del sistema de videovigilancia instalado en la sede de la empresa en la que se realiza la inspección. La finalidad del sistema de videovigilancia es la seguridad del establecimiento, las personas y bienes de su interior. El sistema de videovigilancia consta de 33 cámaras de video, de las que 4 están fuera de servicio por avería. Excepto 4 de dichas cámaras que son de tipo DOMO el resto son cámaras fijas y no disponen de función de zoom. Las 4 cámaras de tipo DOMO disponen de movimiento horizontal (360º) y vertical (180 º). Así mismo el sistema dispone de un grabador en el que se registran las imágenes capturadas por todas las cámaras con capacidad para conservar dichas imágenes por un periodo de 7 días. (folios 14 a 41) TERCERO: El sistema de videovigilancia ha sido instalado por la empresa PROSEGUR COMPAÑÍA DE SEGURIDAD S.A., con la que además tienen contratados los servicios de seguridad de la empresa y son los encargados de la gestión del sistema de videovigilancia. El sistema no se encuentra conectado a ninguna Central Receptora de Alarmas. Las imágenes que recogen las cámaras de video son reproducidas en tiempo real en dos monitores que se encuentran ubicados uno de ellos en la garita de seguridad ubicada junto a la puerta de acceso principal y el otro en una sala de control que se encuentra ubicada en el interior del edificio. Existe un acceso restringido tanto a las imágenes como al sistema de grabación, ya que únicamente el personal autorizado dispone de acceso al sistema y a las imágenes, que se custodian en una sala de control en el interior del edificio. Desconocen el procedimiento para la extracción de imágenes grabadas del sistema de videovigilancia ya que no han necesitado realizar extracciones desde que está instalado el sistema, llegado el caso se lo solicitarían a PROSEGUR que es la empresa encargada de la gestión del sistema. (folios 14 a 41) CUARTO: Respecto a las imágenes capturadas por las cámaras los inspectores actuantes comprobaron lo siguiente:  La cámara DOMO 1 captura imágenes de la vía pública calle (C/..............1).  La cámara DOMO 2 captura imágenes de la vía pública (C/..............2).  La cámara DOMO 3 captura imágenes de la parcela colindante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/22  La cámara DOMO 4 captura imágenes de la vía pública calle (C/..............1).  La cámara 4 recoge imágenes de la campa exterior que no es propiedad de ROTOMADRID, S.L.  La cámara 5 recoge imágenes de la parcela adyacente.  La cámara 8 recoge imágenes de la vía pública calle (C/..............1).  La cámara 13 recoge imágenes de la vía pública calle (C/..............1).  La cámara 31 recoge imágenes de la entrada al recinto y parte de la acera pública.  Las cámaras instaladas en el interior del edificio recogen imágenes de pasillos y zonas comunes.  Las imágenes más antiguas conservadas corresponden al día 7 de abril de 2014, de lo que se desprende que las imágenes se conservan durante 7 días. (folios 14 a 41) QUINTO: Existen 3 carteles informativos de la existencia de una zona videovigilada ubicados uno en cada una de las tres puertas de acceso al recinto, que informan del responsable ante el que ejercer los derechos de protección de datos de carácter personal, aunque el texto aparece algo borroso por la falta de conservación. Los representantes de la entidad denunciada manifestaron que los trabajadores de la empresa han sido informados verbalmente de la existencia de un sistema de videovigilancia y de la finalidad del mismo. (folios 14 a 41) SEXTO: No se han localizado ficheros inscritos en el Registro General de Protección de Datos cuyo responsable sea ROTOMADRID, S.L., con la finalidad de VIDEOVIGILANCIA. (folios 54 a 55) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
11. g)en relación con el artículo 36 de la LOPD. II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/22 Con carácter previo, debe señalarse que el artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. La LOPD, viene a regular el derecho fundamental a la protección de datos de las personas físicas, esto es, el derecho a disponer de sus propios datos sin que puedan ser utilizados, tratados o cedidos sin su consentimiento, con la salvedad de las excepciones legalmente previstas. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el apartado
12. a)del artículo 3 de la LOPD, como “Cualquier información concerniente a personas físicas identificadas o identificables”. En lo que respecta al concepto de “fichero” el artículo 3.
13. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
14. d)de la LOPD define al responsable del fichero o tratamiento como la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” El artículo 3 de la LOPD define en su letra
15. c)el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. La garantía del derecho a la protección de datos, conferida por la normativa de referencia, requiere que exista una actuación que constituya un tratamiento de datos personales en el sentido expresado. En otro caso las mencionadas disposiciones no serán de aplicación. El artículo 5.1.
16. f)del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, define datos de carácter personal como: “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2.
17. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, según el cual, a efectos de dicha Directiva, se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/22 De lo anteriormente expuesto se desprende que el concepto de dato personal, según la definición de la LOPD, requiere la concurrencia de un doble elemento: por una parte, la existencia de una información o dato y, por otra, que dicho dato pueda vincularse a una persona física identificada o identificable. Así, de conformidad con la normativa expuesta, el denunciado dispone de datos personales y los utiliza, lo que constituye un tratamiento de datos personales del que es responsable, toda vez que es quien decide sobre la finalidad, contenido y uso del citado tratamiento. III Con carácter previo a las concretas imputaciones realizadas en el presente procedimiento sancionador cabe responder a lo alegado respecto de que el acuerdo de inicio adolece de falta de concreción en la imputación de falta de consentimiento, lo que vulnera su derecho de defensa. El acuerdo de inicio del presente procedimiento sancionador contiene una sucinta referencia a los hechos que lo motivaron y su posible calificación jurídica, conforme a lo dispuesto en el artículo 13.1 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, en el que se dispone lo siguiente: “1. La iniciación de los procedimientos sancionadores se formalizarán con el contenido mínimo siguiente:
18. a)Identificación de la persona o personas presuntamente responsables.
19. b)Los hechos sucintamente expuestos que motivan la incoación del procedimiento, su posible calificación y las sanciones que pudieran corresponder, sin perjuicio de lo que resulte de la instrucción.
20. c)Instructor y, en su caso, Secretario del procedimiento, con expresa indicación del régimen de recusación de los mismos.
21. d)Órgano competente para la resolución del expediente y norma que le atribuya tal competencia, indicando la posibilidad de que el presunto responsable pueda reconocer voluntariamente su responsabilidad, con los efectos previstos en el artículo 8.
22. e)Medidas de carácter provisional que se hayan acordado por el órgano competente para iniciar el procedimiento sancionador, sin perjuicio de las que se puedan adoptar durante el mismo de conformidad con el artículo 15.
23. f)Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y de los plazos para su ejercicio”. Desde la perspectiva procedimental cabe preguntarse si se ha generado indefensión a la entidad denunciada porque se hayan mermado sus posibilidades de defensa. En todo procedimiento sancionador es exigible que se respeten los derechos de defensa con interdicción de indefensión, los artículos 24 y 25 de la Constitución disponen, entre otras garantías, el derecho a no ser sancionado sin ser oído y, a ejercer el derecho a alegar con contradicción en todas las fases del procedimiento. En el presente acuerdo de inicio se advertía a la entidad denunciada sobre los hechos específicos que motivan el procedimiento y que su actuación en los mismos podría suponer una vulneración de lo dispuesto en los artículos 26.1 y 6.1 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/22 Pues bien, las alegaciones realizadas por la entidad denunciada frente al acuerdo de incoación del presente procedimiento, se centran en resaltar que no existe infracción consistente en la falta de consentimiento de los afectados, tanto respecto de los trabajadores en sus instalaciones, como de los viandantes en la vía pública. Así, ninguna indefensión se ha generado a la entidad denunciada toda vez que no se ha mermado su facultad de alegar y proponer prueba respecto a los hechos imputados, la vulneración del principio del consentimiento para el tratamiento de los datos personales de los afectados. IV Se imputa a la entidad ROTOMADRID S.L., la infracción del artículo 26.1 de la LOPD, que recoge lo siguiente: “1. Toda persona o entidad que proceda a la creación de ficheros de datos de carácter personal lo notificará previamente a la Agencia Española de Protección de Datos”. En el caso analizado, ha quedado acreditado que la entidad ROTOMADRID S.L. tiene instalado un sistema de cámaras de videovigilancia compuesto por un total de 33 cámaras en el interior y el exterior del edificio situado en la calle (C/..............1), Madrid, que captan imágenes y las graban conservándolas por un plazo de 7 días, que captan la vía pública y las parcelas colindantes al mencionado edificio. Dado que el denunciado, recaba datos personales a través del sistema de videovigilancia, debió notificar a esta Agencia la creación del fichero antes de iniciar la recogida de datos, es decir, antes de su puesta en funcionamiento. Sin embargo no ha procedido a la notificación del fichero en el Registro General de Protección de Datos de esta Agencia lo que supone una vulneración del citado artículo 26.1 de la LOPD. Además este es el criterio que se hace constar en la Instrucción 1/2006 de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras, que se publicó en el B.O.E de 12 de diciembre de 2006, pues así lo dispone su artículo uno en el que se señala que “La presente Instrucción se aplica al tratamiento de datos personales de imágenes de personas físicas identificadas o identificables, con fines de vigilancia a través de sistemas de cámaras y videocámaras. El tratamiento objeto de esta Instrucción comprende la grabación, captación, transmisión, conservación, y almacenamiento de imágenes, incluida su reproducción o emisión en tiempo real, así como el tratamiento que resulte de los datos personales relacionados con aquéllas. Se considerará identificable una persona cuando su identidad pueda determinarse mediante los tratamientos a los que se refiere la presente instrucción, sin que ello requiera plazos o actividades desproporcionados.” En lo que se refiere al contenido de la inscripción, el artículo 7 de la presente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/22 Instrucción dispone que “1.-La persona o entidad que prevea la creación de ficheros de videovigilancia deberá notificarlo previamente a la Agencia Española de Protección de Datos, para su inscripción en el Registro General de la misma. Tratándose de ficheros de titularidad pública deberá estarse a lo establecido en el artículo 20 de la Ley Orgánica 1 5/1999, de 13 de diciembre de Protección de Datos de Carácter Personal. 2.-A estos efectos, no se considerará fichero el tratamiento consistente exclusivamente en la reproducción o emisión de imágenes en tiempo real”. En el escrito de alegaciones al acuerdo de inicio, la entidad imputada reconoce que ha incurrido en la infracción consistente en no notificar a la AEPD la creación de ficheros de carácter personal. Por otra parte se ha constatado la inscripción en el Registro General de Ficheros de esta AEPD del fichero denominado “VIDEOVIGILANCIA Y CONTROL” con fecha 11 de junio de 2014, con la finalidad declarada de “seguridad y control de acceso a edificios: videovigilancia” cuyo responsable es la entidad ROTOMADRID S.L. V El artículo 44.2.
24. b)de la LOPD, dispone: Son infracciones leves: “
25. c)No solicitar la inscripción del fichero de datos de carácter personal en el Registro General de Protección de Datos.” La entidad ROTOMADRID S.L. ha incurrido en esta infracción por cuanto no procedió a la inscripción de los ficheros de datos de carácter personal, en el Registro General de Protección de Datos previamente a la creación de los ficheros. VI Se imputa a la entidad ROTOMADRID S.L. como responsable del sistema de videovigilancia instalado en el edificio situado en la calle (C/..............1), Madrid, la comisión de una infracción del artículo 6.1 de la LOPD, que dispone lo siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/22 presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado”. Respecto a la legitimación en el tratamiento de las imágenes, la respuesta se encuentra en el artículo 2 de la Instrucción 1/2006, que establece que: “1. Sólo será posible el tratamiento de los datos objeto de la presente instrucción, cuando se encuentre amparado por lo dispuesto en el artículo 6.1 y 2 y el artículo 11.1 y 2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. 2. Sin perjuicio de lo establecido en el apartado anterior la instalación de cámaras y videocámaras deberá respetar en todo caso los requisitos exigidos por la legislación vigente en la materia”. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. En el presente expediente, cabe apreciar que las cámaras instaladas captan imágenes de personas, de conformidad con lo anteriormente expuesto. Dichas imágenes, incorporan datos personales de las personas que se introducen dentro de su campo de visión y, por lo tanto, los datos personales captados están sometidos al consentimiento de sus titulares, de conformidad con lo que determina la LOPD. Dicho tratamiento, por tanto, ha de contar con el consentimiento de los afectados, circunstancia que no se ha acreditado. VII C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/22 Uno de los motivos de la denuncia que ha dado lugar al presente procedimiento sancionador es que se carece del consentimiento de los trabajadores para el tratamiento de sus datos personales realizado con el sistema de videovigilancia instalado en la entidad denunciada. La entidad denunciada ha alegado, por una parte, que no existe infracción en relación con la grabación de trabajadores porque la conocen y la consienten y con relación a esto se expone la habilitación legal que supone lo previsto en el artículo 20.3 del Estatuto de los Trabajadores que faculta al empresario al control del cumplimiento de los deberes laborales de los trabajadores. Por otra parte manifiesta que la finalidad de la instalación del sistema es la seguridad del establecimiento, las personas y los bienes. Sobre esta cuestión hay que tener en cuenta que el artículo 20.3 del Estatuto de los Trabajadores faculta al empresario para adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad humana y teniendo en cuenta la capacidad real de los trabajadores disminuidos, en su caso. Entre estas medidas se encuentra la captación y tratamiento de imágenes de sus trabajadores por medio de cámaras de videovigilancia. Esta legitimación exige por parte del empresario la obligación de informar de dicho tratamiento y con esa finalidad concreta a los trabajadores. A este respecto hay que diferenciar si la finalidad de la instalación de las cámaras en el centro de trabajo es como medida de vigilancia y control del trabajador, o si es una medida de seguridad para proteger la instalación y sus empleados. En el primer caso, cuando el objetivo de la instalación de las cámaras va dirigido al cumplimiento por los trabajadores de sus deberes laborales, el empresario debe garantizar el derecho de información en la recogida de las imágenes, con información específica a la representación sindical y mediante el cartel anunciador y el impreso establecido por la Instrucción 1/2006 en el que se detalle la información prevista en el artículo 5.1 de la LOPD, información que deberá recoger, en su caso, que la finalidad del sistema de videovigilancia incluye el control laboral. En el segundo caso, cuando la finalidad es la de vigilancia y protección de las instalaciones y personal de la empresa, es necesario el cumplimiento del deber de información recogido en el artículo 5 de la LOPD, disponiendo de distintivos informativos de zona de videovigilancia y los impresos informativos, acordes a la Instrucción 1/2006. En el presente caso la entidad responsable ha manifestado que la finalidad de la instalación es la seguridad de bienes y personas y han aportado constancia del cumplimiento con el deber de información recogido en el artículo 3.
26. a)de la Instrucción 1/2006, en relación al artículo 5 de la LOPD, informando a las personas que acceden a las instalaciones, de la existencia del sistema de videovigilancia instalado e informando de que su finalidad es la seguridad. Cabe señalar que se ha manifestado, por parte de la entidad denunciada, que los trabajadores conocen y consienten la grabación por medio de las cámaras. En prueba de que se ha informado de forma específica a la representación sindical y a los trabajadores, de que la finalidad del sistema de videovigilancia no es la del control laboral sino la seguridad de las instalaciones, se aporta como documento 2 de las alegaciones al acuerdo de inicio, un escrito firmado por cinco personas del Comité de empresa en el que declaran que son conocedores de la existencia de las cámaras de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/22 videovigilancia en la sede de Rotomadrid y que manifiestan que han sido informados de que la finalidad es únicamente la vigilancia de las instalaciones. VIII Por otro lado, en este caso concreto, con relación a las cámaras instaladas en el exterior del establecimiento denunciado, hay que señalar que para entender las especialidades derivadas del tratamiento de las imágenes en la vía pública que captan las cámaras situadas en el exterior, es preciso conocer la regulación que sobre esta materia se contempla en el artículo 1 de la Ley Orgánica 4/1997, de 4 de agosto, por la que se regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad en lugares públicos que establece: “La presente Ley regula la utilización por las Fuerzas y Cuerpos de Seguridad de videocámaras para grabar imágenes y sonidos en lugares públicos abiertos o cerrados, y su posterior tratamiento, a fin de contribuir a asegurar la convivencia ciudadana, la erradicación de la violencia y la utilización pacífica de las vías y espacios públicos, así como de prevenir la comisión de delitos, faltas e infracciones relacionados con la seguridad pública”. Este precepto es preciso ponerlo en relación con lo dispuesto en el artículo 3
27. e)de la Ley Orgánica 15/1999, donde se prevé que: “Se regirán por sus disposiciones específicas y por lo especialmente previsto, en su caso, por esta Ley Orgánica los siguientes tratamientos de datos personales:
28. e)Los procedentes de las imágenes y sonidos obtenidos mediante la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad, de conformidad con la legislación sobre la materia”. En virtud de todo lo expuesto, podemos destacar que la instalación de videocámaras en lugares públicos es competencia exclusiva de las Fuerzas y Cuerpos de Seguridad, de ahí que la legitimación para el tratamiento de dichas imágenes se contemple en la Ley Orgánica 4/1997, y además en el mismo texto legal se regulan los criterios para instalar las cámaras y los derechos de los interesados. Asimismo, debe recordarse que el tratamiento de las imágenes deberá cumplir con el principio de proporcionalidad en el tratamiento, consagrado por el artículo 4.1 de la Ley Orgánica 15/1999, según el cual “los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido”. Así lo recuerda el artículo 4.1 de la Instrucción 1/2006, al señalar que “de conformidad con el artículo 4 de la Ley Orgánica 15/1999 de 13 de diciembre, de Protección de Datos de Carácter Personal, las imágenes sólo serán tratadas cuando sean adecuadas, pertinentes y no excesivas en relación con el ámbito y las finalidades determinadas, legítimas y explícitas, que hayan justificado la instalación de las cámaras o videocámaras”. En el presente procedimiento no ha quedado acreditado que el sistema de videovigilancia del denunciado estuviera acogido a las disposiciones de la Ley Orgánica 4/1997, de 4 de agosto, que regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad en lugares públicos, por lo que el tratamiento de los datos recogidos en la vía pública carece de habilitación legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/22 En este caso, las cámaras ubicadas en el exterior del edificio situado en la calle (C/..............1), Madrid, graban imágenes de la vía pública. En la inspección presencial realizada por esta AEPD el día 14 de abril de 2014 se constató que las 9 cámaras instaladas en el exterior del edificio captan imágenes de la calle (C/..............1), la (C/..............2) y de parcelas colindantes, de manera desproporcionada, tal y como se acredita con el reportaje fotográfico que forma parte del acta de inspección (folios 23 a 33), sin que tengan autorización administrativa al respecto, puesto que como ya se ha establecido “ut supra”, la instalación de cámaras en la vía pública es competencia exclusiva de las Fuerzas y Cuerpos de Seguridad del Estado. IX Por otra parte, la Directiva 95/46/CE en su Considerando 14 afirma: “