PS-00272-2019

1/7  Procedimiento Nº: PS/00272/2019 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 9 de abril de 2019, tuvo entrada en esta Agencia Española de Protección de Datos un escrito presentado por COMUNIDAD DE PROPIETARIOS R.R.R. (en lo sucesivo, el reclamante), mediante el que formula reclamación contra A.A.A. con NIF ***NIF.1 (en adelante, el reclamado), por la instalación de un sistema de videovigilancia instalado en ***DIRECCION.1, existiendo indicios de un posible incumplimiento de lo dispuesto en el art. 5.1

1. c)RGPD. Los motivos que fundamentan la reclamación y, en su caso, los documentos aportados por el reclamante son los siguientes: “Colocar cámaras en fachada dirigida a zonas comunes, escaleras y pasillos, grabando a todos los comuneros que pasan” (folio nº 1). SEGUNDO: Con carácter previo a la admisión a trámite de esta reclamación, se trasladó al reclamado, de conformidad con lo establecido en el artículo 65.4 la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). El resultado de esta actuación se describe a continuación. “No realiza contestación alguna al requerimiento de este organismo” TERCERO: La reclamación fue admitida a trámite mediante resolución de 10 de julio de 2019. CUARTO: Con fecha 25 de octubre de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del Artículo 5.1.
2. c)del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Consultada la base de datos de esta Agencia en fecha 13/02/20 no se ha recibido alegación alguna al respecto en relación al sistema objeto de denuncia. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 Primero. En fecha 09/04/19 se recibe en esta Agencia reclamación de la parte denunciante por medio de la cual se traslada como hecho principal el siguiente: “Colocar cámaras en fachada dirigida a zonas comunes, escaleras y pasillos, grabando a todos los comuneros que pasan” (folio nº 1). La parte denunciante acredita la instalación del dispositivo en la fachada del inmueble, sin contar con la autorización del conjunto de propietarios. (Doc. Probatorio nº 1). Segundo. Consta identificado como principal responsable Don A.A.A.. Tercero. Consta acreditado que el mismo ha procedido a instalar un dispositivo de video-vigilancia en la fachada del inmueble, orientado hacia zonas de tránsito, sin autorización alguna de la Junta de propietarios. Con el dispositivo instalado se obtienen imágenes según la orientación de la misma de la zona de pasillo por la que se accede a su vivienda. Cuarto. En el cartel informativo (Doc. Probatorio nº 2) no se informa del responsable del tratamiento, ni se aporta dirección efectiva alguna a la que en su caso dirigirse. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), reconoce a cada Autoridad de Control, y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y resolver este procedimiento. II En el presente caso, se procede a examinar la reclamación de fecha 09/04/19 por medio de la cual se traslada como hecho principal el siguiente: “Colocar cámaras en fachada dirigida a zonas comunes, escaleras y pasillos, grabando a todos los comuneros que pasan” (folio nº 1). La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. En el artículo 4.2 del RGPD se define el concepto de “tratamiento” de datos personales. Es, por tanto, pertinente analizar si el tratamiento de datos personales (imagen de las personas físicas) llevado a cabo a través del sistema de videovigilancia denunciado es acorde con lo establecido en el RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 Las cámaras instaladas por particulares no pueden estar orientadas hacia zona privativas de terceros, obteniendo imágenes/sonido de conversaciones de terceros, al afectar a su intimidad, al margen que existen medidas menos invasivas de protección del inmueble, en caso de ser necesario. Los hechos descritos suponen una afectación al artículo 5.1
3. c)RGPD “Los datos personales serán: c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»). Los particulares que instalan este tipo de dispositivos son responsables de que el mismo se ajuste a la legalidad vigente, debiendo cumplir con las exigencias establecidas además en la Ley de Propiedad Horizontal (LPH). III De conformidad con lo expuesto, el tratamiento de imágenes a través de un sistema de videovigilancia, para ser conforme con la normativa vigente, debe cumplir los requisitos siguientes: - Respetar el principio de proporcionalidad. - Cuando el sistema esté conectado a una central de alarma, únicamente podrá ser instalado por una empresa de seguridad privada que reúna los requisitos contemplados en el artículo 5 de la Ley 5/2014 de Seguridad Privada, de 4 de abril. - Las videocámaras no podrán captar imágenes de las personas que se encuentren fuera del espacio privado en donde esté instalado el sistema de videovigilancia, ya que el tratamiento de imágenes en lugares públicos sólo puede ser realizado, salvo que concurra autorización gubernativa, por las Fuerzas y Cuerpos de Seguridad. Tampoco pueden captarse ni grabarse espacios propiedad de terceros sin el consentimiento de sus titulares, o, en su caso, de las personas que en ellos se encuentren. Esta regla admite alguna excepción ya que, en algunas ocasiones, para la protección de espacios privados, donde se hayan instalado cámaras en fachadas o en el interior, puede ser necesario para garantizar la finalidad de seguridad la grabación de una porción de la vía pública. Es decir, las cámaras y videocámaras instaladas con fines de seguridad no podrán obtener imágenes de la vía pública salvo que resulte imprescindible para dicho fin, o resulte imposible evitarlo por razón de la ubicación de aquéllas y extraordinariamente también se recogerá el espacio mínimo para dicha finalidad. Por lo tanto, las cámaras podrían excepcionalmente captar la porción mínimamente necesaria para la finalidad de seguridad que se pretende. - Se deberá cumplir el deber de informar a los afectados previsto en los artículos 12 y 13 del RGPD, resultando de aplicación -al no contradecir las disposiciones del referido Reglamento-, el modo previsto en el artículo 3 de la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el Tratamiento de Datos Personales con Fines de Vigilancia a través de Sistemas de Cámaras o Videocámaras. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 En concreto se deberá colocar en las zonas videovigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados, en el que se identificará, al menos, la existencia de un tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en dichos preceptos. Asimismo, deberá mantenerse a disposición de los afectados la información a la que se refiere el citado RGPD. - El responsable deberá llevar un registro de actividades de los tratamientos efectuados bajo su responsabilidad en el que se incluya la información a la que hace referencia el artículo 30.1 del RGPD. - Las cámaras instaladas no pueden obtener imágenes de espacio privativo de tercero y/o espacio público sin causa justificada debidamente acreditada, ni pueden afectar a la intimidad de transeúntes que transiten libremente por la zona. No está permitida, por tanto, la colocación de cámaras hacia la propiedad privada de vecinos con la finalidad de intimidarlos o afectar a su ámbito privado sin causa justificada. - En ningún caso se admitirá el uso de prácticas de vigilancia más allá del entorno objeto de la instalación y en particular, no pudiendo afectar a los espacios públicos circundantes, edificios contiguos y vehículos distintos de los que accedan al espacio vigilado. En relación con lo expuesto, para facilitar la consulta a los interesados la Agencia Española de Protección de Datos ofrece a través de su página web [https://www.aepd.es] acceso a la legislación en materia de protección de datos personales, incluyendo el RGPD y la LOPDGDD (apartado “Informes y resoluciones” / “normativa”), así como a la Guía sobre el uso de videocámaras para seguridad y otras finalidades, así como la Guía para el cumplimiento del deber de informar (ambas disponibles en el apartado “Guías y herramientas”). También resulta de interés, en caso de realizar tratamientos de datos de bajo riesgo, la herramienta gratuita Facilita (en el apartado “Guías y herramientas”), que mediante unas preguntas concretas, permite valorar la situación del responsable respecto del tratamiento de datos personales que lleva a cabo, y en su caso, generar diversos documentos, cláusulas informativas y contractuales, así como un anexo con medidas de seguridad orientativas consideradas mínimas. IV La reclamación se basa en la instalación de un sistema de video-vigilancia con presunta orientación hacia zonas comunes, sin contar con la autorización de la Junta de propietarios y sin contar con el debido cartel informativo homologado. Consta identificado en la reclamación como principal responsable el vecino del inmueble referenciado anteriormente. Para poder instalar una cámara de video-vigilancia, en el caso del bungalow de su propiedad, debe ponerlo en conocimiento del Presidente (
4. a)de la Comunidad de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 propietarios, debiendo en todo caso estar orientada la misma hacia la puerta y ventanas de su propiedad, no afectando a zonas comunes (como pasillos de tránsito) dado que se afecta a la intimidad de terceros sin causa justificada. Asimismo, debe disponer de un cartel homologado, indicando el responsable del tratamiento, la finalidad del mismo y una dirección efectiva a la que poder dirigirse, máxime si el mismo es vivienda estacional en este país. Los hechos conocidos son constitutivos de una infracción, imputable al reclamado, por vulneración del art. 5.1
5. c)RGPD, anteriormente descrito. Además, el reclamante advierte que el inmueble reseñado no dispone de cartel en el que se informe sobre la presencia de las cámaras y sobre la identidad del responsable del tratamiento de los datos, para que las personas interesadas puedan ejercitar los derechos previstos en los arts. 15 a 22 del RGPD. El artículo 83.5 RGPD dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
6. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)”. V Los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, se establecen en el artículo 58.2 del RGPD. Entre ellos se encuentran la potestad de sancionar con apercibimiento -artículo 58.2 b)-, la potestad de imponer una multa administrativa con arreglo al artículo 83 del RGPD -artículo 58.2 i)-, o la potestad de ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un plazo especificado -artículo 58. 2 d)-. Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en el artículo 58.2
7. d)del citado Reglamento es compatible con la sanción consistente en multa administrativa. Sin perjuicio de lo establecido en el artículo 83 del RGPD, el citado Reglamento dispone en su art. 58.2
8. b)la posibilidad de sancionar con apercibimiento, en relación con lo señalado en el Considerando 148: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la auC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 toridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” En el presente caso, se considera que la comunidad de propietarios ha advertido al denunciado, sobre la “disconformidad” de la Junta de propietarios, pudiendo haber dado al menos las explicaciones precisas para evitar la denuncia de los “hechos” a este organismo, las cámaras según los indicios aportados afectan a zonas comunes y no están debidamente señalizadas, lo que justifica la imposición de una sanción cifrada en la cuantía de 2000€ (Dos Mil Euros), teniendo en cuenta la ausencia de infracciones previas y el carácter particular del mismo, pero siendo el denunciado conocedor de la “ilegalidad” de la instalación de la cámara en cuestión. La parte denunciada deberá aclarar la causa/motivo de la instalación de la cámara, así como las características técnicas de la misma, aportando fotografías con fecha y hora de lo que capta con la misma en un plano de situación, o en su defecto que ha procedido a la retirada de la misma del lugar de los hechos (vgr. aportando fotografía fecha y hora del antes/después). Se advierte que no atender a los requerimientos de este organismo puede ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. El Presidente de la Comunidad de propietarios o en su caso el Administrador, puede entregar copia de la presente resolución al denunciado, al deber disponer de un dirección para comunicarse con el mismo, o bien hacer entrega fehaciente en el buzón de correos de este, pudiendo una vez acreditado el acceso a la misma o bien in tentada la notificación, interponer nueva denuncia si el denunciado persiste en su conducta infractora. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a Don A.A.A., con NIF ***NIF.1, por una infracción del artículo 5.1.
9. c)del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 2000€ (Dos Mil Euros). SEGUNDO: NOTIFICAR la presente resolución a Don A.A.A. e INFORMAR del resultado de las actuaciones a la parte denunciante COMUNIDAD DE PROPIETARIOS R.R.R.. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
10. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
11. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es