← España

PS-00280-2025

1/8  Expediente N.º: EXP202506941 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 8 de julio de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a quien se identifica como A.A.A. con NIF ***NIF.1 (*en adelante, A.A.A.). Los hechos que se pone en conocimiento de esta autoridad: La parte reclamante indica que, el 26 de junio de 2024, solicitó a la empresa reclamada que le facilitara todos los registros de imagen y audio en los que esta aparece, y en los que, aunque no aparezca, hallan personas dirigiéndose a ella, captados por la cámara de videovigilancia existente en la entrada del restaurante. La parte reclamante señala que solicitó los registros captados en la franja horaria desde las 11:30 hasta la 13:30 del 22 de junio del 2024, con petición de entrega antes del 30 de junio. La parte reclamante manifiesta que no ha recibido respuesta de la empresa reclamada y, por otros motivos que no le han revelado, le han notificado, por WhatsApp, su despido, el 5 de julio de 2024, sin que la parte reclamante haya firmado aún el documento de despido al no haber recibido respuesta a su petición, que expresa la pasó por escrito y por WhatsApp a la empresa reclamada (propietario del restaurante). La parte reclamante que insiste en la entrega de los registros de las cámaras, quieres poner en conocimiento de la AEPD que las cámaras captan audio, por lo que registran conversaciones. Asimismo, expone que la empresa nunca le notificó los usos y fines de la instalación de videocámaras y, no hay carteles informativos en ninguna parte del restaurante advirtiendo de la existencia de videovigilancia. Aporta (Anexo Documental I)

  1. a)escrito de reclamación ante la AEPD, con fecha de 8 de julio de 2024;
  2. b)fotografía exterior del restaurante;
  3. c)fotografía de una videocámara, encima de un microondas, en lo que parece la barra del restaurante;
  4. d)fotografía del modelo de videocámara;
  5. e)fotografía interior del restaurante. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a A.A.A., para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/8 La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante correo postal certificado, fue devuelta por "ausente". La notificación se reiteró por el mismo medio, entregándose el día 18/09/2024. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 8 de octubre de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: Con fecha 20 de mayo de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 13 del RGPD y Artículo 5.1.
  6. c)del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que la parte reclamada procedió a efectuar un pago único por importe de 1600€, sin más aclaraciones al respecto. SEXTO: En fecha 27/02/26 se emite <Propuesta de Resolución> en la que se confirma la sanción por infracción del artículo 5.1
  7. c)y 13 RGPD, continuando el procedimiento al no haber aportado prueba fehaciente de haber procedido a regularizar el sistema de video-vigilancia, proponiendo el cumplimiento de las correspondientes medidas. SÉPTIMO: En fecha 05/04/26 se recibe escrito de la parte reclamada en dónde manifiesta lo siguiente: “Esta parte procedió al pago voluntario de la sanción económica propuesta por importe de 1.600 euros, dentro del plazo conferido, acogiéndose a las reducciones legalmente previstas. Desde el momento en que se tuvo conocimiento de la reclamación, se procedió a la retirada inmediata del dispositivo simulado, eliminando cualquier posible percepción de captación de imágenes. En la actualidad, el establecimiento no dispone de ningún sistema de videovigilancia, por lo que no se realiza tratamiento alguno de datos personales por este medio. En consecuencia, ha desaparecido completamente cualquier posible riesgo para los derechos y libertades de terceros” Y, en consecuencia, SOLICITA se acuerde la finalización del procedimiento, sin la imposición de medidas adicionales” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/8 A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS Primero. Los hechos traen causa de la reclamación de fecha 08/07/24 por medio de la cual se traslada la presencia de cámara de video-vigilancia en establecimiento hostelero que pudiera estar captando “audio” sin disponer de cartees informativos indicando que se trata de zona video-vigilada. Segundo. Consta identificado como principal responsable A.A.A. con NIF ***NIF.1, quien efectuó un único pago por importe de 1600€. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Antes de entrar en el fondo del asunto, conviene precisar que esta Agencia no va a entrar a valorar cuestiones relacionadas con la licitud de las presuntas pruebas que se hayan obtenido a través de sistema de cámaras de video-vigilancia, cuestión que se debe examinar en su caso por el órgano judicial competente. Respecto al acceso a las imágenes del sistema de cámaras, conviene recordar que la normativa establece la obligación de conservarlas en el caso de uso conforme a su finalidad (vgr. actuaciones que se hayan observado con la misma (
  8. s)contrarias a la Legislación vigente), pudiendo en su caso aportarse en el seno de procedimientos judiciales como medio de prueba admisible en derecho. En el caso de que estas no se utilicen, difícil acceso a las mismas se puede solicitar pues se establece la obligatoriedad de “supresión en el plazo de 30 días” desde su captación (art. 22.3 LOPDGDD). Las cámaras de video-vigilancia son un medio cada vez más usado por las empresas y comercios para proteger su actividad económica, y en ocasiones, también para controlar el comportamiento de las personas trabajadoras. La principal obligación del <responsable> del tratamiento frente a una solicitud es darle respuesta a lo solicitado, lo que no implica el derecho de acceso a las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/8 imágenes que se hayan captado, lo que debe realizarse a través del procedimiento de tutela de derechos oportuno, no siendo la vía del WhatsApp la forma idónea de ejercitarlo en legal forma, ni aportación documental alguna se ha realizado sobre tal aspecto. III Los hechos se concretan, puntualizado lo anterior, en la presencia de un sistema de cámaras de video-vigilancia en establecimiento hostelero, que pudieran estar mal orientadas o ubicada(
  9. s)no acordes a la normativa en vigor. Entre las fotografías aportadas se observa cámara en interior del establecimiento en zona “sin especificar” pero orientada hacia la puerta de acceso (Doc. nº 1). La presencia de cámara en zona interior pero orientada hacia zona de acceso del establecimiento, puede suponer captación de espacio público, sin que aclaración alguna se haya dado al respecto, sin perjuicio de la “posible” existencia de más dispositivos en el establecimiento. El art. 5.1
  10. c)RGPD dispone lo siguiente: Los datos personales serán: “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»). Cabe recordar que los particulares son responsables de velar por que los sistemas instalados se ajusten a la legalidad vigente, acreditando que la misma cumpla con todos los requisitos exigidos por la normativa en vigor. La instalación de este tipo de dispositivos debe contar con el preceptivo cartel informativo, indicando los fines y responsable del tratamiento en su caso de los datos de carácter personal. En todo caso, las cámaras deben estar orientadas hacia los principales accesos del establecimiento, evitando la captación de zonas reservadas (vgr. cocina, vestuario, etc) así como según criterio de esta Agencia zona de comedor al ser una finalidad excesiva y que afecta al derecho a la intimidad de los clientes (
  11. as)del mismo. Tampoco con este tipo de dispositivos se puede obtener imágen (
  12. es)de espacio público, al ser esta competencia exclusiva de las Fuerzas y Cuerpos de Seguridad del Estado. Conviene recordar que aun el caso de tratarse de una cámara “simulada” la misma debe estar orientada preferentemente hacia espacio privativo, dado que se considera que este tipo de dispositivos pueden afectar a la intimidad de terceros, que se ven intimidados por la misma en la creencia de ser objeto de grabación permanente. Por parte de los particulares no se puede instalar aparatos de obtención de imágenes de espacio público, fuera de los casos permitidos en la normativa. La finalidad de este C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/8 tipo de dispositivos debe ser la seguridad del inmueble y de sus moradores, evitando la afectación de derechos de terceros que se vean intimidados con los mismos. IV Infracción artículo 5 RGPD De conformidad con las “pruebas” de las que se dispone se considera que la presencia de cámara (
  13. s)en el establecimiento no se ajusta a la legalidad vigente. Los hechos anteriores suponen una infracción del artículo 5.1
  14. c)RGPD, anteriormente citado. El artículo 72 apartado 1º de la LOPDGDD (LO 3/2018, 5 diciembre) en relación al plazo de prescripción de las infracciones muy graves “prescribirán a los tres años” y en particular las siguientes:
  15. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679 V Infracción artículo 13 RGPD Se recoge en la reclamación, que las mismas no están debidamente informadas, no observándose en las pruebas documentales cartel informativo alguno que informe a tal efecto. La instalación y uso del sistema no requerirá el consentimiento de los trabajadores, pero sí exige un deber de informar a estos con carácter previo y de forma expresa sobre su existencia y finalidad. De manera que los hechos descritos suponen una afectación al contenido del artículo 13 RGPD, relativo a la obligación de informar en el caso de tratamiento de datos de terceros. El artículo 22 LOPDGDD (LO 3/2018, 5 diciembre) dispone: 4. El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información. En todo caso, el responsable del tratamiento deberá mantener a disposición de los afectados la información a la que se refiere el citado reglamento”. Por último, se recuerda que la presencia de cámaras con fines de <control> laboral debe estar informada tanto a los representantes de los trabajadores, como a los propios empleados (art. 89 LOPDGDD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/8 El artículo 72 apartado 1º de la LOPDGDD (LO 3/2018, 5 diciembre) en relación al plazo de prescripción de las infracciones muy graves “prescribirán a los tres años” y en particular las siguientes:
  16. h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica. VI El artículo 83 apartado 1º RGPD dispone: “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias” El art. 83.5 RGPD dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  17. a)Los principios básicos para el tratamiento incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9 (…)”.
  18. b)Los derechos de los interesados a tenor de los artículos 12 a 22; De acuerdo a lo expuesto se considera acertado proponer una sanción de 1000€, por la infracción del art. 5.1
  19. c)RGPD, al disponer de un sistema de video-vigilancia, que no era acorde a la normativa en vigor. La ausencia de cartelería informativa en el establecimiento, así como la falta de información a los empleados (
  20. as)y clientes sobre el uso de las imágenes obtenidas, se considera que afecta al contenido del art. 13 RGPD, imponiendo una sanción de 1000€ por tal infracción. A la hora de motivar la sanción, se tiene en cuenta: - la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (art. 83.5 a); se tiene en cuenta el impacto de la medida, si bien no es posible concretar el número de afectados. - la intencionalidad o negligencia en la infracción (artículo 83.5
  21. b)RGPD), al tratarse de una cámara sin las debidas garantías y no habiendo adoptado medida alguna para informar sobre la misma (s). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/8 VII Medidas correctivas En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD . La parte reclamada ha procedido en escrito de alegaciones a aclarar las medidas adoptadas, mediante la eliminación de cualquier sistema de video-vigilancia, de manera que argumenta no efectuar a día de la fecha tratamiento de dato (
  22. s)alguno. Argumentado lo anterior, solo cabe declarar la infracción cometida en los términos expuestos, no procediendo ordenar medida alguna, al haberse adoptado finalmente medidas correctoras, recordando a futuro que los criterios en orden a la instalación de un sistema de video-vigilancia se pueden consultar en la Guia de Videovigilancia disponible en la página web de este organismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR cometida la infracción (
  23. es)del artículo 5.1c) RGPD y 13 RGPD, por parte de A.A.A., con NIF ***NIF.1, tipificada en el Artículo 83.5 del RGPD letras
  24. a)y b), siendo sancionado con una multa de 2.000 euros. Tras haber procedido la parte reclamada al pago voluntario tras el acuerdo de inicio, aunque sin reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPCAP, a la reducción de un 20% del total mencionado, lo cual supone la cantidad definitiva de 1.600 euros. La efectividad de la citada reducción está condicionada, en todo caso, al desistimiento o renuncia de cualquier acción o recurso en vía administrativa. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  25. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/8 diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  26. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.