PS-00281-2022

1/102  Expediente N.º: PS/00281/2022 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 23 y 24/03/2021, se recibe reclamación de A.A.A., en adelante, la parte reclamante) contra SECURITAS DIREC ESPAÑA, S.A. con NIF A26106013 (en adelante, la parte reclamada). En ella, indica que en el procedimiento TD/01593/2017, la Agencia dictó una resolución del siguiente tenor: "Securitas deberá facilitar el acceso al recurrente la información obrante en los servidores (...) relativa a los registros y señales enviados por el equipo de alarma (...), así como las copias existentes de los registros contenidos en la memoria interna de la alarma entre los días 26/11 y 13/12 del año 2015". Esta resolución fue recurrida por Securitas Direct S.A. y confirmada por la Audiencia Nacional. Ese procedimiento de ejercicio de derechos se produce como consecuencia de que el reclamante había ejercitado previamente su derecho acceso ante la reclamada el 7/04/2017: “respecto a toda la información obrante en los servidores de Securitas Direct relativa a los registros y señales enviadas por el equipo de alarma instalado en” su propiedad, “así como las copias existentes de los registros contenidos en la memoria interna de la alarma entre los días 26 de noviembre y 18 de diciembre del año 2015 (antes y después del robo hubo otros incidentes de seguridad que conviene aclarar igualmente)”, “habida cuenta de que tienen la calificación inequívoca de datos personales”. “La información cuyo acceso se solicita hace referencia directa o indirectamente a sucesos y acontecimientos (entradas, salidas, movimientos, saltos de alarma, activación y desactivación de la alarma por determinado usuario, etc.) acaecidos en el interior de mi hogar, de los cuales puede inferirse, directa o indirectamente, actos o comportamientos relacionados con mi persona, otras personas de mi familia o incluso terceros autorizados al acceso a la vivienda”. En relación con ese derecho de acceso, la reclamada le respondió el 11/05/2017 que “los registros contenidos en la alarma no entran dentro de la categoría de datos personales”, según copia de documento 5 que aporta. Al no estar de acuerdo con la respuesta dada por la empresa de seguridad, el reclamante presenta una reclamación ante la Agencia el 28/06/2017, en la que, entre otras cuestiones, indica que el 4/12/2015 por la tarde, descubrió, al acceder a su vivienda, que había sufrido un robo y encontró “la central de alarma” destrozada, sin haber sido avisado, recibiendo solo una llamada de la compañía de seguridad de esa misma mañana en la que le indicaban que existían problemas de conexión. En el texto de la reclamación presentada ante la Agencia el reclamante manifiesta que la reclamada “se ha negado a esclarecer las circunstancias de la intromisión en nuestra vivienda o a desvelar la causa de que el sistema de alarma funcionara defectuosamente, asegurando que el sistema funcionó correctamente”, siendo los clientes los que tuvieron que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/102 telefonear a la compañía de seguridad para informarles que la central de alarma que habían instalado había sido destruida por los ladrones. La citada reclamación se resolvió el 2/01/2018 en el recurso de reposición del procedimiento de ejercicio de derechos TD/01593/2017, estimando el recurso y requiriendo en un plazo que se atendiera el derecho. La reclamada recurrió la resolución ante la Audiencia Nacional (AN), que en la sentencia de la sala de lo Contencioso administrativo, sección primera, de 23/07/2019, recurso 146/2018, desestimó su pretensión. La sentencia de la Audiencia Nacional fue recurrida ante el Tribunal Supremo en casación, admitida a trámite el 29/05/2020, recurso 78/2020, sin embargo, la reclamada desistió del mismo. Alude el reclamante en su nueva reclamación, que ha vuelto a solicitar el acceso el 2/02/2021 y recibió respuesta de la reclamada de 23/02/2021, en la que destaca: 1) Responde: “en cumplimiento, primero de la resolución del recurso de reposición RR 779/2017 de la AEPD y la sentencia de la Audiencia Nacional.”, “adjuntando como documento 1, un listado de “logs asociados a dicho sistema de alarma que son datos de carácter personal”. El documento 1, inicia: “Para poder entender la configuración de la tabla que hemos preparado con los logs que son datos personales…”, y explica los significados de las tres columnas. La tabla Excel de logs proporcionada contiene en la primera columna la fecha/s y hora/ s en que se genera/ el log, o los logs. No aparecen ordenados de forma cronológica, comenzando por 5/12/2015. Solo un log aparece definido cronológicamente entre dos fechas, el de 5/12/2015 18:38: 10 y las 20:15:17. Comprende un total de 94 líneas de logs, más la del período, por lo que se desconoce cuántos serían en total. La fecha o fechas de generación de los logs se correlacionan o agrupan con la “denominación/nomenclatura del log”, y con una descripción básica como “Señal informativa”, “Actuación CRA” (central receptora de alarmas), “pruebas y verificaciones obligatorias como parte del mantenimiento de la instalación“. En la última columna, con “descripción extendida del log”, que según el reclamado contiene una descripción del significado del log, figura en algunos casos la clave N/A, asociada a una nomenclatura, por ejemplo de “actuación CRA Salta buzón de voz”, “operador consigue hablar con contacto”, o “los contactos a los que el operador de Securitas trata de localizar no contestan”. En otros tampoco se concreta al indicar: “se deja mensaje en buzón de voz”. En algún log se refiere a “contacto”, sin identificar o especificar a que contacto se refiere, como “contacto no recuerda la palabra clave para acreditar la identidad y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/102 cerrar la incidencia”, o “los contactos a los que el operador de Securitas trata de localizar no contestan”, ”operador consigue hablar con contacto”. Se observa que figuran logs en los que consta: “código generado automática y aleatoriamente por el sistema para que el vigilante desactive la alarma”-, denominación: “Central prioridad alta”, u otra denominación de log: “pruebas y verificaciones obligatorias como parte del mantenimiento de la instalación” conectado con “denominación extendida: “el técnico realiza comprobaciones reglamentarias para asegurar el funcionamiento correcto del sistema. A petición del cliente puede modificar algún parámetro del propio sistema”. Señala la reclamada que: “Para simplificar la información hay diferentes fechas y horas asociados a un log, y ello es porque hemos agrupado por logs las fechas y horas en las que se generaron en el sistema del Sr.” Considera el reclamante que no se ha contestado satisfactoriamente, debido a que: -El acceso a la información obrante en los servidores ha sido filtrado/reducido por Securitas a los logs que ellos consideran datos personales, cuestión ésta que no le corresponde hacer. -“La tabla proporcionada con información esquemática no satisface el derecho de acceso ejercitado. Por ejemplo, en la página uno, en la columna de nomenclatura "Actuación CRA", se hace constar "distintas actuaciones genéricas del operador humano de Securitas ante una incidencia concreta (e.g. habilitación del habla/escucha; llamada a los distintos contactos listados; comentarios internos en relación a la información que le transmite los contactos)" pero sin indicación alguna de que clase de actuación/información se ha registrado respecto a las incidencias listadas, lo cual impide al solicitante del derecho de acceso, entender y analizar dichos logs, que es el objetivo último de esta solicitud de acceso.“ -“Por último, la respuesta de Securitas es inexistente respecto a la segunda parte de la petición de acceso recogida en la resolución: "las copias existentes de los registros contenidos en la memoria interna de la alarma", “no habiéndose indicado en ningún momento si es que esas copias no existen o no se da acceso por no considerar que no son "logs de datos personales". Con la presentación de la reclamación por el reclamante manifiesta que no se ha atendido correctamente su derecho y con el tiempo transcurrido se le ocasiona indefensión. SEGUNDO: La reclamación dio lugar a que la AEPD resolviera el 17/09/2021 un procedimiento por falta de atención de ejercicio de derechos (arts. 15 a 22 del RGPD), TD/00167/2021, en el que en el trámite de traslado de la reclamación para su resolución (E/4382/2021), la reclamada, manifestó con fecha 19/05/2021: -“El reclamante del derecho de acceso no solicitó en ningún momento tras la firmeza de la sentencia su ejecución o que cautelarmente se cumpliera la resolución de la Agencia que se recurrió en la misma”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/102 Confirma la recepción del escrito del reclamante solicitando el ejercicio del derecho de acceso, al que “dio respuesta con recepción de 3/03/2021.” -Considera que no todos los logs que registran las señales de los equipos de alarmas, así como los contenidos en la memoria interna de la misma se pueden considerar que contienen datos de carácter personal, y que se desprendía del literal de la sentencia: “Dentro de la información obrante en los servidores…, si figuran datos de carácter personal del titular de tal alarma contratada”. Por ello, encargó en 2020 un informe a un despacho jurídico que así lo establecía, para diferenciarlos, que no aporta, pero “pone a disposición de la AEPD”. Indica que, como resultado de ese ejercicio y ese informe, cuenta en la actualidad con un “protocolo para su gestión”. Explica su posición con base a dicho Informe que se resume a continuación. Partiendo del concepto legal de datos de carácter personal, para poder determinar si la información tiene la condición de dato personal por versar sobre una persona física identificada o identificable, será preciso analizar la afectación que la información produce en la misma. “En cuanto a su contenido, la información debe suponer un atributo de cualquier índole predicable directamente del interesado en cuestión, existiendo una relación directa entre atributo y persona. En cuanto a su finalidad, el tratamiento de la información debe tener por objeto el conocimiento del mencionado atributo de esa persona. En cuanto a sus efectos. la información debe referirse a aspectos que afecten al interesado como consecuencia del citado atributo.” En el término explicativo de qué es un dato personal, queda definido por “toda información sobre una persona física”, se parte de cuando se refiera a ella, “y como consecuencia, en el momento en que la información proporcionada no derive o se vincule directamente a la persona física, sino a objetos que le pertenecen o están bajo su influencia, solo indirectamente podrá considerarse que la información se refiere a esa persona y siempre que la misma permita inferir datos referidos a esa persona física y no al propio objeto”. “Por tanto, la información sobre un objeto únicamente tendrá la consideración de dato personal cuando se establezca una conexión o vínculo entre el objeto y el afectado con el objetivo de generar información sobre dicha persona”. La reclamada ha diferenciado dos categorías en las que se podrían encontrar los distintos logs. En una primera categoría se encontrarían los logs que consideran que no implican tratamiento de datos personales, que pueden comprender: “- aquellos en los que no se recoge información sobre un interesado a través de dichos logs que lo individualicen frente al resto de la población, -no se pretende el conocimiento de dicha información con el fin de llevar a cabo un análisis del comportamiento o influir en el mismo, y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/102 - no se ven afectados sus derechos y libertades.“ Enumera las categorías de los logs que se encontrarían en este supuesto: 1) “Emisión de señales de carácter puramente técnico de comunicación entre los dispositivos como parte del protocolo de verificación de su correcto funcionamiento o para el registro de algún fallo técnico. 2) Registro de señales informativas en relación con, entre otras, la versión del sistema, modelo o categoría del dispositivo instalado. 3) Registro descriptivo de procedimientos internos y técnicos ante un evento concreto. 4) Registro de señales técnicas en relación con las configuraciones de los dispositivos que no proporcionan información sobre el interesado o sus hábitos sino que simplemente refleja en calibraciones de los sistemas de Securitas para su correcto funcionamiento. 5) Información estadística acerca de los dispositivos.“ Alude además, que “dichos logs” podrían contener información sobre procesos técnicos internos de la reclamada cuya revelación a terceros podría implicar difusión de secretos comerciales. Menciona a tal efecto, el considerando 63 del RGPD, como legitimador de “discriminar la información que puede proporcionar a la persona que ejerce el acceso.” En una segunda categoría estarían los logs que consideran sí que implican tratamiento de datos personales, en la medida que: - “Recogen la información sobre un interesado y sus características intrínsecas, -Se busca el conocimiento de dicha información para analizarlo o influir en su comportamiento, -Se ven afectados sus derechos y libertades.” Añadiendo o especificando que “no todos los logs de esta categoría implicarían el tratamiento de datos de los titulares de los contratos”, sino que “podrían implicar el tratamiento de datos personales de terceras personas”. “En esta categoría, se incluirían los siguientes logs.” 1) “Procesos llevados a cabo por operadores o técnicos de Securitas , que en ocasiones pueden ser considerados dato personal de un tercero distinto al cliente de Securitas” 2) “Las interacciones activas del propio usuario -o terceros- con los sistemas en físico o a través de la aplicación móvil.” 3) “Interacciones pasivas del usuario o de terceros que puedan proporcionar información en relación con su forma de actuar en un determinado instante o su disponibilidad frente a un evento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/102 4) Registros de identificadores de los interesados que se contienen en los logs, tales como por ejemplo nombre y apellidos o direcciones de correo electrónico.” 5) Imágenes o datos en relación con una intrusión o sabotaje. En este sentido, es preciso indicar que si el intruso es captado por la cámara de seguridad, en la medida en que dicha persona sea identificable a raíz de la imagen obtenida, nos encontraríamos ante un dato personal del mismo.” 6) Pulsaciones introducción de códigos que determinan una situación particular del interesado. 7) Configuraciones del propio usuario que determinan un conocimiento de sus gustos o patrones de conducta”. Manifiesta que la respuesta del acceso proporcionada al reclamante contenía los logs que son datos de carácter personal que afectan al cliente, quedando “excluidos los técnicos o que afectan a terceros”. -Añaden que han enviado el 18/05/2021 un e mail al reclamante, aportan copia de documento 4 en el que se remiten a lo ya enviado el 26/02/2021, recibido por el reclamante el 3/03/2021. -Manifiestan que las causas que han motivado la incidencia original de la reclamación se deben a que “no todos los logs generados por un sistema de alarma son datos de carácter personal”. -Con fecha 7/06/2021, se acuerda por la Directora de la AEPD “el acuerdo de admisión a trámite, y el inicio de un procedimiento de ejercicio de derechos de los artículos 15 a 22 RGPD”, procedimiento TD/00167/2021. -En el seno de dicho procedimiento, la reclamada, (…), manifiesta:

1. a)En relación con el contenido de la “memoria interna de la alarma instalada en el domicilio del reclamante”, esta generó logs hasta el 27/11/2021, 20:09, hora y fecha en la que se produjo la intrusión en el domicilio-como este ya conoce- durante la cual dicho sistema de alarma quedó completamente inutilizado. A partir de esa fecha, no pudo generar más logs de ningún tipo. Por tanto, en el marco temporal entre el 26/11 y 18/12/2015, la memoria interna solo pudo generar logs los días 26 y 27/11/2015, y tras el análisis de los logs generados en la memoria interna de la alarma, solo constaba un log generado en ese marco temporal, el cual constaba en la respuesta dada al reclamante el 23/02/2021. Aportan documento 1, que es el cuadro con columnas del acceso que se le dio al reclamante en esa fecha, en el que aparece marcado en verde fluorescente ese log, y en el que se puede leer: “27/11/2015 20:09:47/CENTRAL PRIORIDAD ALTA/Código generado automática y aleatoriamente por el sistema para que el vigilante desactive la alarma”. Consideran que han dado cumplimiento al derecho de acceso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/102 Ya en el seno de la tramitación de la TD/00167/2021, el 23/06/2021, se envió al reclamante la copia de la respuesta dada por la reclamada, y con fecha 16/07/2021, el reclamante manifestó: -Por un lado que la información ha de proporcionarse de manera transparente e inteligible. “El listado incompleto de logs proporcionado por Securitas Direct no permite a esta parte entender de manera transparente e inteligible la información obrante en sus servidores relativo al funcionamiento del sistema de alarma existente en mi domicilio”. Por otro lado, señala que lo que ha hecho la reclamada ha sido confeccionar un listado de logs filtrado por el despacho de abogados que contrató, diferenciando los que puedan considerarse que contienen datos personales de aquellos otros que no. Añade que esta diferenciación no le corresponde a la reclamada y señala que “la Audiencia Nacional consideró que todos los logs son datos de carácter personal y de ello deduce que el acceso ha sido incompleto.” -Considera que no se cumple con dar el acceso al log, sino a “la información obrante en los servidores relativa a los registros y señales del equipo de alarma instalado en su propiedad”. Consideraría que se cumple la resolución cuando se “haya dado acceso a toda la información existente en los servidores en relación al funcionamiento de la alarma instalada en mi domicilio”. “La información obrante en los servidores en relación al funcionamiento de la alarma instalada en mi domicilio va mucho más allá de estos logs a los que se pretende ceñir el derecho de acceso Securitas Direct, e incluye cualquier información en forma de texto, imágenes, alfanumérica etc. existente en sus servidores que guarde relación con los registros y señales del equipo de alarma instalado en mi vivienda”. -Considera que la negativa de la reclamada a proporcionar acceso a la información obrante en sus servidores puede deberse a que pretende eludir sus responsabilidades particulares en relación a los daños y perjuicios ocasionados en este robo y “dilatar y dificultar en la medida de lo posible la debida investigación de las razones de deficiente funcionamiento del sistema de alarma instalado en mi vivienda”. -Sobre la respuesta proporcionada al log de la memoria interna de la alarma, considera no plausible la afirmación de que la central de alarma generó logs hasta las 20:09 del 27/11/2015, en que se produjo la intrusión y dicho sistema quedó inutilizado, ya que esa supuesta intrusión se refiere en realidad a un salto de la alarma del detector perimetral de la puerta del garaje, estancia que se encuentra físicamente separada de la vivienda y que no resultó afectada por el robo y estima que la intromisión en el domicilio se produjo en fecha posterior al 27/11, ya que “si la central de la alarma quedó” destruida, difícilmente podría Securitas haber desconectado remotamente la misma. Subraya que la solicitud de acceso a los registros contenidos en la memoria se refieren tanto a “la central de alarma destruida como a la que se instaló en mi vivienda el 5/12/2015 y que siguió generando señales y registros”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/102 Con fecha 17/09/2021 se resolvió el procedimiento de ejercicio de derechos, acordando estimar la reclamación y otorgando un plazo para atender el derecho. La resolución fue recurrida en reposición el 18/10/2021, resolviéndose el 27/10/2021 su desestimación, y figurando notificado electrónicamente a la reclamada el 28/10/2021. Interesa destacar del mismo, que la reclamada, recurrente, manifestaba: -La resolución del procedimiento de ejercicio de derechos estima atender el derecho, pero no determina la información que debe tener la consideración de dato personal, no argumenta los motivos que fundamenta su conclusión. Tampoco fundamenta “que la totalidad de los logs generados por el sistema de alarma instalado tienen efectivamente la consideración de dato personal”. Solo detalla lo que reproduce el reclamado, de que “no atiende la totalidad de lo solicitado puntualizado el motivo”, “sin determinar si esa totalidad incorporará informaciones que nada tenga que ver con la normativa de protección de datos”. “Tampoco resulta cierta la afirmación del reclamante de que la SAN de 23/07/2019 indicara que toda la información o todos los logs generados por el sistema de alarma hayan de ser considerados datos personales.”, ya que la sentencia en su fundamento de derecho cuarto, indica que “dentro de los logs se encuentran datos personales”, lo que permite concluir que “no todos ellos deberán ser considerados como tales”. Estima que “no es posible ejercitar el derecho de acceso a los datos personales respecto de información que en ningún momento pueda ser considerada dato personal”, y añade que la AEPD en las distintas resoluciones recaídas en este, caso no ha delimitado que información contiene datos que deban sujetarse a la normativa de protección de datos, “es evidente que “la reclamada pueda delimitar que información tendrá el mencionado carácter”. “Ni la sentencia de la AN ni la resolución han delimitado que información contiene datos que deban considerarse sujetos a la normativa de protección de datos”, por lo que serán ellos los que lo tienen que delimitar. Reproduce parte del dictamen 4/2017 sobre el concepto de datos personales adoptado el 20/06, WP 136: “En algunas ocasiones, la información que proporcionan los datos se refiere no tanto a personas como a objetos. Esos objetos suelen pertenecer a alguien, o pueden estar bajo la influencia de una persona o ejercer una influencia sobre ella o pueden tener una cierta proximidad física o geográfica con personas o con otros objetos. En esos casos, sólo indirectamente puede considerarse que la información se refiere a esas personas u objetos. Un análisis similar puede aplicarse cuando los datos se refieren en primera instancia a procesos o hechos, como por ejemplo el funcionamiento de una máquina cuando es necesaria la intervención humana. Bajo determinadas circunstancias, esta información también puede considerarse información «sobre» una persona.” Muestra su desacuerdo con el contenido de la resolución, que indica “dado que el reclamante es el titular del contrato de la alarma, le es de aplicación la normativa sobre Protección de Datos en cuanto al derecho a acceder a los logs sobre el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/102 funcionamiento de la alarma instalada en su propiedad”. “Además de los considerandos 26 a 28 para la conceptualización de los datos personales, no solo tienen esta condición la información que permita la identificación del interesado, sino también la que permita su singularización. A estos efectos la memoria explicativa del convenio 223 del Consejo de Europa de 10/10/2018 trata de matizar el contenido de individualización o singularización en estos términos: “Esta individualización podría realizarse por ejemplo refiriéndose a él o a ella específicamente, o a un dispositivo o una combinación de dispositivos (computadora, teléfono móvil, cámara, dispositivos de juegos etcétera) sobre la base de un número de identificación, un seudónimo, datos biométricos o genéticos, datos de ubicación, una dirección IP u otro identificador. El uso de un seudónimo o de cualquier identificador digital/identidad digital no da lugar a la anonimización de los datos, ya que el interesado aún puede ser identificable o individualizado. Por tanto, los datos seudónimos deben considerarse datos personales y están cubiertos por las disposiciones del convenio.” “Considera la reclamada que la información incluida en el sistema de alarma puede no referirse a un interesado, ni a sus características atributos o comportamientos, ni aun menos afectarlo de cualquier otro modo o permitir la inferencia de información relativa al mismo. En efecto, con carácter general esos logs consistirían en informaciones que únicamente hacen referencia a la comunicación entre sistemas de datos meramente operativos y técnicos que nada tienen que ver con un interesado ni se vinculan a el de ningún modo, y únicamente algunos de estos logs podrían permitir obtener información sobre la persona física titular de la alarma”. Pone tres ejemplos relacionados en los cinco casos en los que en su informe consideraba “no datos personales”, en concreto: En el 1), “el nivel de batería del dispositivo, desconexión de la red, inhibición, etcétera”. Se trataba de la “Emisión de señales de carácter puramente técnico de comunicación entre los dispositivos como parte del protocolo de verificación de su correcto funcionamiento o para el registro de algún fallo técnico”. En el 3), “tiempos de espera procedimentados ante un evento, recogida y descripción del evento, proceso de captura y puesta a disposición de los operadores de la imágenes o sonidos, modificación de parámetros internos, traslado del evento a un operador etcétera”. Se refería a “Registro descriptivo de procedimientos internos y técnicos ante un evento concreto”. En el 5) “número de fotos captadas, dispositivos activados, calidad de las respuestas de los dispositivos, número de desconexiones, etc.). Se refería a “Información estadística acerca de los dispositivos”. También pone ejemplos a los que anteriormente ha clasificado como “datos de carácter personal”, como: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/102 En el 1), “el personal de Securitas Direct cuya actividad quede registrada en los propios logs”. Se refería a: “Procesos llevados a cabo por operadores o técnicos de Securitas , que en ocasiones pueden ser considerados dato personal de un tercero distinto al cliente de Securitas” En el 3), “el operador de Securitas Direct inicia una llamada y esta es contestada, o no por el usuario, se le solicita el código de seguridad y el usuario lo incluye correctamente o no, no se registran movimientos durante un período de tiempo determinado en la zona vigilada etcétera”. Se refería a: “Interacciones pasivas del usuario o de terceros que puedan proporcionar información en relación con su forma de actuar en un determinado instante o su disponibilidad frente a un evento.” En el 6) “pulsador de pánico o inclusión del código de desactivación de alarmas bajo coacción”, se refería a: Imágenes o datos en relación con una intrusión o sabotaje. En este sentido es preciso indicar que si el intruso es captado por la cámara de seguridad, en la medida en que dicha persona sea identificable a raíz de la imagen obtenida, nos encontraríamos ante un dato personal del mismo.” En el punto 76 “los distintos (...)s que utiliza, tiempos de dichos (...)s, configuraciones personales sobre volumen de los dispositivos, lenguaje, parámetros seleccionados sobre la calidad del aire o designación de nombres de usuarios y zonas etc.”, que relaciona con: “Configuraciones del propio usuario que determinan un conocimiento de sus gustos o patrones de conducta”. Si se diera acceso a todos los logs generados, cualquier persona tendría derecho a dicho tipo de acceso por el hecho de haber contratado la instalación de un sistema de alarma, siendo “públicamente accesibles” las operaciones técnicas de carácter interno desvinculadas de una persona y que revelan información sustancial sobre la eficacia y funcionamiento de los sistemas comercializados, pudiendo violarse la ley de secretos empresariales 1/2019 de 20/02 y lo relaciona con el considerando 63 del RGPD.” Sobre la expresión del reclamante de que no es posible entender los logs (actuación CRA…) señala que el formato para satisfacer el derecho de acceso lo fue para cumplir con lo establecido en el artículo 12 del RGPD “en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo” y que “la información se encuentra listada en la tabla adjunta al escrito de 23/02/2021”, y que “incluso aquellos datos son registrados de forma técnica y poco inteligible para cualquier persona no versada en la terminología de sistemas de alarmas, e incluso en la propia terminología interna de Securitas, de forma que su lectura no revelaría la información que si incorpora en el formato remitido al interesado”. Manifiesta que “llevó a cabo una adaptación de los logs a un lenguaje claro y sencillo para atender el derecho”. Indica que no tienen inconveniente en entregar la información en “formatos líneas de código”, aunque satisfaría el derecho en menor medida el cumplimiento de los requisitos exigidos por el RGPD. TERCERO: Con fecha 4/11/2021, el reclamante presenta un escrito en el que manifiesta que se sigue sin cumplir lo dispuesto en la resolución TD/00167/2021. Con fecha 2/12/2021, la AEPD remite escrito a la reclamada, reiterando la petición del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/102 cumplimiento de lo resuelto, otorgando plazo y advirtiendo de las consecuencias de su incumplimiento. Con fecha 21/12/2021, la reclamada presenta escrito en el que manifiesta “satisfacer el cumplimiento de la resolución” y aporta copia de escrito de 14/12/2021 y documentación que envía al reclamante. Manifiesta:“ Se ha llevado a cabo de nuevo un trabajo exhaustivo para proporcionar a D. xxx cualesquiera registros y señales enviados por el equipo de alarma que pudieran llegar a vincularse con la actuación, comportamiento o características del mismo excluyendo aquella información que no tiene la consideración de dato personal al tratarse de información exclusivamente técnica que además afecta al legítimo interés de Securitas Direct en la confidencialidad de sus secretos empresariales.” En relación con los registros contenidos en la memoria interna de la alarma entre los días 26 de noviembre y 18 de diciembre de 2015, la (micro tarjeta o chip) de los sistemas de alarma de Securitas Direct registran y almacenan la información procedente de los eventos con origen técnico y de los eventos con origen en la interacción de los dispositivos instalados en el domicilio de los clientes. En el caso del equipo instalado a D. xxx los registros de la memoria interna llegan hasta el momento en el que la misma quedó inutilizada y todos los registros recogidos antes de ese momento, son eventos de carácter técnico por lo que no es información personal.” Acompaña los registros en hojas “excel” con la ordenación cronológica de logs por fecha y hora y más columnas informativas como event”, “event (...)” “Zone”, “***COLUMNA.3”, “***COLUMNA.4”. “***COLUMNA.1””área”, “tiempo de (...)” por nombrar solo varias. En la columna de descripción figuran términos descriptivos breves que no son comprensibles, por ejemplo, EVENT: palabra que su sentido especifico no es comprensible , igual que en “event (...)”, y en general en todas las columnas. Según la reclamada, es la “transcripción literal, en el formato en que se recoge en los sistemas de SD de los registros y señales enviados por el equipo de alarma.“ CUARTO: Con fecha 7/05/2022, el reclamante presenta escrito en el que manifiesta que la respuesta de la reclamada persiste en clasificar los logs que son datos personales de los que no, cuando no le corresponde, reiterando que la cuestión ya fue dirimida por la AN. Señala que sigue sin atenderse el derecho durante años, volviendo a los orígenes de la sentencia de la AN. El cuadro es ininteligible, la expresión de la descripción es imprecisa, la letra muy pequeña, la mayoría de los logs corresponden a la intervención técnica de sustitución de la alarma destruida al día siguiente del robo: 5/12/2015, por lo tanto “completamente inútiles e irrelevantes”. “Siguen sin proporcionar la información que motiva el ejercicio del derecho de acceso, que no es otro que esclarecer las circunstancias del robo en mi vivienda y dirimir posibles responsabilidades”, y que “necesita conocer que pasó con la alarma”. Solicita, se “acuerde la ejecución forzosa de su resolución…”, sin perjuicio de la “apertura de un procedimiento sancionador”. QUINTO: Con fecha 8/06/2022, la Directora de la AEPD acordó: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/102 “INICIAR PROCEDIMIENTO SANCIONADOR a SECURITAS DIRECT ESPAÑA, S.A., con NIF A26106013, por la infracción del artículo 58.2
2. c)del RGPD, tipificada en el art. 83.6 del citado RGPD y 72.1.
3. m)de la LOPDGDD.” “a los efectos previstos en el art. 64.2
4. b)de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP, en adelante), la sanción que pudiera corresponder sería de 50.000 euros, sin perjuicio de lo que resulte de la instrucción.” Dicho acuerdo de inicio fue debidamente notificado, otorgando a la reclamada plazo para efectuar alegaciones SEXTO: Con fecha, 6/07/2022, la reclamada efectúa las siguientes alegaciones: 1) Reitera que durante el año 2020, encargaron a un despacho de abogados un informe, del que aportan copia en DOCUMENTO 1 (fecha firma 29/01/2021) (ya se menciona antes el mismo en la respuesta al traslado de la reclamación de 19/05/2021, contenido supra en cuanto a la TD/00167/2021), sobre la “aplicación del concepto de dato personal a los señales o logs generados por los sistemas de alarma”, con el objeto de si todos o parte de los mismos tienen la condición de dato personal a los efectos de la aplicación de la normativa sustantiva, y subsidiariamente como 2) Documento que para el futuro permita atender las solicitudes de ejercicio de derechos. El informe lleva en portada: “confidencial”, desconociendo si alcanzaría a todo su contenido. El informe partiendo de las definiciones históricas en la legislación del dato personal, considera que el RGPD introduce un concepto extensivo, al considerar que “no sólo tendrá esta condición la información que permita la identificación del interesado, sino también la que permita su “singularización”, aun cuando no fuera posible conocer directa o indirectamente a la persona a la que los datos se refieren.” Alude el Convenio 108 del Consejo de Europa, de 28/01/1981, sobre la protección de las personas en relación con el tratamiento automatizado de sus datos personales, en la redacción resultante de la reforma operada por el Convenio 223, del Consejo de Europa, de 10 de octubre de 2018 (en adelante, por la denominación comúnmente aceptada “Convenio 108+”) establece en su artículo 2
5. a)que a los efectos del propio Convenio, dato personal significa “cualquier información sobre una persona física identificada o identificable” y en relación con el concepto de persona identificable, siguiendo la misma línea establecida en el considerando 26 del RGPD, indica el párrafo §18 de su memoria explicativa:“ La noción de "identificable" se refiere no solo a la identidad civil o jurídica del individuo como tal, sino también a lo que puede permitir "individualizar" o singularizar (y por tanto permitir tratar de manera diferente) a una persona de las demás. Esta "individualización" podría realizarse, por ejemplo, refiriéndose a él o ella específicamente, o a un dispositivo o una combinación de dispositivos (computadora, teléfono móvil, cámara, dispositivos de juego, etc.) sobre la base de un número de identificación, un seudónimo, datos biométricos o genéticos, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/102 datos de ubicación, una dirección IP u otro identificador. El uso de un seudónimo o de cualquier identificador digital / identidad digital no da lugar a la anonimización de los datos, ya que el interesado aún puede ser identificable o individualizado. Por tanto, los datos seudónimos deben considerarse datos personales y están cubiertos por las disposiciones del Convenio. La calidad de las técnicas de seudonimización aplicadas debe tenerse debidamente en cuenta al evaluar la idoneidad de las salvaguardias implementadas para mitigar los riesgos para los interesados.” “Se desprende que dicho concepto se caracteriza por la necesaria concurrencia de cuatro elementos esenciales: -El dato personal es en todo caso una información. -Esa información debe referirse una persona determinada dado que debe ser sobre la misma. -La persona a la que se refiere la información debe ser una persona física, quedando excluidas del concepto de dato personal las personas jurídicas o entidades sin personalidad jurídica. -La persona debe ser identificada o identificable en el amplio sentido establecido por el considerando 26 del RGPD y el parágrafo 18 del convenio 108 + que identifican los conceptos “que identifique” e identificabilidad, singularización e individualización.” Menciona diversa jurisprudencia de los casos más reseñables sobre el concepto de datos de carácter personal de la Unión Europea. Estima que para poder determinar, conforme a la jurisprudencia del TJUE si una información tiene la condición de dato personal por referirse a (o versar “sobre”) una persona física identificada o identificables, será preciso analizar la afectación que la información produce en la misma:  ·En cuanto a su contenido, es decir, la información debe suponer un atributo, de cualquier índole, predicable directamente del interesado en cuestión, existiendo una relación directa entre el citado atributo y dicha persona. De este modo, la información debe aparecer vinculada al interesado, excluyéndose del concepto de dato personal aquella información que no se vincule a una característica o actividad de aquél.  En cuanto a su finalidad, es decir, el tratamiento de la información debe tener por objeto el conocimiento del mencionado atributo predicable directamente de esa persona, quedando vinculado la finalidad del tratamiento al análisis de dicho atributo.  En cuanto a sus efectos, es decir, la información debe referirse a aspectos que afecten al interesado precisamente como consecuencia del citado atributo. Estas medidas pueden variar en cuanto a su intensidad (e.g. desde el mero hecho de contactar con él hasta la realización de un perfilado y la adopción de decisiones que le afecten significativamente).”· También analiza varias sentencias recaídas en España sobre el concepto y alcance del dato personal y el análisis del concepto de dato personal del Dictamen 4/2007 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/102 sobre el concepto de datos personales, adoptado por el GT29 (documento WP136, de 20/06/2007). Se indica en el Dictamen: “un dato se refiere a una persona si hace referencia a su identidad, sus características o su comportamiento o si esa información se utiliza para determinar o influir en la manera en que se la trata o se la evalúa”. “Consecuencia de lo anterior será que en el momento en que la información proporcionada no derive o se vincule directamente a la persona física sino a objetos que le pertenecen o están bajo su influencia, sólo indirectamente podrá considerarse que la información se refiere a esa persona y siempre que la misma permita inferir datos referidos a esa persona física y no al propio objeto.”, cita el ejemplo 5 “valor de una vivienda” que refiere la aplicación de la normativa de protección de datos según el uso de esa información. “El valor de una vivienda es información sobre un objeto. A todas luces, las normas sobre protección de datos no se aplicarán cuando esa información se utilice únicamente para ilustrar el nivel de precios de la vivienda en una determinada zona. Sin embargo, si se dan determinadas circunstancias esa información también debe considerarse como un dato personal. En efecto, la vivienda es un activo de su propietario y, como tal, se tendrá en cuenta, por ejemplo, a la hora de calcular los impuestos que deberá pagar esa persona. En este contexto, es incuestionable que tal información debe considerarse como datos personales”. “El Grupo de trabajo ya se ocupó anteriormente de la cuestión de cuándo puede considerarse que una información versa «sobre» una persona. En el marco de sus debates sobre los problemas de protección de datos planteados por las etiquetas RFID, el Grupo de trabajo señaló que un «dato se refiere a una persona si hace referencia a su identidad, sus características o su comportamiento o si esa información se utiliza para determinar o influir en la manera en que se la trata o se la evalúa» . Teniendo en cuenta los casos mencionados anteriormente, y siguiendo la misma línea de razonamiento, podría afirmarse que para considerar que los datos versan «sobre» una persona debe haber un elemento «contenido» o un elemento «finalidad», o un elemento «resultado». El elemento «contenido» está presente en aquellos casos en que - de acuerdo con lo que una sociedad suele general y vulgarmente entender por la palabra «sobre» - se proporciona información sobre una persona concreta, independientemente de cualquier propósito que puedan abrigar el responsable del tratamiento de los datos o un tercero, o de la repercusión de esa información en el interesado. La información versa «sobre» una persona cuando «se refiere» a esa persona, lo que debe ser evaluado teniendo en cuenta todas las circunstancias que rodean el caso. Por ejemplo, los resultados de un análisis médico se refieren claramente al paciente, o la información contenida en el expediente de una empresa bajo el nombre de determinado cliente se refiere claramente a él: De la misma manera, la información contenida en una etiqueta RFID o en un código de barras incorporados al documento de identidad de una determinada persona se refiere a esa persona, como en los futuros pasaportes que llevarán incorporados un microprocesador RFID. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/102 También la presencia de un elemento «finalidad» puede ser lo que determine que la información verse «sobre» determinada persona. Se puede considerar que ese elemento «finalidad» existe cuando los datos se utilizan o es probable que se utilicen, teniendo en cuenta todas las circunstancias que rodean el caso concreto, con la finalidad de evaluar, tratar de determinada manera o influir en la situación o el comportamiento de una persona.” En base a ello, considera la reclamada que “para considerar que “una información trata “sobre” una persona debe encontrarse, al menos, en uno de los siguientes tres supuestos o circunstancias: 1. “Contenido”: es decir, que la información se refiera de forma directa a una persona física concreta. Si concurre esta circunstancia será irrelevante cuál sea el propósito del responsable del tratamiento o de un tercero destinatario de la información o que repercusión tendrá el tratamiento de esa información en el interesado. 2. “Finalidad”: la información recabada, si bien no se refiere de forma directa a una persona física, se utiliza o es probable que se utilice con la finalidad de evaluar, tratar de determinada manera o influir en la situación o el comportamiento de una persona. 3. “Resultado”: aún en el supuesto de que no concurrir ninguna de las situaciones anteriores, una información versará “sobre” una persona cuando su uso repercuta en los derechos y los intereses de la misma, al poder ser tratado de forma diferente a otras personas como consecuencia del tratamiento de tal información.” Manifiesta la reclamada que: - “por lo tanto, la información sobre un objeto únicamente tendrá la consideración de dato personal cuando se establezca una conexión o vínculo entre el objeto y el afectado (particularmente pero no necesariamente, su dueño) con el objetivo de generar información sobre dicha persona o fomentar una actuación por su parte” Manifiesta la reclamada que: “Una vez analizado el concepto de dato personal desde las perspectivas legal, doctrinal y jurisprudencial, procede ahora analizar la aplicación del mencionado concepto a los logs generados por los sistemas de alarma de Securitas Direct, a fin de determinar cuáles de ellos tendrán la condición de “dato personal”, con la consiguiente aplicación en relación con los mismos de la normativa de protección de datos.” “Para llevar a cabo el análisis y calificación de los logs facilitados por Securitas Direct como dato personal se han tenido en consideración los siguientes aspectos: a. Debe tratarse de información, en cualquier formato o forma conocida que de efectivamente implique la existencia real de datos. b. Dicha información debe referirse a una persona física específica, por lo que la información contenida en los logs deberá, como mínimo, encontrarse en una de las siguientes situaciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/102 - Esté vinculada directamente con un individuo determinado, de tal manera que proporcione información directa sobre su forma de actuar, sus características mentales o físicas, sus preferencias, sus habilidades o cualquier otro patrón de conducta que pueda atribuirse directamente a la misma; o - Pueda utilizarse para evaluar o influir de cualquier forma en un individuo determinado o en su conducta; o - Pueda repercutir directamente en los derechos e intereses de un individuo determinado. -“La información incluida en un sistema de alarma puede no referirse a un interesado ni a sus características atributos o comportamientos, ni aún menos afectarlo de cualquier otro modo o permitir la inferencia de información relativa al mismo. En efecto, con carácter general los citados logs consistirán en informaciones que únicamente hacen referencia a la comunicación entre sistemas de datos meramente operativos y técnicos que nada tienen que ver con un interesado, ni se vinculan a él de ningún modo y únicamente algunos de estos logs podrían permitir obtener información sobre la persona física titular de la alarma.” Partiendo de estos elementos, se han diferenciado dos categorías fundamentales en las que podrían encontrarse los distintos logs proporcionados por Securitas Direct, a. “Logs que no implican tratamiento de datos personales”. Reitera los motivos y las categorías que expuso en 19/05/2021. -Aporta la diferenciación en el mismo documento 1: Un Anexo I, que recoge el “estudio” específico de los distintos logs que los sistemas de Securitas generaron en relación con la prestación de sus servicios al reclamante. Dicho Anexo I contiene, a su vez, dos tablas distintas, agrupando aquellas líneas de log pertenecientes al reclamante no consideradas como dato personal (tabla I) (pág. 23 a 30/105) y aquéllas que sí tendrían esa consideración, a la vista del análisis llevado a cabo a lo largo del Informe (tabla II), (pág. 30/105). En Anexo II, se adjunta el “análisis general y sin aplicación específica a un interesado concreto, de la consideración como dato personal de las líneas de log genéricas que normalmente pueden ser utilizadas en los sistemas de Securitas Direct durante el desarrollo de su actividad.” -En cuanto al Anexo I, “dada la cantidad de información proporcionada, en relación con los logs”, se ha procedido a identificarlos (tanto para tabla I como tabla II) mediante tres columnas: 1. En la primera de ellas, “fecha de la línea del log”, se recogen las “fechas y horas concretas de aparición”. Se aprecia que se pueden agrupar diversas fechas y horas 2. En la segunda, se incluye la “denominación de la información.” 3. La siguiente es: “descripción extendida”, “conformada tanto por lo información facilitada por Securitas Direct durante las distintas reuniones mantenidas, así como de los documentos y tablas recibidas y del resto de columnas explicativas que se contienen en el propio log.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/102 Prosigue la reclamada que: “A continuación, se ha llevado a cabo la “valoración del carácter de dato personal de cada uno de los logs” mediante la inclusión de dos columnas adicionales: b. “En la cuarta columna, se procede a valorar si la información contenida en la línea de log concreta permite a Securitas Direct recabar información sobre el Reclamante o un tercero, o analizar y causar un impacto en su comportamiento”, bajo la denominación de: “vinculación, de forma directa o mediante inferencia, a una conducta o información de una persona física”. Se observa que contienen términos, como operador, cliente, usuario autorizado, contactos designados por este, interesados solicitante del derecho. c. La última columna, concreta si la línea de log puede considerarse, partiendo de todo lo indicado, como dato personal o no, con el literal ¿Se considera dato personal? No, en todas las de la tabla I, mientras que la tabla II, en “¿se considera dato personal?” figura “Si”, y se añade una columna de: “Es susceptible de ser proporcionada como respuesta al ejercicio del derecho de acceso del interesado?, figurando en algunos casos: si, y en otros anotaciones diferentes, ya que “se han detectado líneas de log que sí podrían tener la consideración de dato personal pero que refieren a terceros interesados distintos del propio Reclamante y, cabe recordar, la petición de acceso permite exclusivamente que el Reclamante tenga acceso, a los datos personales que sobre su persona trate Securitas y no a aquéllos sobre otras personas físicas.” En la tabla I, “Información no considerada dato personal en relación con la petición de acceso analizada” (23 a 30), destacan: - En tres descriptores figura -“Vinculación de forma directa o mediante inferencia, a una conducta o información de una persona física”:“No se encuentra vinculación directa con información del interesado en la medida en que se trata de comunicaciones periódicas máquina-máquina de comprobación del estado de los dispositivos”, todos con: “descripción extendida: Señales enviadas por la alarma que corresponden al estado de funcionamiento de los dispositivos”, que pueden responder en: “denominación de información: En un caso: “Superv Foto PIR RADIO, REPETIDOR RADIO, VOLUMETRICO RADIO”, otro: “superv repetidor radio” y “ superv volumétrico radio” -- -“Vinculación de forma directa o mediante inferencia, a una conducta o información de una persona física”: “No se encuentra vinculación directa con información del interesado en la medida en que esta línea de log no recaba información sobre el interesado ni pretende analizar o causar un impacto en su comportamiento, simplemente delimita un proceso interno de Securitas Direct en relación con una señal inicial de alarma”, y en “descripción extendida”: “Ante la señal inicial de alarma, se otorga un tiempo de margen por si se trata de un fallo u olvido por parte del usuario a la hora de no desactivar la alarma.”, “denominación de la información: confía espera 35 segundos para una posible desconexión”. ---“Vinculación de forma directa o mediante inferencia, a una conducta o información de una persona física”: “Información de carácter técnico de Securitas Direct. En la medida en la que no se traslada información directa sobre un atributo del interesado ni Securitas Direct pretende analizar un patrón de conducta o influir sobre él en modo alC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/102 guno, la información facilitada por la línea de log analizada no debería ser considerada como dato personal”, “descripción extendida: Detección de falta de corriente eléctrica en el dispositivo”, “denominación de la información: corriente eléctrica-auto”. ---“Vinculación de forma directa o mediante inferencia, a una conducta o información de una persona física”: “Se trata de un cambio de prioridad interna de la incidencia motivado por una señal de alarma no desconectada” y en “descripción extendida”: “Cambia la prioridad porque se envía la incidencia a una cola manual.”, “denominación de la información” “PRIO 25---20.” --“Vinculación de forma directa o mediante inferencia, a una conducta o información de una persona física”: “No se encuentra vinculación directa con información del cliente en la medida en que se trata de señales informativas de carácter técnico”. y en “descripción extendida: nivel de cobertura del panel”, “denominación de la información: señal informativa”. --“Vinculación de forma directa o mediante inferencia, a una conducta o información de una persona física”: “Esta línea de log, si bien proporciona información sobre un salto de alarma en los sensores, en la medida en la que no se traslada información directa sobre un atributo del interesado ni Securitas Direct pretende analizar un patrón de conducta o influir sobre él en modo alguno, la información facilitada por la línea de log analizada no debería ser considerada como dato personal. En este sentido, se trataría de un descriptivo del proceso técnico e interno de Securitas Direct”, y en “descripción extendida”: “En estas líneas de log se describe el proceso del sistema y sensores en la detección de una intrusión”. “Denominación de la información:-“INTRUSION VOLUMETRICO RADIO, 27 11 2015, 20:09:47 --“Vinculación de forma directa o mediante inferencia, a una conducta o información de una persona física”: “La señal, dada su relevancia, es transmitida a un operador máquina o humano para iniciar el proceso de gestión. No obstante, es un procedimiento interno del que no se puede inferir ningún dato personal del usuario”, “descripción extendida”: “Indicativo de que la incidencia se transmite a un operador humano o máquina”, “denominación información (...): 0”. -El único que comprende periodos de días y fechas indica: -“Vinculación de forma directa o mediante inferencia, a una conducta o información de una persona física”: “Sin perjuicio de que producto de alguna de estas señales pueda iniciarse algún tipo de actuación que sí implique el tratamiento de datos personales, los procedimientos y procesos internos de verificación son esencialmente técnicos y no es posible inferir ningún dato personal de los mismos”, “descripción extendida”: “Describen periodos en los que se produce una pérdida de conexión entre los servidores de Securitas Direct y el dispositivo instalado en el domicilio del interesado. De esta forma, los dispositivos emiten una señal técnica periódica para confirmar que efectivamente se encuentra en conexión y en disposición de realizar su actividad. Asimismo, los logs describen las actuaciones internas y técnicas llevadas a cabo producto de esta desconexión”, “denominación de la información: (...) TRASNFER”. --“Vinculación de forma directa o mediante inferencia, a una conducta o información de una persona física”: “No existe vinculación con el usuario en la medida en la que se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/102 trata de un procedimiento interno que se debe seguir para prestar el servicio de forma correcta”, y en “descripción extendida”: Información técnica de que la incidencia es transferida a un operador humano para su gestión.”, “denominación : GTI: incidencia cancelada, cliente ya existe en cola manual 14”. - -“Vinculación de forma directa o mediante inferencia, a una conducta o información de una persona física”: “Información de carácter procedimental e interno de Securitas Direct”, sin descripción extendida, “denominación de la información: GTI: incidencia cancelada, pendiente de mantenimiento”. --“Vinculación de forma directa o mediante inferencia, a una conducta o información de una persona física”: “Esta línea de log, si bien proporciona información sobre un salto de alarma en los sensores, en la medida en la que no se traslada información directa sobre un atributo del interesado ni Securitas Direct pretende analizar un patrón de conducta o influir sobre él en modo alguno, la información facilitada por la línea de log analizada no debería ser considerada como dato personal. En este sentido, se trataría de un descriptivo del proceso técnico e interno para la disposición de las imágenes de los detectores”, y en “descripción extendida: En estas líneas de log se describen los distintos procesos de los sistemas y sensores desde que se detecta intrusión real: zona de detección, captura de las imágenes, disponibilidad de las mismas para el operador, etc.”, “denominación : intrusión foto PIR Radio”, en se considera dato personal se añade: “NO (no obstante lo anterior, las imágenes capturadas, en caso de que hubieran captado a algún sujeto, sí tendrían la consideración de datos personales y deberían ser facilitadas al interesado en caso de que lo hubiesen captado a él y no a un tercero). --“Vinculación de forma directa o mediante inferencia, a una conducta o información de una persona física”: “Información de carácter técnico de Securitas Direct en relación con las detecciones de movimientos a través de los distintos sensores del sistema”, y en “descripción extendida: Información del sistema en relación con una petición de fotografía o imagen”, “denominación de la información: Señal informativa”. Indica que no se considera dato personal, “No obstante si estas detecciones pudieran implicar la recogida de algún tipo de información de un interesado, sí podrían tener la consideración de datos personales y deberían ser facilitadas al interesado en el caso de que lo hubiesen captado a él y no a un tercero.” --“Vinculación de forma directa o mediante inferencia, a una conducta o información de una persona física”: “no se proporciona información en relación con ninguna característica patrón de conducta u otra información del usuario”, sin descripción extendida, “denominación de la información: sin motivo.” --“Vinculación de forma directa o mediante inferencia, a una conducta o información de una persona física”: “información de carácter técnico de Securitas Direct”, sin descripción extendida, “denominación de la información: cortes de corriente: incidencia con restauración.” En la tabla II, “información considerada dato personal en relación con la petición de acceso analizada” ( pág. 31 a 48/105). En la columna de “¿es susceptible de ser proporcionada como respuesta al ejercicio del derecho de acceso del interesado?, suele C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/102 figurar Si, pero en algunas constan observaciones con salvedades y en una figura, NO. informa el reclamado que “determinados registros de las tablas del presente Anexo carecen de fecha concreta debido a que se trata de comentarios generales, independientes de una línea específica y con afectación transversal a todo el documento.” -Figuran sin fecha: -“Vinculación de forma directa o mediante inferencia, a una conducta o información de una persona física: “De la información conjunta proporcionada por: (
6. i)modo de alarma seleccionado por el usuario; (
7. ii)fecha del log concreto y (iii) información derivada del “tiempo de (...)”, podría derivarse el conocimiento de ciertos patrones de conducta de un usuario (e.g. a partir de cierta hora de la tarde los días de semana el interesado aplica un (...) determinado con lo que es posible que no se encuentre en su domicilio)”, “descripción extendida: “modo de conexión de la alarma y tiempo que lleva la alarma conectada en dicho modo”, “denominación de la información: (...) y tiempo de (...).” - “Vinculación de forma directa o mediante inferencia, a una conducta o información de una persona física: Las prioridades más altas tienen relación directa con el usuario mientras que las prioridades bajas corresponden a logs de control y verificación técnico de los cuales no se puede inferir información del usuario”, “descripción extendida: Las distintas cifras incluidas a la columna "***COLUMNA.3" del log son prioridades asignadas según el tipo de señal que se recibe. A menor valor numérico, mayor prioridad (generalmente con actuaciones propias del interesado como llamada SOS); a mayor valor numérico, menor prioridad (generalmente relacionadas con incidencias de carácter técnico). Figura la anotación añadida de: “¿Es susceptible de ser proporcionada como respuesta al ejercicio del derecho de acceso del interesado?”: “Únicamente aquellas prioridades calificadas como altas y conectadas con una actuación o situación particular del interesado (e.g prioridades unidas a situaciones de pánico o socorro).” --“Vinculación de forma directa o mediante inferencia, a una conducta o información de una persona física: estas denominaciones de las áreas, en tanto son áreas de la propiedad del usuario definidas por el mismo y conllevan información sobre elecciones del interesado, supondrían datos personales”, “descripción extendida: a lo largo del log se encuentran denominaciones, decididas por el interesado, para nombrar ciertas áreas de la propiedad, ejemplo perimetral, puerta del garaje etc.”, “denominación de la información: nombres de las áreas definidas por el usuario en todos los blogs” -Ya con fecha de log, figuran, en todos ellos que sí se consideran datos personales, y entre otros: -“Vinculación de forma directa o mediante inferencia, a una conducta o información de una persona física: en la medida en la que se trate de configuraciones llevadas a cabo por el interesado implicaría el conocimiento de características y preferencias del mismo por lo que tendrían la consideración de dato personal”, en “descripción extendida el dispositivo informa sobre distintas características relativas a su configuración y programación por ejemplo en tiempos de entrada, salida, volumen sirena entre otros”, “denominación de la información señal informativa”. -“Vinculación de forma directa o mediante inferencia, a una conducta o información de una persona física”: No se encuentra vinculación directa con información de un cliente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/102 en la medida en que se trata de señales informativas de carácter técnico y no se proporciona información en relación con ninguna característica, patrón de conducta u otra información de una persona física.”, “descripción extendida: Código generado automática y aleatoriamente por el sistema para que el vigilante desactive la alarma”, “denominación de la información: Central prioridad alta”. “Es susceptible de ser proporcionada como respuesta al ejercicio del derecho de acceso del interesado?””: No. 27/11/2015 Se desconoce porque no figura clasificada en la tabla I. - “Vinculación de forma directa o mediante inferencia, a una conducta o información de una persona física: Actuación directa de un operador”. “Descripción extendida“: “El operador comienza la gestión de la incidencia y realiza las llamadas de comprobación al usuario y otras personas indicadas por el mismo en caso de incidencia.” “denominación de la información actuación Central Receptora Alarmas-llamada a H/E”- “¿Es susceptible de ser proporcionada como respuesta al ejercicio del derecho de acceso del interesado?” “En este sentido, sin perjuicio de que se trate de un dato personal, lo sería del operador y no del interesado que ejercita su derecho de acceso, por cuanto no es una información sobre dicho interesado.” - “Vinculación de forma directa o mediante inferencia, a una conducta o información de una persona física: Las actuaciones de un operador, que incluye interacción con el usuario o los contactos designados por éste, suponen la obtención de información sobre dichos interesados”, descripción extendida: “Distintas actuaciones genéricas del operador humano de Securitas Direct ante una incidencia concreta (e.g. habilitación del habla/escucha llamada a los distintos contactos listados; comentarios internos en relación a la información que le transmite los contactos, etc.).” denominación de la información actuación CRA” “¿Es susceptible de ser proporcionada como respuesta al ejercicio del derecho de acceso del interesado? “Únicamente deberán facilitarse como parte del derecho de acceso los registros de las actuaciones relacionadas directamente con el solicitante del derecho y no así el resto de las comunicaciones con otros usuarios autorizados o contactos proporcionados por éste. Asimismo, tampoco deberá facilitarse al solicitante cualquier información o análisis sobre la actuación del operador, en la medida en la que se trata de un tercero distinto del propio interesado que hubiera ejercido el derecho de acceso” - Vinculación de forma directa o mediante inferencia, a una conducta o información de una persona física: Las actuaciones de un operador, que incluye interacción con el usuario o los contactos designados por éste, suponen la obtención de información sobre dichos interesados.”, “descripción extendida. Los contactos a los que el operador de Securitas Direct trata de localizar no contestan”, “denominación de la información “actuación CRA-comunicando. ¿Es susceptible de ser proporcionada como respuesta al ejercicio del derecho de acceso del interesado? No obstante, únicamente deberán facilitarse como parte del derecho de acceso los registros de las comunicaciones relacionadas con el solicitante del derecho y no así el resto de las comunicaciones con otros usuarios autorizados. - Vinculación de forma directa o mediante inferencia, a una conducta o información de una persona física”: Las actuaciones de un operador, que incluye interacción con el usuario o los contactos designados por éste, suponen la obtención de información sobre dichos interesados.”, denominación de la información, “actuación CRA-salta buzón de voz” Es susceptible de ser proporcionada como respuesta al ejercicio del derecho C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/102 de acceso del interesado? No obstante, únicamente deberán facilitarse como parte del derecho de acceso los registros de las comunicaciones relacionadas con el solicitante del derecho y no así el resto de las comunicaciones con otros usuarios autorizados.” -Vinculación de forma directa o mediante inferencia, a una conducta o información de una persona física”: Las actuaciones de un operador, que incluye interacción los contactos designados por el usuario, suponen la obtención de información sobre dichos interesados, denominación de la información “actuación CRA-operador consigue hablar con contacto” o “Actuación CRA-palabra clave incorrecta”, y actuación CRA-LOCSIN-localizado sin palabra clave con “descripción extendida: el contacto no recuerda la palabra clave para acreditar la identidad y cerrar la incidencia ”“¿Es susceptible de ser proporcionada como respuesta al ejercicio del derecho de acceso del interesado?”: “No obstante, únicamente deberán facilitarse como parte del derecho de acceso los registros de las comunicaciones relacionadas con el solicitante del derecho y no así el resto de comunicaciones con otros usuarios autorizados.” - Vinculación de forma directa o mediante inferencia, a una conducta o información de una persona física”: Estos logs proporcionan información en relación con las actuaciones de un operador, esto es, la verificación de que efectivamente sigue los procesos internos de Securitas Direct a estos efectos”, “descripción extendida: Visualización de las palabras clave por parte del operador en caso de que haya un contacto con el usuario a efectos de identificación.”, denominación de la información “operator viewed codewords on demand”, Es susceptible de ser proporcionada como respuesta al ejercicio del derecho de acceso del interesado? “Sin perjuicio de que se trate de un dato personal, no debería proporcionarse al interesado en la medida en la que afecta a una tercera persona distinto del ejerciente del derecho de acceso.” - Vinculación de forma directa o mediante inferencia, a una conducta o información de una persona física”: “Las actuaciones de un operador, que incluye interacción con el usuario, suponen la obtención de información sobre el interesado”, descripción extendida: “se contacta con el usuario”, denominación de la información: “Service Req.: ***NÚMERO.1”, ¿Es susceptible de ser proporcionada como respuesta al ejercicio del derecho de acceso del interesado? Vinculación de forma directa o mediante inferencia, a una conducta o información de una persona física”: Información relativa a un operador de carácter procedimental e interno de Securitas Direct, “descripción extendida” Matrícula interna del operador que está actuando una incidencia concreta”, denominación de la información: ACCESO REGISTRADO: El usuario ***USUARIO.1 accedió a la ficha del cliente, En su caso podría ser considerado un dato personal del propio operador y, por tanto, no sería susceptible de ser trasladado al interesado ejerciente del derecho de acceso.” - Vinculación de forma directa o mediante inferencia, a una conducta o información de una persona física”: En principio las pruebas y verificaciones rutinarias que deba hacer el técnico de Securitas Direct no proporcionan ninguna información sobre el usuario salvo que sean específicamente solicitadas por dicho usuario, descripción extendida: “El técnico realiza las comprobaciones reglamentarias para asegurar el funcionamiento correcto de los sistemas. A petición del cliente puede modificar algún parámetro del propio sistema (e.g. sonido, tiempo, sensores, etc.), denominación de la información: Pruebas y verificaciones obligatorias como parte del mantenimiento de la instalación”. ¿Es susceptible de ser proporcionada como respuesta al ejercicio del derecho de acceso? Si el técnico introduce modificaciones o configuraciones específicas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/102 en el dispositivo por petición del usuario, dichos parámetros sí serían considerados como datos personales que deberán ser entregados al interesado.” -“ Vinculación de forma directa o mediante inferencia, a una conducta o información de una persona física”: El registro de actuaciones del usuario supone la obtención de información personal sobre el mismo”, “descripción extendida cancelación de la alarma por ser introducidos los códigos del usuario”, “denominación de la información: códigos del usuario”, “Es susceptible de ser proporcionada como respuesta al ejercicio del derecho de acceso del interesado?, SÍ.” - “Vinculación de forma directa o mediante inferencia, a una conducta o información de una persona física”: El registro de actuaciones relativas a una intrusión real, en caso de haberse captado una imagen de la intrusión proporciona información personal”, descripción extendida: línea de log que hace referencia a la imagen captada por los sistemas al detectar una intrusión real. Denominación de la información “VIDEO-VID” ¿Es susceptible de ser proporcionada como respuesta al ejercicio del derecho de acceso del interesado?” no debe proporcionarse al solicitante del derecho de acceso información relativa a las imágenes captadas en la medida en la que ducha información trata sobre un interesado distinto del ejercicio del derecho de acceso” - “Vinculación de forma directa o mediante inferencia, a una conducta o información de una persona física”: el registro de actuaciones del usuario supone la obtención de información personal sobre el mismo”, descripción extendida: evento inyectado servicio desde la aplicación por parte del usuario- conexiones desconexiones remotas. Diversas peticiones efectuadas desde el terminal móvil del usuario”, “denominación de la información central seguridad prioridad baja” - “Vinculación de forma directa o mediante inferencia, a una conducta o información de una persona física”: el registro de situaciones que puedan afectar al usuario como la comunicación de un corte de la corriente eléctrica supone la obtención de información personal sobre lo mismo”, “descripción extendida: en este caso se informa a cliente por medio de un correo electrónico de un (...) por corte de corriente de su alarma”, “ denominación de la información corriente eléctrica auto”. -Vinculación de forma directa o mediante inferencia, a una conducta o información de una persona física”: el registro de actuaciones del usuario supone la obtención de información personal sobre el mismo”, “descripción extendida: des(...) por cliente app web en remoto”, “ denominación de la información códigos de usuario”. -Vinculación de forma directa o mediante inferencia, a una conducta o información de una persona física”: el registro de actuaciones del usuario supone la obtención de información personal sobre el mismo”, “descripción extendida: confirmación de (...) externo total, “ denominación de la información central seguridad prioridad baja En el ANEXO II, titulado “ESTUDIO GENERAL DE LA CONSIDERACIÓN DE DATO PERSONAL DE CADA LOG”, (pág. 53 al final) se procede a la realización del análisis, “de forma general”, y “sin aplicación específica a un interesado concreto”, de la consideración como dato personal de las líneas de log genéricas que normalmente pueden ser utilizadas en los sistemas de Securitas Direct durante el desarrollo de su actividad. “No se han analizado aquellas líneas de log no derivadas de forma directa de los servicios de sistemas de seguridad proporcionados por Securitas (i.e. logs con denominaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/102 ción: FR0 a FSZ; ROF y ROI)”. Asimismo, tampoco han sido objeto de estudio aquellas líneas de log que, de conformidad con la información facilitada por Securitas, no tienen aplicación práctica a fecha de redacción del presente informe: IAC, ICA, PID, PDD, TLL y TWC” El cuadro contiene la identificación de los logs en base a tres columnas. -La primera columna incluye la “(...) de la señal”, por orden alfabético, que suele comprender un código de tres letras mayúsculas, que se “describe” en la segunda columna con una descripción general, usualmente en inglés, algunas claves como FG ,SK masking”, OPDI Shutter, Sent when CP detects RX failure in FG, que luego se refieren en la tercera columna: “descripción extendida proporcionada por SD” Se observa que claves que aparecen en el documento entregado al reclamante el 14/12/2021, en el campo “Signal clasification”, como RPT, IGC no figuran en esas claves del Anexo II. Además, se encuentran códigos como el TAC que figura entregado al reclamante como dato y en anexo II se indica que no es dato personal. También se hallan claves (TTR o TTS) que figura NO en ¿se considera dato personal?, que indica” Esta línea de log, si bien traslada información sobre un posible sabotaje en los sensores no proporciona información directamente sobre el interesado ni, tampoco, sobre un patrón de conducta o un análisis de su personalidad. Por lo tanto en la medida en la que no se traslada información directa sobre un atributo del interesado ni Securitas Direct pretende analizar un patrón de conducta o influir sobre él en modo alguno, la información facilitada por la línea de log analizada no debería ser considerada como dato personal. En este sentido, se trata de un descriptivo del proceso técnico e interno de Securitas Direct” Algunas claves se relacionan con “descripción extendida proporcionada por Securitas: realización de test de Securitas para verificar el estado del sistema FOG”, o en otra “comprobación bajo el protocolo de actuación de Securitas Direct del estado del sistema FOG”, o “nivel de cobertura de información (…) de panel”. -La cuarta columna se titula: “Vinculación de forma directa o mediante inferencia, a una conducta o información de una persona física”, en la que se introduce en unas líneas el razonamiento sobre esa cuestión, y que como consecuencia, da lugar a la información de la última columna, denominada “¿Se considera dato personal?” con si, o no. En el no, se puede asociar a: “No se encuentra vinculación directa con información de un cliente en la medida en que se trata de señales informativas de carácter técnico y no se proporciona información en relación con ninguna característica, patrón de conducta u otra información de una persona física.” 2) Resume sus actuaciones en el tiempo, tras la obtención del citado informe, al objeto de valorar su actuación en el ejercicio del derecho del reclamante.
8. a)-26/02/2021, respuesta al burofax recibido el 9/02/2021, en “el que se nos requieren los “logs” generados por el sistema de alarma para el período solicitado. En este escrito se facilitan los “logs” que consideramos que son datos personales, tal y como son registrados en nuestros sistemas, y debido a su configuración se incluye una descripción del mismo a fin de hacerlos inteligibles, algo que excede de lo que podríamos haber hecho. Este escrito lo recibió la parte reclamante el 3/03/2021. Ver págs. 26 a 31 de la documentación obrante en el expediente. “ C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/102 -18/05/2021, como consecuencia de la recepción del expediente E/04382/2021 (traslado de la reclamación en el procedimiento de ejercicio de derechos de la luego: TD/ 00167/2021), “se vuelve a remitir al reclamante, por correo electrónico, la misma respuesta facilitada el 26/02/2021, esto es, los “logs” que se han considerado que son datos personales. de conformidad con el informe realizado. -14/12/2021, se vuelve a remitir al reclamante, como consecuencia de la resolución del Recurso de Reposición Nº RR/00658/2021 contra la TD/00167/2021, la misma información aportada en los escritos de fechas 26/02 y 18/05/2021. “En esta ocasión en un formato diferente, por evento, en lugar de agregado, para facilitar la comprensión de éstos. Ver págs. 153 a 160 de la documentación obrante en el expediente.” “Se han enviado en dos formatos diferentes, agrupados por evento e individualizados, tal y como se registran en los sistemas por fecha de evento”, “incluyendo información complementaria que permitiese al reclamante entender la misma”. Se incluye una descripción del significado del evento. “Los registros generados por los sistemas han sido aportados tal y como se generan en éstos, y aun así se han hecho esfuerzos que incluso excedían de la obligación de mi representada, para que el receptor pudiera entender el evento que reflejan.” 3) “SECURITAS DIRECT en escrito presentado a la Agencia de 18/06/2021, páginas 106 y 107 del expediente (dentro de la TD/00167/2021) ponía de manifiesto que generó logs hasta las 20:09 h del día 27/11/ 2015, hora y fecha en la que se produjo la intrusión en el domicilio del reclamante y durante la cual dicho sistema de alarma quedó completamente inutilizado a partir de esa fecha no pudo generar más logs.” En relación con la memoria interna del dispositivo, también la reclamada puso de manifiesto en su escrito de 18/06/2021 que “tras el análisis de la memoria interna de la alarma instalada solo constaba un log generado para ese marco temporal el cual constaba en nuestro burofax de 26/02/2021”. Considera, que “en diciembre de 2021 había ejecutado el ejercicio de derecho de acceso a datos realizado por el reclamante de manera reiterada”” en dos formatos diferentes, agrupados por evento e individualizados, tal y como se registran en los sistemas por fecha de evento. Se incluye una descripción del significado del evento”. 4) “La Agencia considera en el acuerdo de inicio, que, sin perjuicio de haber enviado al reclamante los registros y señales solicitados y generados que son datos personales, “cabría la posibilidad de haber proporcionado todos los “logs” a la Agencia, hasta el mínimo detalle y marcarlos como confidencial en el caso de que se opusiera a una eventual difusión”. Pone en tela de juicio la posibilidad de atender de esa forma el derecho de acceso, al no reflejarse en norma alguna, considerándolo un acceso indirecto a la información a través de la AEPD, aun cuando estos no sean datos de carácter personal. Indica que ha enviado al reclamante los datos personales obrantes en la información solicitada tras su conclusión de su informe jurídico de análisis sobre logs, “dentro del periodo solicitado”, “en dos formas diferentes”, y en tres ocasiones. 5) Los que no considera datos personales, son “logs de carácter técnico, señales informativas, registros descriptivos de procesos internos y técnicos, configuraciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/102 de dispositivos o información estadística, información que contiene procesos técnicos internos de SD cuya revelación a terceros implicaría en muchos casos la comunicación de nuestro know how”. “Queriendo dar cumplimiento a lo planteado por la Agencia en el escrito del acuerdo de inicio”, adjunta: DOCUMENTO 2, tabla Excel, que “contiene todos los registros emitidos por el sistema de alarma sobre el que recae la petición” ordenados cronológicamente”, de modo que figuran secuencialmente, según se producen: “En color verde son datos personales de acuerdo con el informe.”, y los de “color rojo, aquellos que no lo son, por ser técnicos y confidenciales quedando sometidos a la normativa de secretos industriales, pudiendo ser utilizados solo por la Agencia”. “Del total de los logs recogidos del sistema de alarma del reclamante para el período solicitado- 412 registros- ya se han puesto a disposición del reclamante un total de 273 registros.” Las hojas Excel que aporta son similares al formato proporcionado al reclamante el 14/12/2021, y “reflejan los registros como son, y aparecen registrados en los sistemas.” Aparecen en ocasiones logs de misma fecha y hora que se aprecia que son considerados dato personal y otro que no, figurando con distintas claves de la “(...) del evento”, distinguidos en rojo los considerados no datos personales, ejemplo 27/11/2016 20:09:47. Incluso figuran dos logs en rojo, no datos personales, a misma fecha y hora. DOCUMENTOS 3, y 4, tablas Excel, relacionadas de algún modo con el 2. Reúnen en forma separada, los que son logs de datos personales