1/6 Expediente N.º: EXP202102387 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 18/09/2021, tuvo entrada en esta Agencia Española de Protección de Datos un escrito presentado por A.A.A. (en adelante, la parte reclamante), mediante el que formula reclamación contra B.B.B. con NIF ***NIF.1 (en adelante, la parte reclamada), por la instalación de un sistema de videovigilancia ubicado en ***DIRECCION.1, existiendo indicios de un posible incumplimiento de lo dispuesto en la normativa de protección de datos de carácter personal. Los motivos que fundamentan la reclamación son los siguientes: “Mi vecino tiene dos videocámaras instaladas que captan el espacio de mi terraza y de las dos puertas de mi entrada y no tiene carteles de advertencia en ninguna parte de la fachada. Son videocámaras de gran angular y una de ellas es giratoria 360 grados y muchas veces la mueve hacia mi casa. […]” Adjunta reportaje fotográfico de la ubicación de las cámaras. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 24/09/2021 se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos; resultando notificada el 01/10/2021, según consta en el Aviso emitido por Correos. A día de hoy, esta Agencia no ha recibido contestación alguna. TERCERO: Con fecha 25/11/2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 09/06/2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.
- c)del RGPD y Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 Administraciones Públicas (en adelante, LPACAP), el 29/06/2022 la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: “[…] Es absolutamente falso que el Sr. B.B.B. no disponga de distintivo informativo colocado, como tampoco es cierto que las videocámaras capten el espacio de terraza y puertas de entrada de la Sra. A.A.A.. Asimismo el Sr. B.B.B. tiene adecuada la instalación de sus cámaras a la normativa de protección de datos, siendo su última revisión y adecuación el 06/10/2021. […]” Adjunta la siguiente documentación: - Fotografía del cartel informativo de zona videovigilada y del documento de la política de privacidad y protección de datos, donde consta como responsable del tratamiento C.C.C.. SEXTO: En fecha 05/07/2022 se solicita a la parte reclamada aportación de impresión de pantalla (fecha y hora) a un tamaño adecuado de lo que las cámaras en cuestión visionan, realizando una breve explicación de lo que en su caso se están captando; así como fotografías que permitan conocer dónde está colocado el cartel informativo de zona videovigilada. SÉPTIMO: El 20/07/2022 se recibe contestación de la parte reclamada mediante la que aporta fotografía de la ubicación del cartel y de lo que capta a día 15/07/2022 una de las cámaras (patio y puerta de salida de su vivienda). OCTAVO: Con fecha 31/08/2022, la parte reclamante presenta nuevo escrito en el que señala lo siguiente: “Quería añadir al expediente ***EXPEDIENTE.1 varias fotografías. He tenido que hacer un muro nuevo y levantarlo lo máximo posible (lo que permite la normativa del ayuntamiento) para que la videocámara del vecino capte lo menos posible de mi casa, pero al ser giratoria y estar elevada capta imágenes y videos desde que entro a mi casa y cuando estoy en la piscina, el vecino gira la cámara a su antojo y esto se está haciendo insostenible, hasta el grado de que voy con miedo a la piscina y al entrar y salir de mi casa. Es una situación que llevo aguantando más de un año, porque desde que la puso y le dije que la pusiera en otro lado y no captara mi espacio y se negó, no sabía que hacer, hasta que un día la policía me indicó que tenía que denunciarlo a la aepd, pero ya habían pasado 6 meses”. Adjunta reportaje fotográfico de lo expuesto. NOVENO: Con fecha 21/11/2022, se formuló propuesta de resolución en la que se proponía ordenar el archivo del presente procedimiento sancionador por no ser el reclamado la persona responsable del sistema de videovigilancia objeto de reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 Notificada la citada propuesta de resolución conforme a las normas establecidas en la LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por el reclamado. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: El 18/09/2021 tuvo entrada en esta Agencia reclamación contra B.B.B. por la instalación de dos cámaras de videovigilancia en el exterior de su vivienda, sita en ***DIRECCION.1, orientadas hacia la vivienda de la reclamada. Además, se advierte de la falta de cartel informativo de zona videovigilada. SEGUNDO: El reclamado niega captar imágenes de la propiedad de la reclamante. A fecha 15/07/2022, la cámara instalada en la barbacoa de obra visiona el patio y puerta de salida a la vivienda del reclamado. TERCERO: Consta identificada como responsable del sistema de videovigilancia C.C.C., con NIF ***NIF.2. Este extremo queda probado con las fotografías aportadas por el reclamado del cartel informativo de zona videovigilada colocado en el muro de entrada a su vivienda, así como del documento de política de privacidad y protección de datos CUARTO: La reclamante aporta nuevas fotografías donde se observa la construcción de un nuevo muro en su terreno y la colocación de una malla verde por encima. QUINTO: Esta Agencia ha notificado al reclamado la propuesta de resolución del presente procedimiento sancionador, pero este no ha presentado alegaciones ni pruebas que contradigan los hechos denunciados. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 II El artículo 5.1.
- c)del RGPD “Principios relativos al tratamiento” dispone que: “Los datos personales serán:
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados (“minimización de datos”).” Este artículo consagra el principio de minimización de datos en el tratamiento de los datos personales. Supone que dicho tratamiento sea ajustado y proporcional a la finalidad a la que se dirige, debiendo restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. La pertinencia en el tratamiento de los datos debe producirse tanto en el ámbito de la recogida de los datos como en el posterior tratamiento que se realice de los mismos. Cabe recordar que los particulares son responsables de velar por que los sistemas instalados se ajusten a la legalidad vigente, acreditando que la misma cumple con todos los requisitos exigidos por la normativa en vigor. La instalación de este tipo de dispositivos debe contar con el preceptivo cartel informativo, indicando los fines y responsable del tratamiento en su caso de los datos de carácter personal. En concreto, el artículo 22.4 de la LOPDGDD dispone que: “El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información.” Estas infracciones se tipifican en el artículo 83.5 del RGPD: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
- b)Los derechos de los interesados a tenor de los artículos 12 a 22; A efectos del plazo de prescripción de las infracciones, las mismas se consideran muy graves y prescriben a los tres años, conforme al artículo 72.1 de la LOPDGDD, que establece que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679; (…)
- h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta Ley Orgánica”. III Esta Agencia no tiene constancia de que el reclamado haya presentado escrito de alegaciones ni pruebas contra la propuesta de resolución. No obstante, como ya se indicó en la propuesta de resolución, el acuerdo de inicio de este procedimiento sancionador, PS/00282/2022, identificó como presunto responsable de los hechos expuestos arriba a don B.B.B., con NIF ***NIF.1. Se tomó en consideración que en el apartado “Datos del reclamado 1” de la reclamación remitida a esta Agencia se facilitaban los suyos. Sin embargo, a tenor de las alegaciones formuladas por el reclamado contra el acuerdo de apertura y de la documentación que adjunta a ella queda acreditado que la responsable del sistema de videovigilancia es C.C.C., con NIF ***NIF.2. Las fotografías aportadas del cartel informativo de zona videovigilada colocado en el muro de entrada a la vivienda, sita en ***DIRECCION.1, y el documento de tratamiento de datos personales dejan constancia de que don B.B.B. carece de dicha condición. Llegados a este punto se debe recordar que el acuerdo de apertura del presente procedimiento sancionador versó sobre la existencia de cámaras de videovigilancia instaladas en el exterior del referido inmueble, en el que se realizaba una captación desproporcionada que afectaba a la propiedad de la reclamante y en el que no figuraba ningún cartel informativo de zona videovigilada. En este sentido, debe tomarse en consideración que la obligación de informar prevista en el artículo 13 del RGPD se impone al responsable del tratamiento, que se define en el artículo 4.7 del RGPD como “la persona física o jurídica, […] que, solo o junto con otros, determine los fines y medios del tratamiento; […];”. Asimismo, el responsable del tratamiento debe velar porque se respeten los principios relativos al tratamiento, entre los que se encuentra la “minimización de datos”. Por ello, de conformidad con las evidencias de las que se dispone en el presente procedimiento sancionador, ha quedado probado que el reclamado no es la persona responsable del sistema de videovigilancia y que, por tanto, no procede atribuirle la responsabilidad de los hechos constatados a don B.B.B.. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 PRIMERO: ORDENAR el ARHIVO del presente procedimiento a B.B.B., con NIF ***NIF.1, al no resultar imputables a él los hechos objeto de la reclamación que determinaron la apertura del mismo. SEGUNDO: NOTIFICAR la presente resolución a B.B.B.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-181022 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es