PS-00300-2013

1/15 Procedimiento Nº PS/00300/2013 RESOLUCIÓN: R/02574/2013 En el procedimiento sancionador PS/00300/2013, instruido por la Agencia Española de Protección de Datos a la entidad MELIA HOTELS INTERNACIONAL, S.A., vista la denuncia presentada por la Policía Municipal de Madrid y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 27 de junio de 2012 tiene entrada en esta Agencia escrito de la Policía Municipal de Madrid (en adelante la Policía) comunicando una posible infracción a la normativa de protección de datos relacionada con la instalación de cámaras de videovigilancia en el establecimiento con denominación comercial "ME MADRID", ubicado en A.A.A. 14 de MADRID, del que es titular la entidad MELIA HOTELS INTERNATIONAL, S.A. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, los Servicios de Inspección de esta Agencia solicitaron, con fecha 15 de octubre de 2012, información a la entidad MELIA HOTELS INTERNATIONAL, S.A., (en adelante MELIA HOTELS), en relación con el sistema de videovilancia instalado en el local denominado "ME MADRID", cuya ubicación ya se ha hecho constar, teniendo entrada con fecha 8 de noviembre de 2012 escrito de contestación de dicha entidad en los siguientes términos: El sistema de videovigilancia está compuesto de 76 cámaras distribuidas en las siete plantas que forman el establecimiento. Seis de las cámaras están ubicadas en el exterior del edificio, identificadas con los números 63, 64, 65, 66, 67 y 76. - Se aporta reportaje fotográfico justificativo de la colocación de cuatro carteles informativos de zona videovigilada, los cuales se ubican en las entradas de la calle a la terraza y a la recepción y en las entradas al bar restaurante y de personal. - Se adjunta copia del formulario informativo a disposición de los interesados, al que se refiere el art. 3.b de la instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras. - Se aporta fotografía del monitor en el que se reproducen las imágenes, de la que se desprende que está ubicado en un despacho. La representación de la entidad manifiesta que se encuentra ubicado en una dependencia cerrada de la planta -1, si bien este sistema no se utiliza habitualmente. - La única persona autorizada para el acceso a las imágenes es el Director de establecimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 - El sistema cuenta con 5 grabadores que contienen un disco duro cada uno de ellos, conservándose las imágenes grabadas durante un plazo de 15 días. - El código de inscripción del fichero de videovigilancia en el Registro General de Protección de Datos es el C.C.C.. - El sistema de seguridad no está conectado a ninguna central de alarmas. TERCERO: Del reportaje fotográfico aportado se desprende que la cámara número 76 recoge imágenes de la vía pública. CUARTO: Con fecha 4 de junio de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la entidad MELIA HOTELS INTERNACIONAL, S.A. , por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. b)de dicha norma, pudiendo ser sancionada, con multa de 40.001 € a 300.000€, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. QUINTO: Notificado el acuerdo de inicio con fecha 7 de junio de 2013, MELIA HOTELS formuló alegaciones al mismo mediante escrito registrado de entrada en esta Agencia con fecha 26 de junio de 2013 solicitando el archivo del expediente por inexistencia de la infracción imputada. En apoyo de sus pretensiones se aduce que el supuesto que nos ocupa responde a lo previsto en el artículo 4.3 de la Instrucción 1/2006, de 8 de noviembre, ya que la cámara enfoca la rampa de acceso al aparcamiento y la rampa de acceso de personal ubicadas en el entorno privado del establecimiento, captándose desde dicha cámara únicamente una imagen parcial y residual de la vía pública. Se añade que el citado acceso cuenta con el correspondiente cartel informativo. Se adjuntan dos imágenes fotográficas para justificar dichas manifestaciones. Subsidiariamente, se solicita se proceda a la fijación de la sanción en su grado mínimo, esto es, en agrado de apercibimiento en atención a lo anteriormente expuesto. SEXTO:Con fecha 8 de julio de 2013 se inició el período de práctica de pruebas, en el que se dieron por reproducidos a efectos probatorios la denuncia interpuesta por la Policía Municipal de Madrid y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante MELIA HOTELS, el Informe de actuaciones previas de Inspección que forman parte del expediente E/05465/2012, las alegaciones al acuerdo de inicio PS/00300/2013 presentadas por la entidad imputada, y la documentación que a ellas acompaña. Asimismo, con esa misma fecha, se acordó solicitar a MELIA HOTELS la siguiente información: 1) Indicación relativa a si se había modificado la orientación de la referida cámara, especificándose, en el caso de que no se hubiera producido dicha circunstancia, el motivo por el cual las imágenes presentadas reflejan ángulos diferentes del aparcamiento y el acceso al mismo; y 2) Aportación de impresión de la zona videovigilada por dicha cámara que permita visualizar claramente el espacio de vía pública captado por dicho dispositivo cuando la puerta del aparcamiento está totalmente abierta. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 Con fecha 31 de julio de 2013 se registra de entrada escrito en el que la representación de la entidad imputada contestaba a la primera cuestión requerida indicando que “se procedió meses atrás a la reorientación de la indicada cámara, de tal forma que se minimizaran todavía más las imágenes residuales de la vía pública que la misma captaba en atención a su ubicación”. Respecto de la segunda cuestión se adjunta nuevamente la imagen que se incorporó al escrito de alegaciones, resaltando que la imagen que se capta es la misma con la puerta abierta o cerrada, ya que “la puerta del aparcamiento se abre hacia el interior del mismo y está ubicada detrás de la cámara.” SEXTO: Con fecha 25 de septiembre de 2013 se formuló propuesta de resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancionase a MELIA HOTELS INTERNACIONAL, S.A. con multa de 1.500 € (Mil quinientos euros) por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
2. b)de dicha norma. Dicha propuesta consta como notificada con fecha 1 de octubre de 2013 HECHOS PROBADOS PRIMERO: El Hotel denominado "ME MADRID", situado en A.A.A. 14 de MADRID cuenta con un sistema de videovigilancia compuesto de 76 cámaras distribuidas por distintas dependencias interiores y exteriores de las siete plantas que forman el establecimiento hotelero. (folios 3, 18 al 51) SEGUNDO: La entidad MELIA HOTELS INTERNATIONAL, S.A. con CIF nº: B.B.B. es titular del citado establecimiento y responsable del sistema de videovigilancia instalado en el mismo . Dicho sistema no está conectado a Central de Alarmas (folios 3,18 al 21) TERCERO: Con fecha 8 de noviembre de 2012 MELIA HOTELS INTERNATIONAL, S.A. aporta impresión fotográfica de las imágenes captadas con fecha 6 de noviembre de 2012 por la cámara identificada con el número 76. Dicha cámara de videovigilancia captaba y transmitía imágenes del acceso al aparcamiento, la rampa de acceso del personal del Hotel y del espacio público exterior, alcanzando la zona de la vía pública aledaña y de las personas que transitaban por la misma. (folios 20 y 76) CUARTO: Con fecha 24 de junio de 2013 MELIA HOTELS INTERNATIONAL, S.A. acredita que la cámara identificada con el número 76 en la actualidad, y después de ser reorientada, únicamente enfoca la rampa de acceso al aparcamiento y la rampa de personal ubicadas en el entorno privado del establecimiento, sin captar vía pública. (folios 64 y 66) QUINTO: Las imágenes captadas por las cámaras que integran el sistema de seguridad se reproducen y visualizan en monitores que se encuentran ubicados en una dependencia cerrada de la primera planta. El acceso a dicho lugar y a las imágenes está restringido al director del establecimiento. (folios 20, 50, 51) SEXTO: Dichas imágenes se graban por cinco C/ Jorge Juan, 6 28001 – Madrid grabadores, almacenándose las www.agpd.es sedeagpd.gob.es 4/15 mismas en sus discos duros durante un plazo de 15 días. El fichero de videovigilancia está inscrito en el Registro General de Protección de Datos, con el código nº: C.C.C.. (folios 20, 52 y 53) SÉPTIMO: El establecimiento informa a los afectados por el tratamiento que se trata de una zona videovigilada mediante cuatro distintivos informativos situados en los accesos de la calle a la terraza y de la calle a la recepción y en las entradas de personal y al bar restaurante. También dispone de impresos informativos a disposición de los interesados en los que se detalla la información prevista en el artículo 5.1 de la LOPD. (folios 28 al 32 y 67) OCTAVO: En los sistemas de información de la AEPD consta que con motivo de la instrucción del procedimiento sancionador PS/00090/2003 el Director de la AEPD sancionó, con fecha 23 de diciembre de 2003, a la entidad SOL MELIA, S.A., NIF B.B.B., en la actualidad MELIA HOTELS INTERNATIONAL, S.A., con sendas multas de 60.101,21 euros por vulneración de los artículos 6.1 y 9 de la LOPD, como responsable de dos infracciones graves a lo previsto en los artículos 44.3.
3. d)y 44.3.
4. h)respectivamente, de la LOPD. (folios 54 y 82 al 100) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
5. g)en relación con el artículo 36 de la LOPD. II Con carácter previo, debe señalarse que el artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. La LOPD, viene a regular el derecho fundamental a la protección de datos de las personas físicas, esto es, el derecho a disponer de sus propios datos sin que puedan ser utilizados, tratados o cedidos sin su consentimiento, con la salvedad de las excepciones legalmente previstas. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el apartado
6. a)del artículo 3 de la LOPD, como “Cualquier información concerniente a personas físicas identificadas o identificables”. El artículo 3 de la LOPD define en su letra
7. c)el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. La garantía del derecho a la protección de datos, conferida por la normativa de referencia, requiere que exista una actuación que constituya un tratamiento de datos personales en el sentido expresado. En otro caso las mencionadas disposiciones no serán de aplicación. El artículo 5.1.
8. f)del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, define datos de carácter personal como: “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2.
9. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, según el cual, a efectos de dicha Directiva, se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Asimismo, el Considerando 26 de esta Directiva se refiere a esta cuestión señalando que, para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona para identificar a aquélla. De lo anteriormente expuesto se desprende que el concepto de dato personal, según la definición de la LOPD, requiere la concurrencia de un doble elemento: por una parte, la existencia de una información o dato y, por otra, que dicho dato pueda vincularse a una persona física identificada o identificable, por lo que la imagen de una persona física identificada o identificable constituye un dato de carácter personal. Por su parte, la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras (en lo sucesivo Instrucción 1/2006), en su artículo 1.1 señala lo siguiente: “Artículo 1.1. La presente Instrucción se aplica al tratamiento de datos personales de imágenes de personas físicas identificadas o identificables, con fines de vigilancia a través de sistemas de cámaras y videocámaras. El tratamiento objeto de esta Instrucción comprende la grabación, captación, transmisión, conservación, y almacenamiento de imágenes, incluida su reproducción o emisión en tiempo real, así como el tratamiento que resulte de los datos personales relacionados con aquéllas. Se considerará identificable una persona cuando su identidad pueda determinarse mediante los tratamientos a los que se refiere la presente instrucción, sin que ello requiera plazos o actividades desproporcionados. Las referencias contenidas en esta Instrucción a videocámaras y cámaras se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 entenderán hechas también a cualquier medio técnico análogo y, en general, a cualquier sistema que permita los tratamientos previstos en la misma.” De acuerdo con los preceptos transcritos, la cámaras de videovigilancia reproducen la imagen de los afectados por este tipo de tratamientos y, a efectos de la LOPD, la imagen de una persona constituye un dato de carácter personal, toda vez que la información que capta concierne a personas y suministra información sobre la imagen personal de éstas, el lugar de su captación y la actividad desarrollada por el individuo al que la imagen se refiere. En relación con esta cuestión y en un caso muy parecido al presente, la Sentencia de la Audiencia Nacional de 10 de febrero de 2011, expresaba: “En el caso de autos, atendidos los amplios términos del concepto de tratamiento de datos contenido en la LOPD, cabe sostener que la captación de la imagen de una persona y su grabación por el sistema de videovigilancia instalado y conservación durante un periodo de 7 días, como se ha constatado por los Inspectores de la AEPD en la inspección realizada (...) constituye una operación o procedimiento técnico de recogida de datos, que al realizarse de forma automatizada (no manual), dado que el sistema de videovigilancia instalado es automatizado, tiene la consideración de tratamiento de datos de carácter personal en el sentido de la LOPD y está sometido a la misma.” En consecuencia, los datos personales captados por dichos dispositivos de videovigilancia están sometidos al consentimiento de sus titulares, de conformidad con lo dispuesto en el artículo 6.1 de la LOPD. III La vigente LOPD atribuye la condición de responsables de las infracciones previstas en dicha norma a los responsables de los ficheros (artículo 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.
10. d)de la misma. Este precepto incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al citado artículo 3.
11. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. El artículo 5.1.
12. q)del RDLOPD considera como tal a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados.” Así de conformidad con las definiciones recogidas en la normativa de protección de datos expuesta, MELIA HOTELS es responsable del tratamiento de las imágenes que incluyan datos de carácter personal que son captadas y transmitidas por las cámaras que integran el sistema de seguridad privada instalado con fines de videovigilancia en el establecimiento hotelero “ME MADRID”, ya que dicha entidad es la que decide sobre la finalidad, contenido y uso del citado tratamiento. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 En este caso se imputa a MELIA HOTELS, como responsable del tratamiento de datos personales resultante de la captación de imágenes de la vía pública a través de las cámaras de videovigilancia instaladas en el citado establecimiento hotelero, una infracción a lo previsto en el artículo 6.1 de la LOPD, que consagra el principio del consentimiento o autodeterminación, y en cuyos apartados 1 y 2 se dispone lo siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El artículo 6 de la LOPD exige el consentimiento de los afectados para el tratamiento de sus datos personales salvo que la Ley determine otra cosa o cuando concurra alguna de las circunstancias previstas en el apartado 2 del citado artículo 6, definiéndose en el apartado
13. h)del artículo 3 de la LOPD como “ Consentimiento del interesado: toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. Por su parte, el artículo 2 de la Instrucción 1/2006, de 8 de noviembre, establece respecto de la legitimación en el tratamiento de este tipo de imágenes con datos personales obtenidas mediante cámaras de videovigilancia que: “1. Sólo será posible el tratamiento de los datos objeto de la presente instrucción, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 cuando se encuentre amparado por lo dispuesto en el artículo 6.1 y 2 y el artículo 11.1 y 2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. 2. Sin perjuicio de lo establecido en el apartado anterior la instalación de cámaras y videocámaras deberá respetar en todo caso los requisitos exigidos por la legislación vigente en la materia”. Dada la dificultad práctica de obtener el consentimiento inequívoco de cada una de las personas afectadas por el tratamiento de las imágenes de las personas físicas con fines de vigilancia, la habilitación legal para este tipo de tratamiento procede de la Ley 25/2009, de 27/12, de modificación de diversas leyes para su adaptación a la Ley 17/2009, de 23/11, sobre el libre acceso a las actividades de servicios. Esta norma modifica la Ley 23/1992, de 30/06, de Seguridad Privada añadiendo una Disposición Adicional Sexta en la que se determina que cualquier particular o empresa cuya actividad no sea la propia de una empresa de seguridad privada podrá “vender, entregar, instalar y mantener equipos técnicos de seguridad” sin necesidad de cumplir las exigencias previstas en la Ley de Seguridad Privada para tales empresas. De este modo, dado que la ley permite la instalación y mantenimiento de dichos equipos por empresas distintas a las de seguridad privada, legitima a quienes adquieran de estos dispositivos para tratar los datos personales derivados de la captación de las imágenes sin necesidad de acudir a empresas de seguridad privada, siempre que la colocación de las cámaras de videovigilancia y/o el tratamiento de las imágenes captadas y transmitidas por dichos dispositivos se circunscriba a espacios privados. No obstante, la instalación de un sistema de videovigilancia conectado a una central de alarma, sí seguirá requiriendo la concurrencia de los requisitos exigidos hasta la entrada en vigor de la de la Ley 25/2009, de 27/12; esto es, que el dispositivo sea contratado, instalado y mantenido por una empresa de seguridad privada autorizada por el Ministerio del Interior y que el contrato sea notificado a dicho Departamento. En todo caso, el tratamiento de las imágenes deberá cumplir los restantes requisitos exigibles en materia de protección de datos de Carácter Personal, recogidos en la Ley Orgánica y, en particular, en la instrucción 1/2006 de la Agencia Española de Protección de Datos, como son, entre otros, los relativos a que las imágenes que se capten sean las necesarias y no excesivas para la finalidad perseguida; el deber de informar a los interesados, tanto a través de la colocación de carteles informativos como mediante la puesta a disposición de aquéllos de impresos en que se detalle la información; cumplimiento de la prohibición de obtener imágenes de espacios públicos a través de las cámaras y videocámaras instaladas en espacios privados. V En el caso que nos ocupa, el sistema de videovigilancia denunciado cuenta con un total de 76 cámaras distribuidas en el establecimiento, una de las cuales, identificada con el número 76 y situada delante de la puerta del parking del mencionado Hotel, además de captar imágenes de zonas privativas del Hotel enfocaba también la vía pública, captando y transmitiendo imágenes de las personas que transitaban por dicho espacio público adyacente al acceso del inmueble en que se sitúan las rampas del parking y de entrada del personal, tal y como se aprecia en la imagen contenida en el folio 46 remitida por la entidad imputada en su escrito de 8 de noviembre de 2012 (registrado en esta Agencia el 13 de noviembre de 2012). Dichas imágenes, además, eran objeto de grabación y se conservaban por un espacio de 15 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 días. Para entender las especialidades derivadas del tratamiento de las imágenes en vía pública, es preciso conocer la regulación que sobre esta materia se contempla en el artículo 1 de la Ley Orgánica 4/1997, de 4 de agosto, por la que se regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad en lugares públicos que establece: “La presente Ley regula la utilización por las Fuerzas y Cuerpos de Seguridad de videocámaras para grabar imágenes y sonidos en lugares públicos abiertos o cerrados, y su posterior tratamiento, a fin de contribuir a asegurar la convivencia ciudadana, la erradicación de la violencia y la utilización pacífica de las vías y espacios públicos, así como de prevenir la comisión de delitos, faltas e infracciones relacionados con la seguridad pública”. Este precepto es preciso ponerlo en relación con lo dispuesto en el artículo 3
14. e)de la Ley Orgánica 15/1999, donde se prevé que: “Se regirán por sus disposiciones específicas y por lo especialmente previsto, en su caso, por esta Ley Orgánica los siguientes tratamientos de datos personales: (…)
15. e)Los procedentes de las imágenes y sonidos obtenidos mediante la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad, de conformidad con la legislación sobre la materia”. En virtud de todo lo expuesto, podemos destacar que la instalación de videocámaras en lugares públicos es competencia exclusiva de las Fuerzas y Cuerpos de Seguridad, de ahí que la legitimación para el tratamiento de dichas imágenes se contemple en la citada Ley Orgánica 4/1997, texto legal en el que se regulan los criterios para instalar las cámaras y los derechos de los interesados. Por lo tanto, el tratamiento de datos personales efectuado por MELIA HOTELS a través de la cámara de videovigilancia nº 76 , y que afectaba a las personas que transitaban por la vía pública adyacente al lugar en que se ubicaba la mencionada cámara, carecía de la habilitación legal recogida en el artículo 6.1 “in fine” de la LOPD, ya que la Ley 25/2009, de 27/12 únicamente legitima la instalación y uso de este tipo de dispositivos de videovigilancia para la protección y seguridad de entornos privados, entre los que no se encuentra la vía pública adyacente al inmueble ocupado por el establecimiento hotelero. VI La representación de MELIA HOTELS aduce que no existe incumplimiento del artículo 6.1 de la LOPD por entender que la captación responde a lo previsto en el artículo 4.3 de la Instrucción 1/2006, ya que “la imagen parcial que se capta de la vía pública es absolutamente residual”. Sin embargo, de la imagen aportada por dicha entidad durante las actuaciones previas de inspección se evidencia que la referida cámara captaba, hasta su reorientación, un espacio de vía pública que no puede calificarse como residual o imprescindible para la finalidad de videovigilancia pretendida. De esta forma, la cámara nº 76 capturaba, además de la zona de acceso al aparcamiento y a la entrada de personal, varios metros de la vía pública enfocada, lo que incluía el mobiliario urbano circundante, la parte inferior de las fachadas de los edificios situados enfrente de la zona de accesos objeto de control y los transeúntes que accedían a la vía pública enfocada, todo ello sin que la entidad responsable de tal tratamiento haya justificado la necesidad de capturar dicho espacio público y a las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 personas que transitan por el mismo para poder vigilar y controlar la seguridad de la citada zona de accesos. En relación con dicho alegato debe recordarse que dado que la videovigilancia es un medio particularmente invasivo resulta necesario tanto que concurran las condiciones que legitimen tal tratamiento como que éste se ajuste a los principios y garantías que deben aplicarse al mismo. El artículo 4.1 de la LOPD, que consagra el principio de proporcionalidad en el tratamiento, establece que “los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido”. Dicho principio, a su vez, se correlaciona con lo previsto en el artículo 4 de la mencionada Instrucción 1/2006, de 8 de noviembre, de la AEPD, que recoge los “Principios de calidad, proporcionalidad y finalidad del tratamiento” en los siguientes términos : “1. De conformidad con el artículo 4 de la Ley Orgánica 15/1999 de 13/12, de Protección de Datos de Carácter Personal, las imágenes sólo serán tratadas cuando sean adecuadas, pertinentes y no excesivas en relación con el ámbito y las finalidades determinadas, legítimas y explícitas, que hayan justificado la instalación de las cámaras o videocámaras. 2. Sólo se considerará admisible la instalación de cámaras o videocámaras cuando la finalidad de vigilancia no pueda obtenerse mediante otros medios que, sin exigir esfuerzos desproporcionados, resulten menos intrusivos para la intimidad de las personas y para su derecho a la protección de datos de carácter personal. 3. Las cámaras y videocámaras instaladas en espacios privados no podrán obtener imágenes de espacios públicos salvo que resulte imprescindible para la finalidad de vigilancia que se pretende, o resulte imposible evitarlo por razón de la ubicación de aquéllas. En todo caso deberá evitarse cualquier tratamiento de datos innecesario para la finalidad perseguida.” En consonancia con la normativa expuesta la regla general es la prohibición de captar imágenes de la calle desde instalaciones privadas, resultando únicamente ajustada a la normativa de protección de datos la captura de imágenes que se refiera exclusivamente a aquellos espacios públicos sin cuya toma resultase en todo punto imposible el control de la seguridad en el acceso a las instalaciones de los entornos privados objeto de protección. Téngase en cuenta que en ocasiones, la protección de los espacios privados sólo es posible si las cámaras se ubican en espacios exteriores. Otras veces, también resulta necesario captar los accesos, puertas o entradas, de modo que aunque la cámara se encuentre en el interior del edificio, resulta imposible no registrar parte de lo que sucede en la porción de vía pública que inevitablemente se capta. Estos casos deben ser una excepción y respetar la proporcionalidad en el tratamiento, no debiendo existir una posibilidad de instalación alternativa. En todo caso, las videocámaras deberán orientarse de forma tal que su objeto de vigilancia principal sea el entorno privado y la captación de imágenes de la vía pública sea la mínima C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 imprescindible. Por tanto, el responsable del tratamiento y del fichero de videovigilancia deberá adecuar el uso de la instalación para que el impacto en los derechos de los viandantes, vecinos o terceras personas objeto de captura por las cámaras de videovigilancia sea el mínimo posible. En definitiva, para que la excepción recogida en el artículo 4.3 de la Instrucción 1/2006 resultara aplicable al presente caso no debería existir una posibilidad de instalación alternativa, sin poder interpretarse que dicho precepto constituye una habilitación para captar imágenes en espacios públicos, puesto que en ningún caso puede admitirse el uso de prácticas de vigilancia más allá del entorno objeto de la instalación y en particular, en lo que se refiere a los espacios públicos circundantes, edificios contiguos y vehículos distintos de los que accedan al espacio vigilado. Es por ello que MELIA HOTELS debió tener en cuenta que debía existir una relación de proporcionalidad entre la finalidad perseguida y el modo en el que se trataban los datos. En este supuesto, la impresión aportada por MELIA HOTELS a su escrito de alegaciones mostrando la imagen captada por la cámara nº 76 después de modificarse su orientación, prueba que la finalidad de seguridad y control pretendida con su instalación no requería la captación de imágenes de la vía pública adyacente, pudiendo ser cubierta enfocando únicamente el espacio privado objeto de videovigilancia. Así, en el caso analizado, el uso de dicho dispositivo se ha producido, hasta su regularización, de modo excesivo, inadecuado y no proporcional al captar imágenes de personas que transitaban por la vía pública cuando no era estrictamente necesario para conseguir la finalidad a la que respondía su recogida, infringiendo con ello los límites que señala la LOPD y la citada Instrucción 1/2006 por los motivos ya expresados. VII El artículo 44.3.
16. b)de la LOPD considera infracción grave “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. En función de la normativa y argumentos expuestos, cabe apreciar la existencia de la infracción descrita por vulneración del principio del consentimiento consagrado en el artículo 6.1 de la LOPD, por cuanto MELIA HOTELS estuvo realizando un tratamiento de datos de carácter personal excesivo y desproporcionado, a través de la ya tan citada cámara de videovigilancia, consistente en la recogida, captación, transmisión, reproducción, conservación, almacenamiento y grabación de imágenes de personas que transitaban por la vía pública circundante a la entrada del aparcamiento del Hotel “ME MADRID”, lo que ha dado lugar a un tratamiento de datos de carácter personal inconsentido por los afectados, habida cuenta que éste excedía de la cobertura legal otorgada por la Ley 25/2009, de 27/12, que se ciñe a la captación de imágenes en entornos estrictamente privados, no disponiendo tampoco dicha empresa de habilitación legal para efectuar tal tratamiento de datos personales con fines de videovigilancia en espacios públicos, habida cuenta que la grabación y tratamiento de imágenes en lugares públicos, como es el caso que nos ocupa, únicamente puede efectuarse por las Fuerzas y Cuerpos de Seguridad del Estado al amparo de lo dispuesto en la Ley Orgánica 4/1997, de 4 de agosto, por la que se regula la Utilización de Videocámaras por las Fuerzas y Cuerpos de Seguridad en Lugares Públicos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 Este criterio encuentra su apoyo en la Sentencia de la Audiencia Nacional de fecha 30 de junio de 2011, Rec. 298/2010, en la que se señalaba: “ El hecho, por tanto, de que dicho sistema de videovigilancia haya sido instalado conforme a la normativa de seguridad, no autoriza a la entidad recurrente a realizar grabaciones de imágenes en la vía pública más allá de lo que resulta idóneo, adecuado y proporcional, siendo igualmente indiferente, a estos efectos la ubicación física de tales cámaras, pues lo esencial es el carácter privado o público de las imágenes captadas y grabadas, es decir, si dichas imágenes afectan o no a personas que se encuentran en lugares públicos, en cuyo caso tal tratamiento ha de respectar el principio de proporcionalidad. Proporcionalidad que se contempla en el artículo 4 de la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras, según el cual: (…)” Añade dicha Sentencia “ No obstante la argumentación de la demanda lo cierto es que a través de la documentación obrante en el expediente (folios….del mismo) se acredita que con las repetidas cámaras (modelo ”domo”, que incorporan zoom), se alcanza un ángulo de visión de la vía pública y de las personas que circulan por la misma, de manera suficiente como para permitir su identificación realizando por tanto un tratamiento excesivo y no proporcional de las imágenes, en relación con el ámbito y las finalidades que podrían justificar su recogida, toda vez que la seguridad demandada podría igualmente obtenerse por medios menos intrusivos para la intimidad de las personas afectadas, como sería la instalación de pantallas de privacidad que impidiesen la captación de imágenes en la vía pública más allá de lo necesario y proporcional Por lo que al haberse efectuado la captación y grabación de imágenes de personas identificables en la vía pública, más allá de lo que, como se ha dicho, se considera idóneo y proporcional al fin perseguido, criterios de proporcionalidad a los que se refiere la citada Instrucción 1/2006, se ha producido un tratamiento inconsentido de datos de carácter personal, por lo que la infracción del artículo 6.1 LOPD ha de ser confirmada.” VIII MELIA HOTELS ha solicitado la fijación de la sanción en grado de apercibimiento, de conformidad con lo previsto en el artículo 45.6 de la LOPD, que establece que: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
17. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
18. b)Que el infractor no hubiese sido sancionado o apercibido con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto no cabe aplicar dicha medida sancionadora ya que no concurre el presupuesto
19. b)recogido en el artículo 45.6 de la LOPD cuyo cumplimiento resulta necesario para ello, toda vez que en el sistema de información de la Subdirección General de Inspección de Datos de la AEPD consta que con motivo de la instrucción del procedimiento sancionador PS/00090/2003 el Director de la AEPD sancionó el 23 de diciembre de 2003 a la entidad SOL MELIA, S.A., NIF B.B.B., en la actualidad MELIA HOTELS INTERNATIONAL, S.A., con sendas multas de 60.101,21 euros por vulneración de los artículos 6.1 y 9 de la LOPD. IX El artículo 45. 2. 4 y 5 de la LOPD, según redacción dada por la Ley 2/2011, establece lo siguiente: “2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 €. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
20. a)El carácter continuado de la infracción.
21. b)El volumen de los tratamientos efectuados.
22. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
23. d)El volumen de negocio o actividad del infractor.
24. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
25. f)El grado de intencionalidad.
26. g)La reincidencia por comisión de infracciones de la misma naturaleza.
27. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
28. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
29. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
30. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
31. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
32. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 comisión de la infracción.
33. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
34. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” En el presente caso, resultan de aplicación diversos de los supuestos recogidos en el artículo 45.5 de la LOPD. Por una parte, se considera que se produce una cualificada disminución de la culpabilidad de MELIA HOTELS en atención a que la zona objeto de enfoque directo de la cámara no era la vía pública sino las rampas de acceso al aparcamiento y entrada del personal del establecimiento situadas en el interior del propio inmueble, si bien, por razón de la orientación de la cámara, junto con la captación de tales zonas también se recogía la porción de vía pública situada frente a dicha cámara. Además, el tratamiento irregular de datos únicamente afectaba a una de las 76 cámaras que componen el sistema de seguridad del establecimiento, tratándose, por otra parte, una cámara fija que no dispone de zoom ni posibilidad de movimiento a fin de abarcar un espacio mayor, por lo que la captación de imágenes de la vía pública aledaña a través del referido dispositivo se producía de forma incidental con motivo de la orientación de la cámara, sin abarcar mayor zona perimetral que la de entrada a dichas rampas. También se considera que resulta de aplicación lo dispuesto en el artículo 45.5.
35. b)de la LOPD al haberse acreditado por MELIA HOTELS que con fecha 24 de junio de 2013 la mencionada cámara ya no recogía imágenes procedentes de la vía pública. Por lo tanto, consta la rápida regularización de la situación por dicha empresa, que tan pronto como conoció, con fecha 7 de junio de 2013, la irregularidad imputada reaccionó modificando el ángulo de enfoque de la mencionada cámara de videovigilancia para que sólo capturase imágenes del entorno privado objeto de protección y control, eliminando así la recogida de imágenes de espacios públicos. Por otro lado, y ya dentro de la escala de sanciones correspondientes a las infracciones leves, teniendo en cuenta los criterios que recoge el artículo 45.4 de la LOPD, relativos a la aplicación del principio de proporcionalidad en la graduación del importe de las sanciones, se aprecia la inexistencia de intencionalidad (supuesto f), conforme prueba que la cámara de videovigilancia en cuestión estuviera ubicada en zona privativa del establecimiento hotelero y no en el exterior del mismo, la ausencia de beneficios obtenidos como consecuencia de la comisión de la infracción (supuesto e), considerándose procedente, en este supuesto, imponer una sanción en la cuantía de 1.500 € por la infracción del artículo 6.1 de la LOPD. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad MELIA HOTELS INTERNACIONAL, S.A. , por una infracción del artículo 6.1" de la LOPD, tipificada como grave en el artículo 44.3.b de dicha norma, una multa de 1.500 € (Mil quinientos euros), de conformidad con lo establecido en los apartados 2, 4 y 5 del artículo 45 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a MELIA HOTELS INTERNACIONAL, S.A. y a la Policía Municipal de Madrid. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es