1/10 Expediente N.º: EXP202302981 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 9 de febrero de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra B.B.B. con NIF ***NIF.1 (en adelante, la parte reclamada), por la instalación de un sistema de videovigilancia ubicado en FRESH LAUNDRY, ***DIRECCIÓN.1, existiendo indicios de un posible incumplimiento de lo dispuesto en el Artículo 13 del RGPD. Los motivos que fundamentan la reclamación son los siguientes: La parte reclamante manifiesta que la parte reclamada es responsable de un establecimiento ubicado en la Avenida ***DIRECCIÓN.1, ***LOCALIDAD.1, que cuenta en su interior con un sistema de videovigilancia sin que el mismo se encuentre debidamente señalizado mediante carteles de zona videovigilada.. Aporta imágenes del interior del establecimiento donde constan cámaras, pero no constan carteles de zona videovigilada. Los documentos aportados son: - Reportaje fotográfico SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), no fue recogido por el responsable. El primer intento de traslado se realizó en fechas 13 y 14 de abril de 2023, con resultado de "Ausente". Fue "Devuelto a Origen por Sobrante (No retirado en oficina)" en fecha 24 de abril de 2023 según certificación de imposibilidad de entrega que consta en el expediente. El segundo intento de traslado se realizó en fechas 8 y 9 de mayo de 2023, con resultado de "Ausente". Fue "Devuelto a Origen por Sobrante (No retirado en oficina)" en fecha 17 de mayo de 2023, según certificación de imposibilidad de entrega que consta en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/10 No se ha recibido respuesta al escrito de traslado. TERCERO: Con fecha 9 de mayo de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: INFORME DE ACTUACIONES PREVIAS DE INVESTIGACIÓN Durante las presentes actuaciones se han investigado las siguientes entidades: FRESH LAUNDRY con domicilio en AVENIDA ***DIRECCIÓN.1. BUGADERIES D'AUTOSERVEI DE CATALUNYA, S.L. con CIF: B65920779 con domicilio ***DIRECCIÓN.2. RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Con fecha 29 de marzo de 2023, BUGADERIES D'AUTOSERVEI DE CATALUNYA, S.L. comunica que la reclamada es una de sus empresas franquiciadas. Con fecha 31 de mayo de 2023, se requiere a BUGADERIES D'AUTOSERVEI DE CATALUNYA, S.L. información sobre el titular del establecimiento situado en AVENIDA ***DIRECCIÓN.2, así como el contrato firmado con esa empresa al objeto de identificar al responsable de tratamiento y al responsable del sistema de videovigilancia instalado en dicho establecimiento. Con fecha 31 de mayo de 2023, se requiere a la parte reclamante: Si dispone de él, algún ticket o factura de la lavandería en el que se vea la titularidad y el CIF de la empresa. Si la puede conseguir, alguna foto de la instalación de la que pueda desprenderse la información citada: permiso de apertura de instalación o información similar. El 2 junio 2023, BUGADERIES D'AUTOSERVEI DE CATALUNYA SL, responde al requerimiento informando que el franquiciado es B.B.B. NIF.1, con domicilio en ***DIRECCIÓN.3 y adjuntando el contrato con el mismo. El 5 de junio de 2023 la parte reclamante responde al requerimiento del 31 de mayo, informando de lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/10 el 3/6/2023, a las 21h17m le ha sido imposible obtener un ticket ya que la máquina, a pesar de solicitarlo, no lo entrega. Tan sólo aparece el correo ***EMAIL.1 y el teléfono de atención al cliente ***TELÉFONO.1. En el resto del recinto no hay ninguna información como permiso de apertura que contenga titularidad y cif. En la página web *** URL.1 se encuentra la lavandería de ***LOCALIDAD.2. En la nota legal (***URL.2) aparece como titular fiscal Bugaderies d'autoservei de Catalunya S.L., NIF: B65920779, Dirección: ***DIRECCIÓN.2. La titularidad del establecimiento se desprende de la respuesta de BUGADERIES D'AUTOSERVEI DE CATALUNYA SL, informando que el franquiciado es B.B.B., NIF.1, con domicilio en ***DIRECCIÓN.3. En la nota legal disponible en ***URL.2, se declara como responsable fiscal de la franquicia Fresh a Bugaderies d'autoservei de Catalunya S.L., NIF: B65920779, Dirección: ***DIRECCIÓN.2, teléfono: ***TELÉFONO.1. QUINTO: Con fecha 31 de julio de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba que: “en el informe dice que no se retiraron los correos enviados al local, al tratarse de una franquicia, ustedes enviaron el correo a nombre de la misma, y en correos al intentar retirarla no me permitieron porque no estaban los correos a mi nombre, yo no soy propietario de la franquicia sino un franquiciado y no me permitieron acceder a esos correos. El cartel que comunica que en la lavandería hay cámaras de vigilancia está colocado desde el momento en que se abrió por primera vez el local. adjunto imágenes de la lavandería y la ubicación del cartel, ya que en la notificación que me enviaron dicen tener fotos de la persona denunciante, a ver si de verdad hizo fotos a todo el local. y me gustaría poder hacer yo una contra denuncia hacia esta persona. muchas gracias” SEPTIMO: Con fecha 30 de agosto de 2023 se formuló propuesta de resolución, proponiendo: -Que por la Directora de la Agencia Española de Protección de Datos se sancione a B.B.B., con NIF ***NIF.1, por una infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 500 € (QUINIENTOS euros). -Que por la Directora de la Agencia Española de Protección de Datos se ordene a B.B.B., con NIF ***NIF.1, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/10 30 días, acredite haber procedido a completar la información requerida en el cartel instalado al efecto. OCTAVO: Notificada la propuesta de resolución en fecha 31/08/2023, a través del servicio de Dirección Electrónica Habilitada Única, la parte reclamada presenta nuevas alegaciones en las que indica: “en relación al expediente donde dice que no constan mis datos en el local. el comercio es una lavandería autoservicio con lo cual no hay personal durante todo el día, en el caso de que la central de pago se quede sin papel los tickets no se imprimen en ese momento, pero cuando se vuelve a colocar el papel salen todos los tickets, en ellos figuran mis datos, cuando una persona necesita el ticket y no hay papel, lo que hacen es enviar un mail al correo que está exhibido en los carteles, enviar un whatsapp al número que está en los carteles, o llamar, y los tickets son enviados, cuando una persona tiene malas intenciones no escribe, como es en este caso. De todos modos los datos fueron facilitados por la franquicia. adjunto conversación con un cliente que me pidió el ticket y se le fue enviado, donde constan mis datos. por otro lado intenté enviar esto antes pero la página no funcionaba”. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO Y ÚNICO: Consta acreditado, según la documentación aportada por la propia parte reclamada que, si bien hay carteles que avisan de que la zona está videovigilada, no cumplen con los requisitos exigidos por el artículo 22.4 de la LOPDGDD, dado que no consta en los mismos ni la identidad del responsable, ni la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del RGPD. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/10 En respuesta a las alegaciones presentadas por la parte reclamada se debe señalar lo siguiente: -Alega la parte reclamada que el cartel que comunica que en la lavandería hay cámaras de vigilancia está colocado desde el momento en que se abrió por primera vez el local. Aporta como prueba fotografía de un cartel situado en la pared en el que, efectivamente, se observa, entre otras indicaciones: “para su seguridad este establecimiento cuenta con un sistema de alarma y de videovigilancia conectados de forma permanente”, contando asimismo con un pictograma de una cámara. A este respecto, esta Agencia señala que el artículo 22.4 de la LOPDGDD indica: “El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información” Por ello se considera que dicho dispositivo no puede ser considerado válido al no constar en el mismo, como se ha indicado, ni la identidad del responsable del tratamiento ni la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del RGPD. -Alega la parte reclamada que sus datos aparecen en los tickets de pago, y si no hubiera papel disponible para emitir dichos tickets, se puede enviar un correo electrónico a la dirección que aparece en los carteles, o un whatsapp al número de teléfono que también aparece en los carteles. A este respecto, esta Agencia aclara que los datos de la parte reclamada que puedan aparecer en los tickets de pago, nada tienen que ver con los exigibles en los dispositivos informativos de zona videovigilada a los que hace referencia el citado 22.4 de la LOPDGDD. III La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. En el artículo 4.2 del RGPD se define el concepto de “tratamiento” de datos personales. “«tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/10 Las imágenes generadas por un sistema de cámaras o videocámaras son datos de carácter personal, por lo que su tratamiento está sujeto a la normativa de protección de datos. IV En cuanto al tratamiento con fines de videovigilancia, el artículo 22 de la LOPDGDD establece que las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. El artículo 12.1 del RGPD indica que quien lleve a cabo un tratamiento de datos personales, como es la captación de imágenes mediante un sistema de videovigilancia, deberá suministrar a los interesados la información indicada en los artículos 13 y 14 del RGPD. Con la finalidad de que el deber de información previsto en el artículo 12 del RGPD se cumpla de manera concisa y comprensible para el afectado, el citado artículo 22 de la LOPDGDD prevé en relación con la videovigilancia un sistema de "información por capas". En este sentido, la primera capa ha de referirse, al menos, a la existencia del tratamiento (videovigilancia), la identidad del responsable, la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del RGPD y dónde obtener más información sobre el tratamiento de los datos personales. La información de la segunda capa debe estar disponible en un lugar fácilmente accesible al afectado, ya sea una hoja informativa en una recepción, cajero, etc…, colocada en un espacio público visible o en una dirección web, y ha de referirse al resto de elementos del artículo 13 del RGPD. No es necesario especificar la ubicación precisa del equipo de videovigilancia. Este deber de información se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible, y como mínimo, en los accesos a las zonas vigiladas ya sean interiores o exteriores. En caso de que el espacio videovigilado disponga de varios accesos deberá disponerse de dicho distintivo de zona videovigilada en cada uno de ellos. Esta información debe suministrarse por adelantado -considerando 39 del RGPD-. El objetivo es que quede claro el contexto de la vigilancia. La Agencia Española de Protección de Datos ofrece a través de su página web [https://www.aepd.es] acceso a: la legislación en materia de protección de datos personales, incluyendo el RGPD y la LOPDGDD (apartado “Informes y resoluciones” / “normativa”), la Guía sobre el uso de videocámaras para seguridad y otras finalidades, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/10 la Guía para el cumplimiento del deber de informar (ambas disponibles en el apartado “Guías y herramientas”). También resulta de interés, en caso de realizar tratamientos de datos de bajo riesgo, la herramienta gratuita Facilita (en el apartado “Guías y herramientas”), que, mediante unas preguntas concretas, permite valorar la situación del responsable respecto del tratamiento de datos personales que lleva a cabo, y en su caso, generar diversos documentos, cláusulas informativas y contractuales, así como un anexo con medidas de seguridad orientativas consideradas mínimas. V La instalación de una videocámara conlleva la obligación ineludible de advertir la presencia de la misma mediante un dispositivo informativo, en lugar suficientemente visible, identificando al menos la existencia del tratamiento, la identidad del responsable, y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del RGPD. En el presente caso, de acuerdo con la documentación obrante en el expediente, se observa que el cartel colocado advirtiendo la existencia de cámaras de videovigilancia no cumple con los requisitos exigidos por el artículo 22 de la LOPDGDD. Se considera que los hechos expuestos vulneran lo establecido en el Artículo 13 del RGPD, por lo que podrían suponer la comisión de una infracción tipificada en el artículo 83.5 del RGPD, que dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
- b)los derechos de los interesados a tenor de los artículos 12 a 22; (…)”. A efectos del plazo de prescripción, el artículo 74 “Infracciones consideradas leves” de la LOPDGDD indica: “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes:
- a)El incumplimiento del principio de transparencia de la información o el derecho de información del afectado por no facilitar toda la información exigida por los artículos 13 y 14 del Reglamento (UE) 2016/679. (…)” VI La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Por tanto, procede graduar la sanción a imponer de acuerdo con los criterios que establece el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/10 artículo 83.2 del RGPD, y con lo dispuesto en el artículo 76 de la LOPDGDD, respecto al apartado
- k)del citado artículo 83.2 RGPD. Por todo ello, se considera que la sanción que correspondería es de multa administrativa de 500 euros. Hay que recordar que el pago voluntario de las cuantías propuestas no exime de acreditar la regularización del sistema de videovigilancia de conformidad con la normativa en vigor. VII El artículo 58.2
- d)del RGPD, indica que cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. En el presente caso, la parte reclamada deberá proceder, en el plazo de 30 días desde la recepción de la presente resolución, a: • Acreditar que ha procedido a la colocación del dispositivo informativo en las zonas videovigiladas o a completar la información ofrecida en el mismo (deberá identificarse, al menos, la existencia de un tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en dichos preceptos), ubicando este dispositivo en lugar suficientemente visible, tanto en espacios abiertos como cerrados. • Acreditar que mantiene a disposición de los afectados la información a la que se refieren los artículos 13 y 14 del RGPD. Se advierte que no atender a los requerimientos de este organismo puede ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a B.B.B., con NIF ***NIF.1, por una infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 500 EUROS (QUINIENTOS EUROS) SEGUNDO: ORDENAR a B.B.B., con NIF ***NIF.1, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo de 30 dias acredite haber procedido al cumplimiento de • La colocación del dispositivo informativo en las zonas videovigiladas o a completar la información ofrecida en el mismo (deberá identificarse, al menos, la existencia de un tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en dichos preceptos), ubicando este dispositivo en lugar suficientemente visible, tanto en espacios abiertos como cerrados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/10 • Acreditar que mantiene a disposición de los afectados la información a la que se refieren los artículos 13 y 14 del RGPD TERCERO: NOTIFICAR la presente resolución a B.B.B. CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00 0000 0000 0000 0000 0000 (BIC/Código SWIFT: XXXXXXXXXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/10 documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-250923 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es