1/5 * Procedimiento Nº: PS/00307/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: D.G. DE LA POLICÍA MUNICIPAL (*en adelante, la parte reclamante) con fecha 11 de junio de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra el establecimiento ***EMPRESA.1 con NIF ***NIF.1 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes considera “que la reclamada carece de cartel informativo en el establecimiento frutero que regenta”. Adjunta prueba documental (Fotografía nº 1-2) que acredita tal extremo observándose la presencia de dispositivos de video-vigilancia sin cartel (
- es)informativo a la entrada del establecimiento. SEGUNDO: Cabe indicar que la reclamada ya había sido advertida previamente por esta Agencia mediante carta informativa de la necesidad de ajustar el sistema a la legalidad vigente en el marco del E/00758/2020, contestando a las Fuerzas y Cuerpos de Seguridad (reclamante) sobre las posibles consecuencias en caso de incumplimiento. TERCERO: Con fecha 18 de junio de 2021 la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 7 de septiembre de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Consultada la base de datos de esta AEPD en fecha 20/09/21 no se ha recibido contestación alguna, ni se ha acreditado la regularización del sistema objeto de denuncia. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS Primero. Los hechos traen causa de la reclamación de fecha 11/06/21 por medio de la cual se traslada la “ausencia de distintivo informativo” en el establecimiento ***EMPRESA.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 Segundo. Consta acreditado la ausencia de distintivo informativo en el citado establecimiento que dispone de un sistema de cámaras de video-vigilancia sin informar a los clientes del mismo en legal forma. Tercero. Consta acreditada la ausencia de formulario (
- s)informativo a disposición de los clientes (
- as)del establecimiento que en su caso puedan requerirlo. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II En el presente caso, se procede a examinar la reclamación de fecha 11/06/21 por medio de la cual se traslada como hecho principal el siguiente “ausencia de carteles informativos” a pesar de disponer de dispositivos de video-vigilancia en el establecimiento ***EMPRESA.1. Tal extremo es constado por una patrulla de la Policía Local que asevera la “ausencia de cartel (
- es)informativo” en fecha 05/02/21, siendo las pruebas aportadas (fotografías nº 1-2) lo suficientemente claras como para acreditar la ausencia de cartel en la entrada del establecimiento. Los hechos anteriores suponen una infracción del contenido del art. 13 RGPD, al carecer de distintivo informativo indicando que se trata de una zona video-vigilada, no informando del responsable del tratamiento, la finalidad del uso dado a las imágenes captadas, etc. Informar sobre la videovigilancia según RGPD es una obligación recogida en este marco legislativo. Se debe disponer de un dispositivo informativo en zona visible (vgr. puerta de acceso) indicando que se trata de una zona video-vigilada, en el mismo se deberá indicar: la existencia del tratamiento. la identidad del responsable. posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. La imagen de una persona en la medida que identifique o pueda identificar a la misma constituye un dato de carácter personal, que puede ser objeto de tratamiento para diversas finalidades. El artículo 22 de la Ley Orgánica 3/2018 (5 diciembre)-LOPDGDD- dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 “1. Las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. La AEPD, en un informe relacionado, estipula que no es necesario que los carteles se sitúen justo debajo de las cámaras. Basta con hacerlo en un lugar visible y que incluya los espacios abiertos y cerrados donde el circuito de videocámaras esté operativo. Este distintivo se exhibirá en lugar visible, y como mínimo, en los accesos a las zonas vigiladas ya sean interiores o exteriores. En caso de que el espacio videovigilado disponga de varios accesos deberá disponerse de dicho distintivo de zona videovigilada en cada uno de ellos. III De conformidad con las pruebas de las que se dispone en el presente procedimiento sancionador, se considera que la parte reclamada carece de distintivo informativo en zona visible indicando que se trata de una zona video-vigilada. El artículo 77 párrafo 5º de Ley 39/2015 (1 octubre) dispone: “5. Los documentos formalizados por los funcionarios a los que se reconoce la condición de autoridad y en los que, observándose los requisitos legales correspondientes se recojan los hechos constatados por aquéllos harán prueba de éstos salvo que se acredite lo contrario”. Los hechos son constitutivos de una infracción, imputable a la parte reclamada por infracción del art. 13 RGPD. IV El art. 83.5 RGPD dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- b)los derechos de los interesados a tenor de los artículos 12 a 22; A la hora de motivar la sanción se tiene en cuenta lo siguiente: -la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (art. 83.2
- a)RGPD). La cámara está instalada en el interior de un establecimiento de acceso de clientes (
- as)de tal forma que permite ejercer un control sobre mismos que son monotorizados C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 sin haber recibido explicación alguna sobre la finalidad (
- es)del tratamiento de sus datos personales. - la intencionalidad o negligencia en la infracción (art. 83.2
- b)RGPD), al no haber adoptado medida alguna para informar de la presencia de las cámaras en el interior del establecimiento a pesar de las diversas recomendaciones recibidas. - la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida (art. 83.2 h), al ser notificados los hechos por la Policía Local desplazada nuevamente al lugar de los hechos. Por todo ello se considera acertado imponer una sanción cifrada en la cuantía de 1500€ (mil quinientos euros), sanción situada en la escala más baja para este tipo de infracciones administrativas, teniendo en cuanta las diversas advertencias al respecto sobre la “irregularidad” de la conducta descrita. De acuerdo con lo establecido en el artículo 58.2.
- d)del RGPD, cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a ***EMPRESA.1, con NIF ***NIF.1, por una infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 1500€ (Mil quinientos euros). SEGUNDO: ORDENAR a la reclamada para que en el plazo de UN MES proceda a la regularización del sistema de conformidad con el art. 58.2
- d)RGPD, aportando prueba fehaciente que acredite lo siguiente: -Disponer de distintivo informativo colocado en zona visible, con indicación responsable tratamiento. -Disponer de formulario (
- s)a disposición de los clientes (
- as)que pudieran requerirlo en caso de ejercitar los derechos 15-22 RGPD. TERCERO: NOTIFICAR la presente resolución a ***EMPRESA.1 e INFORMAR del resultado de las actuaciones a D.G. DE LA POLICÍA MUNICIPAL. CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-131120 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es