1/9 Expediente N.º: EXP202405380 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Don A.A.A. (*en adelante, la parte reclamante) con fecha 25 de marzo de 2024 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra MALAGASUITE SHOWROOM, S.L. con NIF B93421824 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: “Es un piso turístico (licencia VFT, (...)), que tiene un sofá cama en el salón, por lo que entiendo es un espacio privado destinado a dormir, y una cámara de videovigilancia en pleno salón, que graba perfectamente ese espacio de uso privado. En ningún punto del anuncio se informa de que el apartamento tiene cámaras en el interior. Adicionalmente hay otra cámara en el pasillo” (folio nº 1). Junto con la reclamación aporta impresión de la página donde se anuncia el apartamento turístico, así como fotografía del lugar de emplazamiento del dispositivo de obtención de imágenes (Anexo I). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), consta como <entregado> en la dirección aportada en fecha 03/05/24. No se ha recibido respuesta a este escrito de traslado, ni explicación alguna en derecho se ha producido en relación a los hechos objeto de traslado. TERCERO: Con fecha 25 de junio de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 15 de enero de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/9 por la presunta infracción del Artículo 6 y 13 del RGPD, tipificada en el Artículo 83.5 del RGPD. SEXTO: En fecha 10/02/25 en fase de instrucción se requiere atenta colaboración a la Policía Nacional (Comisaría CNP Málaga-Distrito Centro) para que trasladados al lugar de los hechos realice las indagaciones oportunas sobre la presencia del dispositivo objeto de reclamación, sin que manifestación o actuación alguna se haya realizado. Consultada la base de datos de esta AEPD consta el envío como <entregado> en fecha 13/02/25, estando el acuse de recibo firmado por el Agente correspondiente, según acredita el Servicio Oficial de Correos y Telégrafos. SÉPTIMO: En fecha 12/06/25 se recibe Informe de la Dirección General de la Policía (Comisaría Provincial Málaga) en relación al requerimiento de esta Agencia, trasladando en esencia lo siguiente: “Que el alquiler de la vivienda para fines turísticos está regentado por la empresa MALAGASUITE SHOWROOM S.L., situada en la Avenida del Lido n.º 30 de Torremolinos (Málaga), C.P. 29620, con CIF n.º B93421824, teléfono (…) // (…) y correo electrónico info@malagasuite.com. Que se observan elementos de seguridad en el interior de la vivienda tales como un detector magnético en la puerta de entrada y un teclado de activación de alarma. Que se observan igualmente carteles informativos de MOVISTAR PROSEGUR ALARMAS con la inscripción VIDEO VIGILANCIA, situados en la terraza del inmueble. Que manifiesta que desconoce si en la vivienda hay sistema de seguridad electrónica con MOVISTAR PROSEGUR ALARMAS, en activo no teniendo clave de acceso y no utilizando el teclado de la entrada. Que el día 25 de marzo de 2024 fueron desinstaladas.” HECHOS PROBADOS Primero. Los hechos traen causa de la reclamación de fecha 25/03/24 por medio de la cual se traslada la presencia de dispositivo presuntamente en el interior de una habitación destinada al alquiler ocasional. Segundo. Consta acreditado que las cámaras objeto de reclamación se hallaban instaladas en el establecimiento MALAGASUITE SHOWROOM, S.L. Tercero. No se ha constatado la <operatividad> de las cámaras durante el periodo de estancia del reclamante. Cuarto. No se ha podido acreditar tratamiento de dato personal asociado a la persona del reclamante o que las mismas hayan sido objeto de difusión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/9 Quinto. Consta acreditado que la habitación es regentada por una empresa de gestión de apartamento turístico, siendo los dispositivos desinstalados en fecha 25/03/24. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos” Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Presunta Obligación incumplida En el presente caso, se procedió a examinar la reclamación de fecha 25/03/24 por medio de la cual se traslada la presencia de un dispositivo que pudiera obtener imágenes en la zona de salón del apartamento turístico, que ha sido objeto de alquiler por el mismo. La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. En el artículo 4.2 del RGPD se define el concepto de “tratamiento” de datos personales. “«tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” El artículo 18 apartado 4º CE dispone: “La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”. En el Considerando número 40 RGPD se indica que para que un “tratamiento sea lícito, los datos personales deberán ser tratados sobre alguna de las bases legitimadoras establecidas conforme a Derecho (…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/9 Por tanto, el “tratamiento de datos” efectuados con la cámara (
- s)instalada en el interior del inmueble debe poder justificarse en las denominadas bases legitimadoras, esto es, que se pueda acreditar la licitud del tratamiento en el listado de situaciones o supuestos concretos en los que es posible tratar datos personales. Los hechos anteriormente descritos pueden suponer una afectación al contenido del artículo 6 RGPD (reglamento 2016/679/ UE, 27 de abril). El primer requisito para que un tratamiento de datos personales sea lícito es que cuente con una base legitimadora. Debe poder sustentarse en alguna de las seis bases habilitantes establecidas con carácter tasado en el artículo 6.1 RGPD, cuyo tenor es el siguiente: 1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño (…)”. La finalidad de las cámaras de video-vigilancia con carácter general es la protección de bienes, personas e instalaciones, si bien se deben adoptar ciertas cautelas a la hora de instalarlas dado que su presencia puede colisionar con otros derechos de carácter fundamental en juego. La presencia de cámaras en el interior de la vivienda supone una afectación a un espacio que deja de ser “privativo” del titular, para ser objeto de disfrute de un tercero cuyos derechos han de ser respetados, tanto el derecho a la intimidad como el derecho a la “protección de datos personales”. Por tanto, el ámbito “personal y doméstico” en la captación de imágenes del interior del domicilio privativo (artículo 22.5 LOPDGDD) desaparece al ceder el uso y disfrute temporal de la vivienda privativa a un tercero en virtud de una modalidad contractual, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/9 pasando a convertirse en un ámbito reservado a su más estricta intimidad personal y familiar y amparado igualmente por la normativa de protección de datos, que no permite con carácter general la captación y tratamiento de los mismos. En los últimos años se ha asistido a un cambio en el modelo de ocupación temporal, asistiendo al nacimiento de nuevas figuras como los apartamentos turísticos, pisos turísticos o alquileres compartidos, con diferente regulación normativa y con claros vacíos regulatorios, que en ocasiones dan lugar a conflictos de intereses entre propietarios e inquilinos, afectando a la materia competencial de este organismo, al asistir a situaciones de “tratamiento de datos” de difícil encaje normativo o afectivo del derecho a la protección de datos personales. III Presunta tipificación y calificación de la infracción De conformidad con las <evidencias> de las que se disponía en el presente procedimiento sancionador, se consideró que la parte reclamada podía tener instalado un dispositivo que pudiera afectar a zona reservada a la <intimidad>, tratando de manera no justificada datos personales de terceros. El derecho a la intimidad recordemos consiste en garantizar el libre desarrollo de la vida privada individual de cada uno, sin “que existan intromisiones de terceros”, la presencia de cámaras interiores no solo supone un control excesivo de las entradas/salidas del mismo del morador y/o acompañantes, sino un “tratamiento de datos” que no se justifica por seguridad, al poder instalar puertas de seguridad o los propios inquilinos ser los primeros interesados en avisar a las Fuerzas y Cuerpos de Seguridad en caso de un presunto hurto o conflictos en el interior de los mismos. Consecuentemente, la protección del domicilio no es sino un aspecto de la protección de la intimidad que sirve al libre desarrollo de la personalidad. También, en este sentido, el Tribunal Constitucional afirma en la STC 22/1984, que el derecho a la inviolabilidad del domicilio constituye un auténtico derecho fundamental de la persona, establecido, según hemos dicho, para garantizar el ámbito de privacidad de ésta dentro del espacio que la propia persona elige y que tiene que caracterizarse precisamente por quedar exento o inmune a las invasiones o agresiones exteriores, de otras personas o de la autoridad pública. En este sentido-- Sentencia Contencioso-Administrativo Nº 2923/2020, Tribunal Superior de Justicia de Cataluña, Sala de lo Contencioso, Sección 3, Rec 237/2019 de 02 de Julio de 2020--. "Como se afirmaba en la STC 10/2002, de 17 de enero (FFJJ 5 y 6), citada por el Fiscal y por el recurrente en amparo, y se ha recordado después en la STC 22/2003, de 10 de febrero, la norma constitucional que proclama la inviolabilidad del domicilio y la interdicción de la entrada y registro domiciliarios ( art. 18.2 CE), a pesar de la autonomía que la Constitución española reconoce a ambos derechos, constituye una manifestación de la norma precedente ( art. 18.1 CE) que garantiza el derecho fundamental a la intimidad personal y familiar. De modo que si el derecho proclamado en el art. 18.1 CE tiene por objeto la protección de un ámbito reservado de la vida de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/9 las personas excluido del conocimiento de terceros, sean éstos poderes públicos o particulares, en contra de su voluntad, el derecho a la inviolabilidad domiciliaria protege "un ámbito espacial determinado" dado que en él ejercen las personas su libertad más íntima, libres de toda sujeción a los usos y convenciones sociales, siendo objeto de protección de este derecho tanto el espacio físico en sí mismo considerado, como lo que en él hay de emanación de la persona y de su esfera privada. Por ello, hemos afirmado que la protección constitucional del domicilio es una protección de carácter instrumental, que defiende los ámbitos en que se desarrolla la vida privada de la persona. Entre otras consecuencias, tal carácter instrumental determina que el concepto constitucional de domicilio tiene mayor amplitud que el concepto jurídico privado o jurídico administrativo de domicilio y no admite "concepciones reduccionistas" (por todas SSTC 94/1999, de 31 de mayo, FJ 5, y 10/2002, de 17 de enero, FJ 6 in fine). Por ello, hemos afirmado en el fundamento jurídico 8 de la citada STC 10/2002 que "el rasgo esencial que define el domicilio a los efectos de la protección dispensada por el art. 18.2 CE reside en la aptitud para desarrollar en él vida privada y en su destino específico a tal desarrollo aunque sea eventual. Ello significa, en primer término, que su destino o uso constituye el elemento esencial para la delimitación de los espacios constitucionalmente protegidos, de modo que, en principio, son irrelevantes su ubicación, su configuración física, su carácter mueble o inmueble, la existencia o tipo de título jurídico que habilite su uso, o, finalmente, la intensidad y periodicidad con la que se desarrolle la vida privada en el mismo. En segundo lugar, si bien el efectivo desarrollo de vida privada es el factor determinante de la aptitud concreta para que el espacio en el que se desarrolla se considere domicilio, de aquí no se deriva necesariamente que dicha aptitud no pueda inferirse de algunas de estas notas, o de otras, en la medida en que representen características objetivas conforme a las cuales sea posible delimitar los espacios que, en general, pueden y suelen ser utilizados para desarrollar vida privada". Así como que "el propio carácter instrumental de la protección constitucional del domicilio respecto de la protección de la intimidad personal y familiar exige que, con independencia de la configuración física del espacio, sus signos externos revelen la clara voluntad de su titular de excluir dicho espacio y la actividad en él desarrollada del conocimiento e intromisiones de terceros". De ahí extrajimos la consecuencia, al declarar la inconstitucionalidad de lo dispuesto en el art. 557 de la Ley de enjuiciamiento criminal que "las habitaciones de los hoteles pueden constituir domicilio de sus huéspedes, ya que, en principio, son lugares idóneos, por sus propias características, para que en las mismas se desarrolle la vida privada de aquéllos habida cuenta de que el destino usual de las habitaciones de los hoteles es realizar actividades enmarcables genéricamente en la vida privada" (*la negrita y el subrayado pertenece a este organismo). La instalación de aparatos de video-vigilancia no puede suponer una desvirtuación del propio concepto de vivienda “como refugio de los seres humanos que les proporciona intimidad, espacio para guardar sus pertenencias y desarrollar libremente sus actividades cotidianas” de tal manera que en aras de una pretendida seguridad del mismo, se condicione sin límite alguno el derecho a la intimidad y relacionado con este último, su derecho a la protección de datos, pudiendo afectar a cualquier zona común que así decide establecerse por el gestor de este tipo de viviendas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/9 Los hechos conocidos podrían ser constitutivos de una infracción, imputable a la parte reclamada, tipificada en el artículo 6 RGPD, anteriormente mencionado. IV El principio in dubio pro-reo se configura como un pilar básico del derecho penal moderno y como una garantía inherente a todo Estado democrático y de derecho. Dicho principio hunde sus raíces en el derecho romano y obedece a la idea de que para el Estado es preferible absolver a un culpable que condenar a un inocente. Aplicando el principio “in dubio pro reo” en caso de duda respecto de un hecho concreto y determinado, que obliga en todo caso a resolver dicha duda del modo más favorable al interesado. La presunción de inocencia debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el Tribunal Constitucional en su Sentencia 76/1990, de 26/04, considera que el derecho a la presunción de inocencia comporta: “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio. La presunción de inocencia rige sin excepciones en el Ordenamiento sancionador y ha de ser respetada en la imposición de cualquier sanción, ya sea penal o administrativa (TCo 13/1981), pues el ejercicio del derecho sancionador en cualquiera de sus manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. Conforme a este principio, no puede imponerse sanción alguna en razón de la culpabilidad del imputado si no existe una actividad probatoria de cargo, que en la apreciación de las autoridades u órganos llamados a resolver, destruya esta presunción (TCo Auto 3-12-81). V Examinados los “indicios” aportados, no se ha podido determinar hecho alguno en relación a lo trasladado a este Agencia, que pueda dar lugar a la imposición de sanción administrativa, por un tratamiento no consentido de datos personales o una incorrecta instalación de los dispositivos. Por la parte reclamada, según acredita la fuerza actuante se procedió a la desinstalación de los dispositivos, una vez se atendió a la queja del propio reclamante ante la empresa encargada de la gestión del establecimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/9 Cabe indicar que ante situaciones como las expuestas es aconsejable una pronta denuncia ante las Fuerzas y Cuerpos de Seguridad de la localidad (vgr. Policía Local) para que acrediten in situ la realidad de los hechos. Hoy en día han proliferado nuevos dispositivos en el interior de las habitaciones de alquiler ocasional, relacionados con la eficiencia energética, lo que no siempre implica que se trate de cámaras de video-vigilancia, sino de dispositivos de control de luces, movimiento, etc, con finalidad de ahorro energético. Igualmente, puede darse el caso de que los dispositivos estén instalados, pero no estén operativos, al haberse desconectado, de manera que no realizan tratamiento de dato personal alguno, más allá de la lógica <molestia> de sentirse observado por un dispositivo en un espacio reservado a la privacidad. Se debe informar en todo momento de la presencia de dispositivos en el interior de habitaciones de alquiler, de tal manera que se articulen canales efectivos de información a disposición del cliente (
- es)del mismo; recordando la prohibición de cámaras de control en el interior de apartamentos, al suponer una medida invasiva de la intimidad y, por ende, sancionable. Manifestado lo anterior, en caso de recibir nuevas reclamaciones en relación a los hechos descritos se pueden articular nuevas medidas de investigación, teniéndose en cuenta esta primera reclamación de cara a una nueva propuesta de sanción administrativa. Por tanto, no habiendo podido acreditarse el tratamiento de dato personal alguno en el interior de las habitaciones del establecimiento objeto de reclamación, por lógica prudencia se procede a ordenar el Archivo del actual procedimiento, sin perjuicio de la posibilidad de realizar nuevas pesquisas en caso de nuevas pruebas aportadas al efecto. Por lo tanto, de acuerdo con la legislación aplicable, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ORDENAR el ARCHIVO del actual procedimiento al no quedar acreditada la comisión de infracción administrativa alguna en la materia que nos ocupa. SEGUNDO: NOTIFICAR la presente resolución a MALAGASUITE SHOWROOM, S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/9 la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 938-100325 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es