PS-00336-2018

1/51 824-150719 Procedimiento Nº PS/00336/2018 RESOLUCIÓN: R/00423/2019 En el procedimiento sancionador PS/00336/2018, instruido por la Agencia Española de Protección de Datos a la entidad CECOSA HIPERMERCADOS, S.L., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha de 25/04/2018, la directora de la AEPD acuerda iniciar las presentes actuaciones de investigación en relación con la publicación ese mismo día, en diferentes medios de comunicación, de imágenes procedentes de las grabaciones registradas por el sistema de videovigilancia instalado en un establecimiento comercial de la cadena de supermercados EROSKI correspondientes a hechos acaecidos el 4/05/2011. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se realizan las siguientes: 1) El periódico digital “El Español” informa en (***URL.1) que el supermercado EROSKI en el que tuvieron lugar los hechos investigados cerró meses después de ocurridos estos, traspasándose el establecimiento a otra cadena para, finalmente, ser vendido a otro operador que es el que lo gestiona actualmente. 2) Asimismo, varios medios digitales y de prensa identifican a CASTELLANA SEGURIDAD, S.A.,(CASESA) como la empresa que se encargaba de la seguridad del establecimiento en los momentos de producirse el incidente. Se comprueba, en su página web, con fecha 26/02/2018 que se informa de la inscripción en el Registro Mercantil de Madrid, de la escritura de fusión de CASTELLANA SEGURIDAD, S.A.U. por su socio único OMBUDS COMPAÑÍA DE SEGURIDAD, S.A., (OMBUDS). TERCERO: Con fecha 27/04/2018 se realiza una inspección en las oficinas de la sede de OMBUDS COMPAÑÍA DE SEGURIDAD, S.A., empresa que, tal y como se ha indicado anteriormente y confirma el director del Servicio Jurídico, realizó sobre la sociedad CASESA una operación societaria de fusión por absorción, quedando extinguida la personalidad jurídica de esta última desde finales de 2017 y sucediéndola universalmente OMBUDS en todos sus derechos y obligaciones.

1. a)Durante la inspección, manifiesta que tanto el vigilante que aparece en el video publicado en los medios de comunicación como la persona que desempeñaba el puesto de Inspector/Coordinador de zona, A.A.A. (A.A.A.) y que, con anterioridad a los hechos, había sido Jefe de Seguridad en el referido establecimiento comercial, siguen formando parte de la plantilla de OMBUDS tras la operación de fusión por absorción, y que conocen en detalle el funcionamiento del centro en lo relativo a la seguridad. Se aporta además copia del cuadrante de servicio del mes de mayo de 2011 en el que figura la relación de vigilantes propuestos para cubrir el servicio de vigilancia en el establecimiento comercial indicando que se va a intentar localizar los partes o informes diarios C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/51 de servicio correspondientes a dicho mes y en el que estarían reflejadas las incidencias ocurridas, documento que queda requerido en la inspección realizada. No obstante, refiere que no les consta que los agentes de Policía que se personaron en el establecimiento comercial solicitaran copia de las grabaciones en relación con la incidencia acaecida. Aclara que, según la “información facilitada por el Sr, A.A.A., los posibles accesos al videograbador del establecimiento comercial sólo podían realizarse desde el despacho del Gerente de Eroski, que era la única persona habilitada para realizar tratamientos en modo local”. Además, la sociedad titular del establecimiento comercial tenía suscritos dos contratos, de instalación y mantenimiento de las cámaras bien con la empresa INGECOM o bien con EQUINSA, desconociéndose con certeza cuál de ellas era la contratada y otro de conexión nocturna a central receptora de alarmas (CRA) con SABICO.
2. b)Manifiesta que el servicio de seguridad que prestaba CASESA en el establecimiento comercial era de mera vigilancia, sin acceso a los sistemas de videovigilancia, no contando la empresa con habilitación para la instalación ni el mantenimiento de los dispositivos de seguridad, indicando que ello figura en el contrato de servicio de seguridad, de 14/02/2011 que aporta (doc. 3), añadiendo el pliego jurídico y otro técnico. Indica que CASESA figura habilitada únicamente para las actividades de “vigilancia; protección, de bienes; establecimientos; espectáculos, certámenes o convenciones” y con ámbito de actuación nacional. El contrato de 14/02/2011 “de arrendamiento servicios seguridad vigilancia” se suscribe entre CECOSA SUPERMERCADOS SL y CASESA. Figura que CECOSA HIPERMERCADOS SL, cadena de distribución de productos de alimentación explota una amplia red de establecimientos comerciales, y requiere contratar la prestación de servicios de vigilancia, indicándose que la adjudicación ha sido precedida de unas bases y que CASESA participó en el concurso y ha sido adjudicataria y suscriben ese contrato marco “ de prestación de servicios”. Se destaca del mismo: -CECOSA, dedicada a la distribución de productos de alimentación y otros explota una amplia red de establecimientos comerciales y dispone de almacenes, oficinas, aparcamientos etc. para llevar a cabo la actividad que le es propia. A tal efecto requiere contratar la prestación de servicios de diverso tipo entre los cuales se encuentran los que son propios de los trabajos o servicios de vigilancia, razón por la que ha realizado un concurso para su adjudicación. -El servicio contratado es de “vigilancia” y su duración hasta 31/0172013, entrando en vigor el 1/03/2011. - El servicio se prestará en HIPERMERCADOS DEL GRUPO EROSKI. -Se indica en la estipulación adicional primera que el orden de prevalencia en caso de discrepancia seria el del contrato marco, pliego de condiciones técnicas, ANEXO I con los servicios a prestar por el contratista, normas generales Por tanto, no se concreta centro alguno, siendo un contrato marco. En la estipulación DECIMOQUINTA del contrato de 14/02/2011, relativa a la confidencialidad, donde se regula las obligaciones del contratista derivadas del tratamiento de los datos de carácter personal a los que pudiera tener acceso en el cumplimiento de la prestación. Según consta en el contrato, reforzando el carácter genérico del mismo y sin especificar las necesidades particulares de cada establecimiento objeto del servicio, “en aquellos casos en que el Contratista, directamente o a través de sus empleados, pudiera tener acceso a Datos de Carácter Personal, en general entendidos como los definidos en la LOPD , entre los que se encuentran los relativos a la videovigilancia y el control de acceso físico, se obliga a”, no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/51 comunicarlos ni cederlos y a mantener el carácter confidencial de los mismos, así como a adoptar y respetar las medidas organizativas, técnicas y de seguridad que la Propiedad estime necesarias. Respecto a esas medidas de seguridad, el contrato consigna que “El Contratista y sus empleados tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. La Propiedad establecerá los mecanismos para evitar que el Contratista pueda acceder a recursos con derechos distintos a los autorizados, por ello el Contratista se encargará de que exista una relación actualizada de usuarios y perfiles con acceso autorizado al Sistema de Videovigilancia que capta y almacena las imágenes, que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información”. En la cláusula 15.3 establece que el contratista se compromete a adoptar las medidas de seguridad que el titular estime necesarias de acuerdo con lo establecido en la LOPD para garantizar la confidencialidad y seguridad de los datos, siendo el nivel de seguridad de los datos derivados de la prestación de servicios, el básico, Se indica que el contratista y sus empleados tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. Y que “el contratista se encargara de que exista una relación actualizada de usuarios y perfiles con accesos autorizados al sistema de videovigilancia que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información”. “Exclusivamente la propiedad en coordinación con el contratista o viceversa, podrá conceder, alterar o anular el acceso autorizado sobre los sistemas de videovigilancia.” “Se prevé también que si los soportes y documentos que contengan datos de carácter personal, así como las grabaciones en disco o cinta salieran de los locales donde se lleva a cabo la prestación de servicios, requerirá autorización por parte de la propiedad” y que “El contratista deberá notificar a la propiedad las incidencias que afecten a los datos de carácter temporal. Asimismo, establecerá un registro en el que se haga constar el tipo de incidencia, el momento en que se ha producido, o en su caso detectado…”. Se deduce que cualquier extracción de las grabaciones del sistema de videovigilancia a un soporte, de acuerdo al protocolo de tratamiento de la imagen definido por el propio GRUPO EROSKI para todos sus puntos de venta, debería haber sido realizado o, en su caso, haber estado autorizado o supervisado por el personal definido en el protocolo y haber contado, de acuerdo con el contrato suscrito y el propio protocolo, con las medidas de seguridad apropiadas para garantizar que sólo pudiera realizarse bajo la autorización del Responsable del Fichero.
3. c)Indica que en el lugar donde se produjeron los hechos existe ahora un supermercado CARREFOUR en el que ellos tienen un contrato de vigilancia por medio de personal, sin acceso a los sistemas de videovigilancia. Adjuntan documento 5 CUARTO: En ampliación a la información ya recabada y la pendiente de facilitar por OMBUDS COMPAÑÍA DE SEGURIDAD, S.A. a raíz de la inspección realizada el 27/04/2018, se solicitó el 4/05/2018 la siguiente información en relación con el sistema de videovigilancia que estaba instalado en el establecimiento comercial del GRUPO EROSKI arriba referido: 1. Documentación completa de la oferta presentada por CASESA., en el marco del concurso realizado por el GRUPO EROSKI en diciembre de 2010 para la adjudicación del servicio de vigilancia de negocios del grupo empresarial. En la documentación presentada deberá figurar: -El Plan Operativo relativo al desarrollo del servicio al que se hace referencia en el apartado 9.- PLAN OPERATIVO. - del Pliego de Condiciones Técnicas y que deberá C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/51 incluir, según refiere ese punto, copia del manual de procedimientos en el que se especifique las funciones a realizar para cada puesto de trabajo. -Posibles sugerencias de mejoras propuestas en la prestación del servicio ofertado. Con fecha 16/05/2018 acompañan documentos 4 a 9 donde consta la oferta presentada por CASESA a EROSKI que incluye índice, plan operativo, formación, mejoras, plan de selección y oferta económica con detalle de costes. El Pliego de Condiciones Técnicas exigía, en su apartado 9.- PLAN OPERATIVO, la presentación, por parte de las empresas licitadoras, de un plan operativo relativo al desarrollo del servicio basado en los datos incluidos dentro de los pliegos de cláusulas administrativas y técnicas que debía describir, entre otras cosas, las funciones a realizar para cada puesto de trabajo. En la oferta presentada por CASESA, respecto a las funciones identificadas para el personal adscrito al centro de control, se define el “control mediante el CCTV de todas las zonas de la instalación” y el “seguimiento mediante el CCTV de las personas sospechosas”, sin ofertarse expresamente el acceso y gestión de las grabaciones de seguridad realizadas por el sistema de videovigilancia por parte de CASESA. -Sobre el punto 2.8 de la visita de Inspección indican que “no ha podido localizar los partes de servicios diarios de mayo 2011” 2. Documentación pendiente a la ya facilitada, según la estipulación adicional “PRIMERA.OBJETO”, que completa el contrato de arrendamiento de servicios de seguridad vigilancia suscrito entre CECOSA y CASESA firmado el 14/02/2011, y entre la que deberá estar incluido el documento identificado como “Anexo I con los servicios a prestar por el Contratista”. -Aportan en documento 1, anexo de pliego de prescripciones técnicas, pliego jurídico y normas generales, que completa el punto 2.6 del acta de Inspección apareciendo firmado. 3. Si CASESA firmó antes de su absorción por OMBUDS algún contrato con EROSKI SOCIEDAD COOPERATIVA que se mantiene vigente en la actualidad, facilitar copia firmada y completa del mismo. Señala OMBUDS que CASESA cesó de prestar servicios para EROSKI en 2014 tras verse rechazada su oferta, se acredita en documento 13, debiendo considerar que en supermercado donde suceden los hechos cerró en 2011. 4. Confirmar, de acuerdo con lo indicado en el apartado 1 de la estipulación adicional DECIMO QUINTA del contrato, relativa a los datos de carácter personal, si el contratista, directamente o a través de sus empleados pudo tener acceso a datos de carácter personal, y en concreto a datos relativos a la videovigilancia. Describir en qué consistía dicho acceso y cómo se producía. Reitera que no consta en sus archivos, que CASESA o sus empleados accedieran a datos para la prestación del servicio, incluyendo la videovigilancia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/51 Aporta como documento 3 y 4 sin que hayan sido solicitadas, transcripción de las declaraciones que dice se han prestado ante la Unidad de Seguridad Ciudadana por parte de Sr. A.A.A., y el vigilante que se ve en las imágenes publicadas en los medios. En dichas declaraciones, el vigilante de seguridad manifiesta que, en el día de los hechos, prestando servicio en el centro de control del hipermercado EROSKI del Centro Comercial Madrid Sur, “pudo observar por los monitores como una mujer rubia, vestida de azul, probaba productos en la sección de perfumería, y como portaba un bolso, en el cual introdujo, hasta en dos ocasiones productos de cosmética.” Continua en su declaración de los hechos que, esperando a la mujer en línea de cajas y solicitándole que le acompañase al cuarto de intervenciones al ver que no abonaba los cosméticos introducidos en el bolso, le preguntó que “si portaba algún producto que no hubiera abonado, respondiéndole la mujer que no”. “Tras realizar varias comprobaciones y confirmar que portaba los envases de crema, el vigilante de seguridad avisó al jefe de equipo y que identifica como la otra persona que aparece en el video publicado, para que cuantificara los importes. Habiéndole solicitado a la mujer que abonara los productos”, “en primer momento se negó a pagarlos, alegando que no los había sustraído, ante la negativa al abono, el jefe de equipo decidió llamar a la Policía Nacional”, personándose dos agentes vestidos de paisano en el establecimiento. Transcurridos unos cuarenta y cinco minutos, se resuelve el incidente y abandonando la mujer el Centro Comercial por una salida de emergencia. Completa sus manifestaciones en aclaración al servicio prestado diciendo que él sólo tenía acceso al visionado de las imágenes en tiempo real y no a las imágenes grabadas con anterioridad, aclarando que en el tiempo que estuvo trabajando en el hipermercado, ni las Fuerzas y Cuerpos de Seguridad ni otros solicitantes le pidieron nunca grabaciones de imágenes, desconociendo quién era la persona encargada de facilitarlas en caso de ser requeridas. Por su parte, el trabajador de OMBUDS que prestaba servicios como Inspector de Servicios de zona para CASESA en el momento de los hechos, Sr. A.A.A., manifiesta en su declaración que la persona autorizada para tratar las imágenes grabadas por el sistema de videovigilancia “era el Director del Centro y Gerente (….) que tenía en su despacho el ordenador con el programa para extraer las imágenes”, aclarando que “en caso de urgencia, también podían extraer las imágenes personal del centro, como la Jefa de personal (…) y el encargado de Bazar (…).” Respecto al protocolo seguido para recuperar las imágenes y aportarlas a la Policía para efectuar la correspondiente denuncia, refiere que “esta lo solicitaba a través de los vigilantes de seguridad, del inspector de servicios, del director del supermercado o en su defecto de la persona que quedase al cargo. El despacho en el que se encontraba el ordenador para extraer las imágenes se encontraba permanentemente cerrado con llave, teniendo acceso al mismo el director del centro y la responsable de recursos humanos. Una vez obtenidas las imágenes, que se grababan en un CD, eran entregadas por quien las había obtenido al servicio de seguridad para que estos le dieran el trámite oportuno”. Asimismo, aclara que “no tiene conocimiento de que las imágenes del suceso publicado en los medios de comunicación fuesen solicitadas al servicio de seguridad y que nadie de dicho servicio pudo recuperar dichas imágenes” “ya que para acceder al despacho del ordenador desde donde se gestiona el software había que disponer de la llave del mismo, teniendo acceso sólo a ella, el director del centro y la jefa de recursos humanos.” 5. Aclarar el punto 3 de la estipulación adicional DECIMO QUINTA del contrato, relativa a los “datos de carácter personal” donde se indica que “el Contratista se encargará de que exista una relación actualizada de usuarios y perfiles con accesos autorizados al Sistema de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/51 Videovigilancia que capta y almacena las imágenes”. Descripción detallada de los perfiles facilitados a la Propiedad, especificando sus funciones, capacidades y alcance, así como la relación de usuarios asignados a los perfiles definidos. Reitera que no existía acceso por parte de los vigilantes de CASESA y que la cláusula en su elaboración responde a un modelo genérico, que “el acceso solo se daba por personal del propio EROSKI”, y “los vigilantes se limitaban al visionado en tiempo real”. 6. Confirmar si, durante el período de 30 días posteriores al 4/05/2011, CASESA directamente o a través de sus empleados que prestaban servicio en el establecimiento comercial EROSKI VALLECAS, pudo tener acceso a las grabaciones publicadas objeto de esta investigación y facilitar copia de estas a petición de un tercero. En caso afirmativo, identificar a las partes implicadas en la comunicación de las grabaciones. Reitera que sus empleados no tenían acceso. 7. Facilitar un croquis o plano de situación aproximado de las instalaciones del establecimiento EROSKI VALLECAS donde se identifique claramente donde se encontraba el cuarto de intervención de seguridad donde tuvieron lugar los hechos cuyas imágenes han sido publicadas, así como las dependencias donde se situaban los monitores de videovigilancia y el sistema de grabación de las imágenes registradas por las cámaras, especificando a cuáles de esos espacios tenía acceso autorizado el personal de CASESA. Acompañan el citado croquis en documento 14. 8. Aportar copia del documento identificado como ANEXO III: PROTOCOLO DE ACTUACIÓN que forma parte del contrato de servicios de vigilancia suscrito entre el GRUPO CARREFOUR y CASESA con fecha 8/03/2016. Manifiesta que no consta dicho protocolo como anexo III al contrato ni su mención, pero si figuran procedimientos de actuación dentro del plan operativo y aporta un documento 5 con el logo GRUPO EROSKI, plan operativo. En correo electrónico de 17/05/2018, registro de entrada 21, añaden el protocolo actuación anexo III contrato OMBUDS-CARREFOUR 2016. QUINTO: A OMDUDS también se le requirió el 30/05/2018: -Copia del documento identificado como “Manual de Órdenes de Puesto” en la oferta presentada por CASESA, en el marco del concurso realizado por el GRUPO EROSKI en Diciembre de 2010 para la adjudicación del servicio de vigilancia de negocios del grupo empresarial, así como de todos aquellos manuales de procedimientos de actuación en materia de videovigilancia y protección de datos, entre ellos “Procedimiento para el centro de control de seguridad”, “Procedimiento para la protección de la información” y “Procedimiento de control de acceso de personas a las instalaciones”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/51 OMBUDS COMPAÑÍA DE SEGURIDAD, S.A. manifiesta el 20/06/2018 que no ha sido posible localizar en los archivos la documentación requerida ni el personal de CASESA incorporado a OMBUDS ha podido dar razón de la misma. Sí que se aporta copia del “Manual Operativo del Servicio de Seguridad de CECOSA HIPERMERCADOS,S.L. EROSKI HIPER y EROSKI C.P” para los servicios de seguridad que actualmente OMBUDS COMPAÑÍA DE SEGURIDAD, S.A. presta en distintos establecimientos comerciales del GRUPO EROSKI y en el que se recogen los cometidos, las órdenes y los procedimientos operativos que deben seguir los vigilantes de seguridad en el servicio prestado; es decir, qué deben hacer y cómo deben hacerlo. Profundizando en el perfil y las características del Puesto de Vigilancia, de los siete cometidos recogidos relativos a “Control de Accesos”, “Realización de Rondas”, “Actuación ante emergencias y alarmas”, “Actuación ante una amenaza telefónica de bomba”, “Actuación ante alborotos”, “Actuación ante la detección de un posible paquete o coche bomba” y “Colaboración con otros servicios de seguridad”, los cuales vienen definidos con extremo nivel de detalle, en el Cometido nº 3 relativo a la “Actuación ante Emergencias y Alarmas”, en el Procedimiento Operativo nº 2 en relación con la actuación “ANTE ROBO, HURTO o ROTURAS” se recoge textualmente que “A fin de evitar situaciones posteriores complicadas (como denuncias del cliente, etc.) el vigilante debe intervenir tras llegar a estar completamente seguro. Para ello, estará en contacto con el ‘Centro del C.C.T.V.’ averiguando si ha quedado constancia de los hechos en la grabación del Circuito Cerrado de Televisión” y que “el vigilante, en su intervención ante un robo o hurto debe tener en cuenta lo siguiente: (…) Informará al cliente de que, ante la evidencias disponibles, debe abonar los productos o, en su defecto, devolverlos.” lo que parece poner de manifiesto la posibilidad de acceder, por parte del personal de la empresa de seguridad, a las grabaciones de eventos registrados desde la sala de CCTV a los efectos de comprobar la posible sustracción de productos. No obstante, dicho manual identifica el perfil de “Responsable de Seguridad”, como personal encargado de la dirección, supervisión y prestación de la seguridad en CECOSA HIPERMERCADOS, S.L., EROSKI HIPER y EROSKI C.P. en la figura del Gerente, haciendo repetidas referencias a las consultas, instrucciones e indicaciones dadas por el Responsable de Seguridad del establecimiento comercial en el marco de los distintos procedimientos operativos definidos en el Manual Operativo del Servicio de Seguridad que debían ser seguidas por los vigilantes que prestan el servicio, en clara sintonía con lo estipulado tanto en el contrato de prestación de servicios como en el protocolo de tratamiento de la imagen y el extracto del manual de seguridad ya referenciados en lo que respecta a la revisión de las medidas de seguridad así como a la supervisión y autorización de los accesos a los sistemas de videovigilancia y la salida de soportes por parte de la Propiedad. - Indicar si OMBUDS COMPAÑÍA DE SEGURIDAD, S.A. mantiene en la actualidad algún contrato para la prestación de servicios de seguridad con CECOSA HIPERMERCADOS, S.L., facilitando, en caso afirmativo, copia firmada y completa del mismo. Manifiesta que tienen vigente contrato con CECOSA HIPERMERCADOS S.L. para la prestación de servicios de seguridad. Aporta copia del contrato de 26/04/2014. Figura la cláusula DECIMOQUINTA, relativa a la confidencialidad, que es copia exacta de la cláusula arriba analizada que regulaba este aspecto del servicio en el contrato suscrito entre CECOSA HIPERMERCADOS, S.L. y CASESA en febrero de 2011, con la única salvedad de que en lugar de “a la Propiedad” hace referencia “al Cliente” y el contrato actualmente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/51 vigente amplía su alcance a más empresas del grupo empresarial y entre las que se encuentra CECOSA HIPERMERCADOS, S.L., en lugar de circunscribirse a esta última. Por su parte, el Pliego de Condiciones Técnicas exigía, en su apartado 9 .- PLAN OPERATIVO, la presentación, por parte de las empresas licitadoras, de un plan operativo relativo al desarrollo del servicio y basado en los datos incluidos dentro de los pliegos de cláusulas administrativas y técnicas que debía describir, entre otras cosas, las funciones a realizar para cada puesto de trabajo. En la oferta presentada por CASESA, respecto a las funciones identificadas para el personal adscrito al centro de control, se define el “control mediante el CCTV de todas las zonas de la instalación” y el “seguimiento mediante el CCTV de las personas sospechosas”, sin ofertarse expresamente el acceso y gestión de las grabaciones de seguridad realizadas por el sistema de videovigilancia. SEXTO: EROSKI SOCIEDAD COOPERATIVA, (EROSKI SC) empresa matriz del grupo que da nombre a la marca comercial del hipermercado en el que tuvieron lugar los hechos el 4/05/2011, en Avenida Pablo Neruda 91–97, Madrid, conocido como EROSKI VALLECAS remite escritos de 14, 15 y 17/05/2018 en respuesta a la petición de 26/04/2018 sobre la cuestión relacionada con la reproducción de una grabación de un sistema de videovigilancia publicada en diferentes medios. Se le solicitó:
4. a)Identificación del responsable del sistema de videovigilancia Manifiesta que la sociedad titular del establecimiento comercial cuando tuvieron lugar los hechos era CECOSA HIPERMERCADOS, S.L., (CECOSA) que pertenece al grupo empresarial. Manifiestan que las respuestas proporcionadas, lo han sido, como empresa corporativa y por economía y eficacia procesal, remitiendo a la empresa titular del hipermercado para que facilite toda aquella información que afecte a datos personales.
5. b)Identificación de la empresa encargada de la seguridad del mencionado establecimiento comercial en el momento en que tuvo lugar la captación de las imágenes, 4/05/2011 facilitando copia del contrato de prestación de servicios suscrito, así como la identificación de todos los vigilantes de seguridad, junto con su credencial, que prestaban servicio en el marco de dicho contrato en el momento de los hechos. Responde que era CASESA la encargada de prestar los servicios, con acceso a las grabaciones dentro del centro, aportando copia del contrato “marco” de 14/02/2011 suscrito con CECOSA (ANEXO 2). En cuanto a los vigilantes de seguridad, EROSKI manifiesta que “no podemos aportar datos de los vigilantes de seguridad, ni credencial alguna”.
6. c)Información sobre la identidad de la empresa que realizó la instalación del sistema de videovigilancia que estaba operativo en el momento de realizarse las grabaciones objeto de investigación. En caso de haberse contratado un servicio de mantenimiento del sistema, describir el alcance de este aportando copia del correspondiente contrato. La empresa encargada de la instalación del sistema de videovigilancia se denomina EKINTZA, ya extinguida sin constar, según manifiestan, copia del contrato. Se incorpora diligencia del Boletín Oficial del Registro Mercantil de 17/06/2014 con la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/51 anotación d extinción. Aportan “extracto ANEXO 3 VHP Vallecas-Datos policía contratos” consistente en un listado de EKINTZA en el que figuran, según manifiesta los números de contratos de instalación y mantenimiento de sistemas con EKINTZA entregados a la policía números 149/10 y 153/10. Añaden que no consta ni factura ni presupuesto de 2011. Una empresa denominada SABICO era la encargada de la Central Receptora de Alarmas (CRA) con capacidad de acceso remoto a las grabaciones del sistema y para la que, en el momento de dar respuesta a los requerimientos realizados por esta Agencia con fechas 26/04 y 22/05 tampoco aportan copia del contrato suscrito.
7. d)Causas que motivaron la instalación de las citadas cámaras, Responde que garantizar la seguridad de bienes y personas, así como servir de mecanismo de control para el cumplimiento de las obligaciones laborales.
8. e)Descripción de las características técnicas del sistema que estaba instalado, número de cámaras, croquis, tipo de cámara ubicada en el cuarto de seguridad cuyas grabaciones han sido publicadas y otras cuestiones relacionadas Indica que como el centro no era de su titularidad pues se vendió a finales de 2011, “ ni la empresa proveedora existe según se ha averiguado, no podemos contestar a esta cuestión”.
9. f)Detalle de las medidas de seguridad implantadas en el establecimiento EROSKI VALLECAS en el momento en que tuvieron lugar los hechos investigados en lo que se refiere a: Protocolo específico en materia de videovigilancia y/o seguridad, aportando copia de este. Aportan ANEXO 4 “tratamiento imágenes de videovigilancia, Grupo Eroski “ de marzo 2009 que determina las bases para el tratamiento de imágenes a través de videocámaras. Se indica: -EROSKI SC es la sociedad matriz del GRUPO y en cumplimiento de las obligaciones asumidas como tal, presta servicios generales, gestión de recursos humanos, comerciales, jurídicos, de administración e informáticos a las SOCIEDADES del Grupo. EROSKI SC “accederá a determinada información, necesaria para el cumplimiento de las obligaciones asumidas y en consecuencia, se convierte en encargada del tratamiento para toda ellas.” Se contiene un cuadro de “fichero videovigilancia” dividido en “seguridad privada” y “control laboral” figurando los responsables y los encargados. Como encargados en todos los casos de videovigilancia, figura “empresas de seguridad”. Consta también una entidad denominada “CECOSA SUPERMERCADOS SL”, de forma diferenciada de “CECOSA HIPERMERCADOS SL” como responsables en seguridad privada. Se indica también que “Para el entono de seguridad privada, EQUIPAFASA será encargadas del tratamiento de CECOSA HIPERMERCADOS, por ser ésta última la Sociedad responsable de ese tratamiento, como norma general, en los hipermercados y algo similar sucede con CENCO, SUPERA, UDAMA Y DAGESA, ya que CECOSA C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/51 SUPERMERCADOS es la responsable del fichero de videovigilancia para el entorno de Supermercados”. ”Todas estas sociedades disponen de un acuerdo que regula el acceso a los datos de carácter personal”. Indica que: “Cuando se capten y/o registren imágenes y la empresa de seguridad contratada utilice las videocámaras y/o acceda a las imágenes por medio de su personal, la empresa de seguridad se convertirá en encargada del tratamiento según la LOPD y así deberá constar en el contrato que será obligatorio suscribir con el proveedor.” También se anota que “Todo responsable de fichero que trata imagen bien por seguridad bien para el control de obligaciones laborales, tiene debidamente inscrito en el Registro General los ficheros” En el punto 22.2 “REQUISITOS PARA EL TRATAMIENTO FINALIDAD SEGURIDAD PRIVADA” se indica en el punto 2.2.2.1 punto 5: “Cuando se capten y/o registren imágenes con fines de seguridad privada y la empresa de seguridad contratada utilice las videocámaras y/o acceda a las imágenes por medio de su personal, la empresa de seguridad se convertirá en encargada del tratamiento según la LOPD y así deberá constar en el contrato que será obligatorio suscribir con el proveedor”. Punto 6. Las imágenes se conservarán como máximo un mes, salvo si surgiera una incidencia que obligara a su conservación por un periodo superior. Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados. No obstante, podrán conservarse durante el tiempo en que pueda exigirse algún tipo de responsabilidad derivada de una relación u obligación jurídica. 7. Estos ficheros o tratamiento de datos adoptan las medidas de seguridad calificadas de nivel básico. Las medidas tienen la condición de mínimos exigibles, sin perjuicio de las disposiciones legales o reglamentarias específicas vigentes que pudieran resultar de aplicación en cada caso o las que por propia iniciativa se pudieran adoptar. a. Las funciones y obligaciones de cada uno de los usuarios o perfiles de usuarios con acceso a las imágenes están definidas y conocen las normas de seguridad que afectan al desarrollo de sus funciones así como las consecuencias en que pudiera incurrir en caso de incumplimiento. b. La notificación y gestión de las incidencias que ponga en peligro la integridad, disponibilidad y confidencialidad de las imágenes quedará debidamente documentada y registrada. c. Existe una relación tasada y limitada de usuarios/ personal con acceso autorizado a ese conjunto de datos con su correspondiente identificación y autenticación. Según la actuación podría ser necesario que accediera uno, varios o todos los usuarios implicados: i. Usuarios del Área de Garantía Patrimonial Corporativa. ii. Responsables de seguridad física. iii.Responsable jurídico LOPD. iv. Gerentes y/o Jefes de Tienda v. Responsable del Área Jurídico Laboral. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/51 d. Se realizarán copia de respaldo, como mínimo, semanal, salvo que en dicho período no se hubiera producido ninguna actualización de los datos o el plazo de almacenamiento de las imágenes sea inferior debido al sistema de almacenamiento. e. Las redes de comunicaciones a través de las que se pude llegara a acceder a las imágenes, garantizan un nivel de seguridad equivalente al correspondiente a los accesos en modo local. Los soportes, que así lo permitan y que pudieran llegar a contener las imágenes (DVD, disco duro o USBs) identificarán el tipo de información que contienen y serán inventariados. Sólo serán accesibles por el personal autorizado. g. El responsable de fichero autoriza, exclusivamente, al personal / usuarios descritos en este apartado la salida de esos soportes y obliga, en su traslada, a adoptar medidas dirigidas a evitar la sustracción, pérdida o acceso indebido a la información. h. Cuando ese soporte deje de ser necesario y vaya a desecharse, deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior. 2.2.3 FASE