← España

PS-00337-2020

1/7  Procedimiento Nº: PS/00337/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: COMITE DE EMPRESA DE CCOO DE IBERHOSTELERIA (*en adelante, el reclamante) con fecha 1 de junio de 2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra la entidad IBERHOSTELERÍA Y OCIO S.L. con NIF B33526062 (en adelante, el reclamado). Los motivos en que basa la reclamación son de manera sucinta los siguientes: “Que en marzo de 2019 se instalan a modo de prueba en el colegio de San Gregorio (Oviedo) unas cuatro cámaras de video-vigilancia. Estas cámaras se instalan sin previo aviso a los trabajadores o sus representantes y menos aún a los usuarios del Centro” “En la presente fecha hay instalada 16 cámaras de video-vigilancia de dicho Centro y 10 en el Colegio América sin que a los trabajadores se nos haya notificado dicha instalación, ni se nos haya facilitado información alguna”. “Queremos manifestar que algunas de las cámaras se encuentran en lugares que No son estrictamente de prestación de servicios, ni se encuentran relacionadas con los servicios prestados, no respondiendo a criterios objetivos su instalación” “Estas imágenes además son visionadas en una pantalla ubicada en la entrada del recinto a la que tiene acceso todo el personal de la empresa, así como colegiales o visitas externas”. Junto a la reclamación aporta fotografía de impresión de pantalla del monito de video-vigilancia que muestra lo que se capta con el sistema en cuestión. SEGUNDO: En fecha 23/09/20 se decide admitir a trámite la reclamación, al haber superado con creces el plazo de contestación otorgado por esta Agencia. TERCERO: En fecha 03/11/20 se recibe contestación de la entidad denunciada manifestando lo siguiente en relación a los “hechos” objeto de traslado: -Responsable de la instalación: Iber-Hostelería y Ocio S.L. -Número de cámaras instaladas: 16 Cámaras. -NO existen cámaras ficticias bajo nuestra responsabilidad. -Plazo de Conservación de las imágenes: 1 Mes. -Control laboral de los trabajadores: Información a través de contrato personalizado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 CUARTO: Con fecha 18 de diciembre de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: En fecha 08/04/21 se emite “Propuesta de Resolución” confirmando la infracción propuesta (infracción 13 RGPD), sin que contestación alguna se haya dado al respecto. SEXTO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS Primero. Los hechos se concretan en la instalación de un sistema de video-vigilancia (16 cámaras) sin que se hay informado en legal forma a los trabajadores de la finalidad de captación de las imágenes. Segundo. Consta identificada como principal responsable IberHostelería y Ocio S.L. Tercero. No se ha aportado copia de los contratos con las cláusulas informativas en dónde se determine el fin (

  1. es)del tratamiento de los datos en su caso. Cuarto. No se ha aportado prueba documental que acredite la instalación de los carteles en zona visible, indicando que se trata de una zona video-vigilada. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II En el presente caso, se procede a examinar la reclamación de fecha 01/06/20 por medio de la cual se traslada como hecho principal el siguiente: “Que en marzo de 2019 se instalan a modo de prueba en el colegio de San Gregorio (Oviedo) unas cuatro cámaras de video-vigilancia. Estas cámaras se instalan sin previo aviso a los trabajadores o sus representantes y menos aún a los usuarios del Centro” (folio nº 1). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 El derecho a la protección de datos, es un derecho fundamental reconocido tanto en la CE (art. 18.4) como en la actual Ley orgánica 3/2018 (5 diciembre) LOPDGDD de protección de datos personales y garantía de los derechos digitales. “El derecho fundamental de las personas físicas a la protección de datos personales, amparado por el artículo 18.4 de la Constitución, se ejercerá con arreglo a lo establecido en el Reglamento (UE) 2016/679 y en esta ley orgánica” (art. 1 LOPDGDD). Antes de adoptar la decisión de instalar cualquier sistema de videocámaras hay que valorar los siguientes aspectos para saber si es realmente necesario.    Debe tratarse de una medida que verdaderamente pueda conseguir el objetivo que nos proponemos. No existe ninguna otra medida más razonable para conseguir ese mismo objetivo. Es una medida proporcional al daño que pretendemos evitar, es decir, que se derivaran muchos más beneficios para el interés general que perjuicios sobre los bienes o la intimidad a proteger. El artículo 22 apartado 4º de la LOPDGG (LO 3/2018) dispone: “El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información. En todo caso, el responsable del tratamiento deberá mantener a disposición de los afectados la información a la que se refiere el citado reglamento”. La captación de imágenes deberá responder exclusivamente a la finalidad de preservar la seguridad de las personas y bienes, así como de las instalaciones, debiendo estar siempre sujeta la instalación de estos elementos de grabación a los criterios de proporcionalidad y necesidad, y sin que en ningún caso se pueda hacer uso de las imágenes para fines diferentes de aquellos para los que fue autorizada su instalación. En ningún caso se admitirá la captación de imágenes para el control directo ni indiscriminado de los trabajadores. En ningún caso se admitirá la instalación de sistemas audiovisuales de control en los lugares de descanso o esparcimiento, tales como vestuarios, aseos, comedores y análogos. El artículo 89 de la LOPDGDD (LO 3/2018, 5 diciembre) dispone lo siguiente: “Los empleadores podrán tratar las imágenes obtenidas a través de sistemas de cámaras o videocámaras para el ejercicio de las funciones de control de los trabajadores o los empleados públicos previstas, respectivamente, en el artículo 20.3 del Estatuto de los Trabajadores y en la legislación de función pública, siempre que estas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 funciones se ejerzan dentro de su marco legal y con los límites inherentes al mismo. Los empleadores habrán de informar con carácter previo, y de forma expresa, clara y concisa, a los trabajadores o los empleados públicos y, en su caso, a sus representantes, acerca de esta medida”. “En el supuesto de que se haya captado la comisión flagrante de un acto ilícito por los trabajadores o los empleados públicos se entenderá cumplido el deber de informar cuando existiese al menos el dispositivo al que se refiere el artículo 22.4 de esta ley orgánica”. El uso de un sistema de videovigilancia para realizar tareas de control laboral, no deja de ser un sistema de control fiscalizador, por lo que se encuentra sujeto a los requisitos del Estatuto de los Trabajadores, en concreto, el art. 64.5 del ET, se encarga de aseverar: “El comité de empresa tendrá derecho a emitir informe, con carácter previo a la ejecución por parte del empresario de las decisiones adoptadas por este, sobre las siguientes cuestiones:
  2. a)La implantación y revisión de sistemas de organización y control del trabajo, estudios de tiempos, establecimiento de sistemas de primas e incentivos y valoración de puestos de trabajo” En suma, la instalación de un sistema de videovigilancia no es algo que pueda hacerse de espaldas a trabajadores y representantes, sino que debe contar con su conocimiento previo. III La obligación de informar a las personas interesadas sobre las circunstancias relativas al tratamiento de sus datos recae sobre el responsable del Tratamiento. El artículo 13 RGPD dispone “Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  3. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  4. a)los datos de contacto del delegado de protección de datos, en su caso;
  5. b)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  6. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  7. c)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  8. a)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado (…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 IV De conformidad con las “evidencias” de las que se dispone en el presente procedimiento sancionador, se considera que el reclamado no ha acreditado la manera en que ha informado a los trabajadores (
  9. as)y a los representantes de los mismos, de la presencia de cámaras en las instalaciones. A este respecto, matizar que la mera alegación aseverativa realizada por la denunciada en los siguientes términos “por supuesto contrato personalizado por cada trabajador”, no permite analizar en profundidad el cumplimiento de la medida de información, ni menos aún concretar cuál es la finalidad informada del tratamiento de datos en su caso. Tampoco, se aporta salvo “error” u “olvido” prueba documenta (vgr. fotografía con fecha y hora) del lugar visible donde están instalados los carteles informativos, indicando que se trata de una zona video-vigilada. Los hechos conocidos son constitutivos de una infracción, imputable al reclamado, por vulneración del contenido del artículo 13 RGPD. V El art. 83.5 RGPD dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  10. b)los derechos de los interesados a tenor de los artículos 12 a 22 (…) VI Sin perjuicio de lo establecido en el artículo 83 del RGPD, el citado Reglamento dispone en su art. 58.2
  11. b)la posibilidad de sancionar con apercibimiento, en relación con lo señalado en el Considerando 148: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” En el presente caso, se tiene en cuenta la ausencia de infracciones previas en la materia que nos ocupa, así como la colaboración inicial con esta Agencia, si bien reC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 cordar que las manifestaciones deben ser lo suficientemente claras para poder constatar la legalidad del sistema. La entidad denunciada deberá acreditar en legal forma la legalidad de las cámaras instaladas (16 en total), así como que las mismas cumplen con la legalidad vigente; inclusive acreditar la tenencia de formulario (
  12. s)informativo a disposición de los usuarios del Centro (vgr. puede confeccionar uno a modo orientativo teniendo en cuenta el colgado en la página web de este organismo www.aepd.es Áreas de actuación. Videovigilancia). Se deberá acreditar la forma en que se informó a los trabajadores (vgr. aportación de uno o varios contratos anonimizados para análisis de la cláusula informativa) y si se informó a los representantes legales de esto (vgr. prueba documental). Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a IBERHOSTELERÍA Y OCIO S.L., con NIF B33526062, por una infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD, una sanción de APERCIBIMIENTO. SEGUNDO: ORDENAR a la entidad denunciada-- IBERHOSTELERÍA Y OCIO S.L.— para que de conformidad con el artículo 58.2
  13. d)RGPD, para que en el plazo de UN MES cumpla: -Aportación de la documentación requerida o en su caso acredita en legal forma la información a los representantes de los trabajadores o a los mismos. -Acredita la presencia de cartel (
  14. es)informativo en zona visible (fotografía fecha y hora). TERCERO: NOTIFICAR la presente resolución a IBERHOSTELERÍA Y OCIO S.L. e INFORMAR del resultado de las actuaciones a la parte denunciante COMITE DE EMPRESA DE CCOO DE IBERHOSTELERIA. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción ContenciosoC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  15. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-131120 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.