1/9 Expediente N.º: EXP202303477 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 11 de agosto de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a C.C.C.. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202303477 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: B.B.B. (*en adelante, la parte reclamante) con fecha 23 de febrero de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra la entidad C.C.C.. con NIF H.H.H. (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que es responsable de un negocio colindante con un local de la parte reclamada y que esta ha dispuesto cámaras en sus instalaciones que, por su ubicación y orientación, son susceptibles de captar imágenes del establecimiento de la parte reclamante y sus accesos, sin contar con autorización para ello. Aporta imágenes de la ubicación de las cámaras y de las zonas afectadas (Anexo I). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada en fecha 15/03/23, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue objeto de contestación en fecha 17/04/23, si bien se le requirió subsanación al no estar debidamente legalizado el sistema en cuestión. TERCERO: En fecha 14/06/23 se recibe nuevo escrito de contestación de la entidad reclamada a requerimiento de esta Agencia manifestando lo siguiente: -El número de cámaras es 15, les adjuntamos las fotografías de las cámaras, así como fotografía del monitor dónde se visualizan. -Aportamos fotografías de los carteles que avisan de la existencia de una zona video-vigilada. -Estamos conectados a la Central de alarmas Alartec. CUARTO: Con fecha 23 de mayo de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Tras las modificaciones efectuadas en la actual LOPDGDD (LO 3/2018, 5 diciembre) por Ley 11/2023, de 8 de mayo, de trasposición de Directivas de la Unión Europea en materia de accesibilidad de determinados productos y servicios, migración de personas altamente cualificadas, tributaria y digitalización de actuaciones notariales y registrales; y por la que se modifica la Ley 12/2011, de 27 de mayo, sobre responsabilidad civil por daños nucleares o producidos por materiales radiactivos, se procede a aplicar al presente procedimiento el plazo procedimental establecido en el artículo 64.2º “in fine”. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 II En el presente caso, se procede a examinar la reclamación de fecha 23/02/23 por medio de la cual se traslada lo siguiente “instalación de cámaras que tratan datos personales de su establecimiento y clientes” sin causa justificada para ello. El art. 5.1
- c)RGPD dispone lo siguiente: Los datos personales serán: “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»). Cabe recordar que los particulares son responsables de velar por que los sistemas instalados se ajusten a la legalidad vigente, acreditando que la misma cumpla con todos los requisitos exigidos por la normativa en vigor. La instalación de este tipo de dispositivos debe contar con el preceptivo cartel informativo, indicando los fines y responsable del tratamiento en su caso de los datos de carácter personal. En todo caso, las cámaras deben estar orientadas hacia el espacio particular, evitando intimidar a vecinos colindantes con este tipo de dispositivos, así como controlar zonas de tránsito de los mismos sin causa justificada. Tampoco con este tipo de dispositivos se puede obtener imágen (
- es)de espacio público, al ser esta competencia exclusiva de las Fuerzas y Cuerpos de Seguridad del Estado, en los términos de la actual LO 4/1997, 4 agosto, por la que se regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad en lugares públicos. Conviene recordar que aun el caso de tratarse de una cámara “simulada” la misma debe estar orientada preferentemente hacia espacio privativo, dado que se considera que este tipo de dispositivos pueden afectar a la intimidad de terceros, que se ven intimidados por la misma en la creencia de ser objeto de grabación permanente. Por parte de los particulares no se puede instalar aparatos de obtención de imágenes de espacio público y/o tránsito de terceros, fuera de los casos permitidos en la normativa. La finalidad de este tipo de dispositivos debe ser la seguridad del inmueble y de sus moradores, evitando la afectación de derechos de terceros que se vean intimidados con los mismos. Las cámaras deben ceñirse a la protección del inmueble de su titularidad de tal manera que no afecten a zona de terceros que se vean intimidados por las mismas., al afectar a su zona de libre tránsito. III De conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 instrucción, se considera que la parte reclamada dispone de un sistema de videovigilancia que pudiera afectar a derechos de terceros. El artículo 72 apartado 1º de la LOPDGDD (LO 3/2018, 5 diciembre) en relación al plazo de prescripción de las infracciones muy graves “prescribirán a los tres años” y en particular las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. Los hechos conocidos podrían ser constitutivos de una infracción, imputable a la parte reclamada, por vulneración del contenido del artículo 5.1
- c)RGPD, anteriormente mencionado. IV Analizados los hechos objeto de traslado se constata que los dispositivos están orientados fuera de los límites de la entidad reclamada, sin que se aprecie la presencia de la información necesaria que indique que se trata de <zona video-vigilada>, siendo este un aspecto sobre el que esta Agencia ha requerido la subsanación de la documentación inicial. El artículo 22 apartado 4º de la LOPDGDD dispone: “El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un D.D.D. en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el D.D.D. un código de conexión o dirección de internet a esta información”. Los hechos anteriormente descritos pueden suponer una afectación al contenido del artículo 13 RGPD, al carecer de cartel (
- es)informativos con una dirección efectiva a la que poder en su caso dirigirse o indicar en su caso el responsable principal del tratamiento de los datos. El artículo 13 RGPD “Información que deberá facilitarse cuando los datos personales se obtengan del interesado” 1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
- a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
- b)los datos de contacto del delegado de protección de datos, en su caso;
- c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento (…). El artículo 72 apartado 1º de la LOPDGDD (LO 3/2018, 5 diciembre) en relación al plazo de prescripción de las infracciones muy graves “prescribirán a los tres años” y en particular las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9
- h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica. V El art. 83.5 RGPD dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)Los principios básicos para el tratamiento incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9 (…)”. A la hora de motivar la sanción se tiene en cuenta que el dispositivo (
- s)se encuentra instalado en una zona que hace presumir una afectación a derechos de terceros de manera desproporcionada, considerándose la conducta como negligente grave en relación a los hechos expuestos, lo que justifica una propuesta de sanción inicial de 1000€ (500€+500€), sanción situada en la escala inferior para este tipo de conductas, al tratarse de dos presuntas infracciones a la normativa en vigor. VI De confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. La parte reclamada deberá aportar impresión de pantalla (fecha y hora) de todas las cámaras instaladas, debidamente señalizadas, las fotografías de los carteles deberán indicar dónde están instalados y que se permita apreciar su contenido mediante fotografía (
- s)nítidas, así como alegar lo que en derecho estimen pertinente. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a la entidad C.C.C.., con NIF H.H.H., por la presunta infracción del artículo (
- s)5.1c) y 13 RGPD, tipificada en el artículo 83.5 letras
- a)y
- b)RGPD. SEGUNDO: NOMBRAR como instructor a F.F.F. y, como secretario/a, a E.E.E., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
- b)de la ley 39/2015, de 1 de oc tubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería 1000€ (500€+500€), sin perjuicio de lo que resulte de la instrucción. QUINTO: NOTIFICAR el presente acuerdo a C.C.C.., con NIF H.H.H., otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de expediente que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
- f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 800 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 800 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 600 euros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente 800€ ò 600€, deberá hacerlo efectivo mediante su ingreso en la cuenta nº A.A.A.) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria G.G.G.., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-290523 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 22 de agosto de 2023, la parte reclamada ha procedido al pago de la sanción en la cuantía de 600 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. CUARTO: En el Acuerdo de inicio transcrito anteriormente se señalaba que, de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de las medidas incluidas en el Acuerdo de inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202303477, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: ORDENAR a C.C.C.. para que en el plazo de un mes notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho del Acuerdo de inicio transcrito en la presente resolución. TERCERO: NOTIFICAR la presente resolución a C.C.C... De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1259-121222 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es