PS-00341-2018

1/9 938-0419 Procedimiento Nº: PS/00341/2018 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fechas 17/05/2018 se reciben DOS RECLAMACIONES de dos miembros de la Ertzaintza cuyos datos figuran en el ANEXO GENERAL por presunta infracción de la normativa de protección de datos frente al GIMNASIO METROPOLITAN de c/ Masustegui 25 en Bilbao, por tener una cámara de videovigilancia en la fachada de su establecimiento que capta no solo la puerta de acceso, sino de forma desproporcionada la vía pública, y las imágenes así obtenidas han sido cedidas a la unidad de asuntos internos que a su vez lo cede al instructor de un expediente disciplinario. Añaden que, con motivo de una queja de un ciudadano, la unidad de asuntos internos observó que existía dicha cámara y sin “orden judicial” ni “hecho delictivo envió un escrito solicitando la imagen” a la directora del Gimnasio. Adjuntan: - copia del escrito de petición de las imágenes por el Servicio de Asuntos Internos de la Ertzaintza de 11/11/2016 en el que indica que es un servicio policial entre cuyas funciones se encuentra la de dirigir, coordinar y desarrollar investigaciones respecto la conducta profesional de las personas funcionarias de la Ertzaintza para potenciar aquellas susceptibles de reconocimiento y prevenir las contrarias a la ley o ética profesional. Se precisa la fecha y hora de las imágenes que se solicita por una posible actuación por parte de tres agentes que al parecer pudo ser recogida por las cámaras existentes en ese gimnasio, de c/ Masustegui 25 en Bilbao. -copia de entrega de las imágenes firmada por parte de representante del gimnasio a 15/11/2016. Se indica que el contenido entregado por la directora del gimnasio es un pendrive con dos archivos de video separados. -copia de una fotografía de una cámara de videovigilancia, situada en fachada exterior enfocando todo el lateral de la acera. Indica que sus datos se hallan en una imagen del video, aportando una foto en anexo III que se produce en la vía pública sobre las 17:50 horas del 28/10/2016. La imagen permite visualizar la totalidad de la anchura de la acera no solo en la puerta del gimnasio sino el lateral más de 20 metros cogiendo la totalidad de la acera de más de tres metros de anchura, y la totalidad de los dos sentidos de circulación. Sobre la acera aparecen cuatro personas, indicando los denunciantes que dos son ellos, permanecen con otras personas sobre la acera. SEGUNDO: Las reclamaciones de reclamantes 1 y 2 (R1 y R2 en lo sucesivo) fueron trasladadas, la R2 se envió copia de la denuncia íntegra el 5/07/2018 para que la reclamada conociera todos sus elementos. En el envío se contiene el literal: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es “Se ha recibido en esta Agencia una comunicación en la que se pone de manifiesto la existencia de una instalación de videovigilancia de su titularidad, que presenta algunas deficiencias en el cumplimiento de los requisitos previstos en la normativa de protección de datos, los cuales pueden ser consultados en el sitio web www.aepd.es, a través del apartado Áreas de actuación (videovigilancia). Para que por la Agencia puedan valorarse las acciones llevadas a cabo por usted para la adecuación del sistema a los citados requisitos, le requiero que, en el plazo máximo de un mes desde la recepción de la presente notificación, remita a esta Agencia documentación detallada que pueda acreditar que la citada instalación es conforme a la normativa de protección de datos y que, en particular, está debidamente señalizada y se ha limitado la captación de imágenes de terrenos y viviendas colindantes o de cualquier otro espacio ajeno, aportando para ello documentos gráficos recientes debidamente fechados. “ TERCERO: A R 1, la AEPD le comunica en escrito de 20/06/2018 la recepción de su reclamación y que ha requerido al “reclamado para que en el plazo de un mes informe a la Agencia de las acciones llevadas a cabo para la adecuación de la instalación de videovigilancia afectada a los requisitos previstos en la normativa de protección de datos.” La misma información se proporciona a R2. CUARTO: La reclamada respecto del traslado de la reclamación de R 1, indica el 4/07/2018, que al no identificarse la sede sobre la que trata la reclamación, se debe proporcionar dicha información, pues tienen 22 y se gestionan de forma independiente. Con fecha 20/07/2018, la reclamada indica que recibieron petición de información sobre R1 sobre sistema de videovigilancia el 22/06/2018, pero que no han identificado la sede del gimnasio y habiendo enviado a la sede electrónica aclaración de a qué sede se refiere la petición sin haberse contestado, envía los de la sede de Bilbao porque “hoy así se nos ha informado”. Envía fotografías de la sede de Bilbao Begoña, apreciándose: - CAM 1-1 “fachada club” situada en la fachada y que colocada junto a un cartel aparece enfocando sobre la vía pública, acera, correspondiéndose con la que ha sido objeto de denuncia. No aporta las imágenes que resultan de dicha cámara, si bien. También aporta imágenes del gimnasio de otra dirección denominado ISOZAKI que cuenta con 16 cámaras, destacando CAMARAS (recepción) 7 entrada parking, y 13 salida garaje en las que se visiona de forma excesiva la vía pública, pudiéndose ver en la primera cualquier persona que atraviese el espacio de entrada al estar las puertas abiertas, y en la 10 igual, con la anchura de la acera total. Aunque aporta croquis con las cámaras, en ninguna de ellas figura el número asignado QUINTO: La reclamada, con fecha 27/07/2018, respecto a R2 indica que la directora del gimnasio entregó el pendrive con copia de una grabación cuya petición se recibió por escrito, “pues se intenta colaborar con las fuerzas y cuerpos de seguridad en aras a lo que se pretende en su función pública, protección de bienes y personas y seguridad”. Añade que “la entrega de las grabaciones para discernir la responsabilidad de unos agentes en unos actos denunciados por un ciudadano es motivo suficiente para acatar dicha solicitud”. Además, “según el nuevo RGPD están obligados a facilitar dichas imágenes a las Fuerzas y Cuerpos de Seguridad del Estado sin necesidad de autorización del afectado.” 3/9 Indica que la grabación procede de una cámara instalada en el exterior del Club, en la fachada de un hotel-antes HOLIDAY INN, actualmente Barceló- que graba los accesos al Club, pero no “gran parte de la vía pública “como se manifiesta. Detallan que en la grabación que se aporta en la reclamación, se puede ver una inclinación superior a la actual que ya ha sido corregida y reconocen que si recogía imágenes de la acera, pero que respondía en aquellos momentos a una solicitud de dirección de la anterior cadena hotelera HOLIDAY INN por motivos de graves desperfectos que se producían con cierta asiduidad en la fachada o con motivo de huelgas de su personal, “situación que no se ha terminado hasta el mes de junio 2018 cuando se ha llegado a un acuerdo con todas las partes”. En la actualidad la cámara ha sido posicionada de modo que se ajusta a la entrada del Club. Adjunta documento 1 y 2, en el 1 se visualiza la cámara en la fachada con un ángulo de orientación más cerrado, y en la 2, la imagen, que, por el lugar en el que está instalada enfoca hacia la puerta, siendo distinta la superficie de espacio de las imágenes que aportaron los denunciantes que recogía más espacio de la vía publica la totalidad la parte más adelante de la acera. Acompaña fotos de la cámara de la fachada METROPOLITAN Begoña CAM I-1 entrada club calle. Aportan documentos 3 a 6 que consisten en fotografías en las que, según la reclamada, por los incidentes producidos, motivaron que se ampliara el ángulo de grabación de las cámaras con carácter disuasorio, viéndose en las imágenes piedras en el suelo. Remiten los enlaces que conducen a informaciones de prensa sobre los hechos que motivaron el posicionamiento de la cámara de seguridad de la fachada en aquella época, tratándose de links de noticias de los años 2013 a marzo 2017, el ultimo. SEXTO: En relación con R2, se envió el 29/08/2018 a la reclamada escrito sobre solicitud de información adicional indicando: “En relación al escrito remitido en respuesta a la solicitud de información realizada por esta Agencia, se le informa que hay determinados aspectos que es necesario aclarar. Por este motivo, en el plazo de diez días hábiles desde la notificación de la presente solicitud, deberá complementar la documentación inicialmente remitida aportando la siguiente información: - Fotografías de las imágenes registradas por cada una de las doce cámaras interiores instaladas en el gimnasio Metropolitan Begoña tal y como se muestran en el sistema de monitorización. La denunciada responde el 13/09/2018, 9: 42, (3683-2018) sobre R2 aportando varias fotografías. En otro escrito de 13/09/2018, 9:48, figura una foto de una imagen del exterior en la que figura 2018/09/05 que es obtenida con la cámara 1exterior adosada a la fachada objeto de la denuncia, pudiéndose ver en exceso la vía pública, alcanzando toda la acera hasta la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es mitad de la zona de aparcamiento de uso de motos. Dicha imagen es la misma que la del escrito de 27/07/2018. SÉPTIMO: Con fecha 5/11/2018 se comunica a R 1 la admisión a trámite de la reclamación. OCTAVO: Con fecha 23/01/2019, se acordó por la directora de la AEPD el inicio de un procedimiento sancionador a METROPOLITAN SPAIN SL por la infracción del artículo 5.1.

1. c)del RGPD, tipificada en el artículo 83.5 del RGPD. A los efectos previstos en el art. 64.2
2. b)de la LPACAP, en el acuerdo de inicio, la sanción propuesta fue la de apercibimiento, prevista en el RGPD, artículo 58.2.b), añadiendo también:
3. a)REQUERIR al reclamado el cumplimiento inmediato de las siguientes medidas: - Reenfoque de la cámara 1 (gimnasio de Bilbao Begoña) exterior de manera de la fachada que capte el menor espacio necesario para la finalidad de vigilancia. - Reenfoque o cambio de posición de las cámaras 7 y 13 (gimnasio de Bilbao ISOZAKI).
4. b)la incorporación al expediente sancionador, a efectos probatorios, de la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados por la Subdirección General de Inspección de Datos durante la fase de investigaciones, todos ellos parte del expediente. NOVENO: Con fecha 8/02/2019 la denunciada manifiesta:
5. a)En sede Bilbao Begoña, han solucionado la cuestión satisfactoriamente, aportando copia de la imagen que ahora se visiona, en la que no se ve la vía pública.
6. b)En la sede de ISOZAKI, han reajustado las cámaras que enfocaban desde el parking hacia afuera, aportan foto de reducción de enfoque exclusivamente al interior de la cámara 7 y copia de la imagen que ahora se visiona de la cámara 13 en la que no se ve vía pública. DÉCIMO: Con fecha 13/05/2018 se emite propuesta de resolución, del tenor: “Que por la directora de la Agencia Española de Protección de Datos se declare que METROPOLITAN SPAIN, SL, con NIF B62936737, ha infringido el artículo 5.1.
7. c)del RGPD, tipificada en el Artículo 83.5 del RGPD, imponiendo una sanción de apercibimiento, de acuerdo con el artículo 58.2. b del RGPD.” Frente a la misma no se recibieron alegaciones DÉCIMO PRIMER: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes hechos probados: 1) La reclamada gestiona varios gimnasios entre los que se encuentran el de sede Bilbao, c Masustegui 25, y el de la sede Bilbao ISOZAKI. 5/9 2) En el de sede Bilbao hay una cámara adosada a la fachada, cerca de la puerta de acceso, junto a un cartel, que aparece enfocando sobre la vía pública, correspondiéndose con la que ha sido objeto de la reclamación que se acreditó que en escrito de la reclamada de 13/09/2018, 9:48, en la foto obtenida el 2018/09/05 se toma en exceso parte de la vía pública, alcanzando toda la acera hasta la mitad de la zona de aparcamiento de uso de motos. En alegaciones al acuerdo, le reclamada manifiesta que ha solventado la cuestión y lo acredita con la foto de la imagen que se aporta, satisfaciendo el exceso de enfoque de la vía pública. 3) En la sede Bilbao ISOZAKI, se verificó que al momento de la apertura de este procedimiento existían dos cámaras que enfocaban en exceso a la vía pública, la cámara 7 y la 13, habiendo manifestado en alegaciones al acuerdo la reclamada, se han corregido los excesos de recogida de parte de vía publica en la cámara 7 de sede ISOZAKI y corrigiendo los enfoques de las otras dos cámaras, aportando fotos de dichas imágenes. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el apartado 2 del artículo 56 en relación con el apartado 1
8. f)del artículo 57, ambos del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27/04/2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD); y en el artículo 47 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). II En cuanto a la reclamación por la cesión de las imágenes por el gimnasio al servicio de asuntos internos de la Policía, se debe indicar que constituye una cesión de datos a un tercero, que precisa bien de amparo legal, bien figurar por la peticionaria asociada al ejercicio de una obligación legal, que en este caso podría ser la denuncia de un ciudadano. II El artículo 5.1.c del RGPD, establece: “Los datos personales serán: “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);” La reclamada tiene una serie de cámaras para la vigilancia de sus instalaciones, elemento que se permite según el artículo el artículo 22 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD) indica:” Tratamientos con fines de videovigilancia 1. Las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2. Solo podrán captarse imágenes de la vía pública en la medida en que resulte imprescindible para la finalidad mencionada en el apartado anterior” Como regla general, la captación de imágenes con fines de seguridad, de parte de la vía pública debe realizarse por las Fuerzas y Cuerpos de Seguridad, ya que les corresponde la prevención de hechos delictivos y la garantía de la seguridad en la citada vía pública, de conformidad con lo regulado por Ley Orgánica 4/1997, de 4/08, y su Reglamento de desarrollo. Esta regla admite alguna excepción ya que en algunas ocasiones, para la protección de espacios privados, donde se hayan instalado cámaras en fachadas o en el interior, puede ser necesario para garantizar la finalidad de seguridad la grabación de una porción de la vía pública. Es decir, las cámaras y videocámaras instaladas con fines de seguridad no podrán obtener imágenes de la vía pública salvo que resulte imprescindible para dicho fin, o resulte imposible evitarlo por razón de la ubicación de aquéllas. Por lo tanto, las cámaras podrían excepcionalmente captar una la porción mínimamente necesaria para la finalidad de seguridad que se pretende. Considerando que la expectativa de la instalación de una cámara que vigila la zona de puerta de acceso al gimnasio o los espacios de entrada-salida de parking no es que cualquier ciudadano que circule por los aledaños de la zona pueda ser captado por el mero hecho de pasar por ahí, se considera que en el presente caso se captaba de forma excesiva espacio de la vía pública de tres cámaras correspondientes dos sedes en Bilbao. En el caso del gimnasio, sede Bilbao Begoña la cámara que se sitúa sobre la puerta de entrada en un lateral, enfocaba y recogía imágenes excesivas sobre un lateral largo además de la puerta de acceso, y en anchura de imagen abarcaba toda la acera. Las dos cámaras de ISOZAKI mencionadas permitían visionar imágenes que hacían posible la identificación de personas que pasaran por dicho espacio de vía pública pudiendo en ambos casos reenfocar o readaptar las mismas para captar el espacio mínimo necesario, circunstancia que ha cumplido la reclamada. III El artículo 83.5
9. a)del RGPD, considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía. La LOPDGDD en su artículo 72 indica: “Infracciones consideradas muy graves 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
10. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.” IV 7/9 En virtud de lo establecido en el artículo 58.2 RGPD, la Agencia Española de Protección de Datos, en cuanto autoridad de control, dispone de un conjunto de poderes correctivos, entre los que se encuentra la potestad para imponer multas, en el caso de que concurra una infracción de los preceptos del RGPD. “sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento” (art. 58.2
11. b)RGPD). La sanción por imponer deberá graduarse de acuerdo con los criterios que establece el artículo 83.2 del RGPD, y con el considerando 148 del propio RGPD, que dispone la posibilidad de sancionar con apercibimiento en determinadas circunstancias. En el presente caso, se ha tenido en cuenta para la aplicación del apercibimiento que se trata de instalaciones de gimnasios que requieren seguridad y existe legitimación para la instalación y recogida de imágenes, siendo excesos de lo que la norma permitiría, habiendo sido corregidos Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a METROPOLITAN SPAIN, SL, con NIF B62936737, por una infracción del Artículo 5 del RGPD, tipificada en el Artículo 83.5 del RGPD, una sanción de apercibimiento. SEGUNDO: NOTIFICAR la presente resolución a METROPOLITAN SPAIN, SL. con el ANEXO GENERAL. TERCERO: De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
12. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos ANEXO GENERAL RECLAMANTE 1 9/9 A.A.A. RECLAMANTE 2 B.B.B. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es