← España

PS-00342-2018

1/15 Procedimiento Nº: PS/00342/2018 Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 19/05/2018 tiene entrada en esta Agencia (AEPD) escrito de A.A.A. (en adelante el reclamante) comunicando que el gimnasio MKS SANTURTZI 16 SL, CON CIF: B-95866364, con domicilio en calle las Viñas Nº16, bajo, en SANTURTZI, VIZCAYA, (en adelante el reclamado) tiene cámaras de videovigilancia instaladas y denuncia una posible infracción del RGPD, motivada por la falta de adecuación del cartel informativo del sistema de videovigilancia del gimnasio. Indica que el cartel está en la zona de recepción, pero solo figura el literal “zona vigilada por cámaras”. Aporta fotografía del cartel, situado en una zona de recepción, en la esquina inferior derecha, constando solo el literal “zona videovigilada”. SEGUNDO: A la vista de los hechos denunciados, de conformidad con las evidencias de que se dispone, la Inspección de Datos de esta AEPD inició las actuaciones de investigación siguientes: 1) Con fecha 26/06/2018, se remite por el servicio de Inspección escrito a la reclamada con el literal: “Se ha recibido en esta Agencia una comunicación en la que se pone de manifiesto la existencia de una instalación de videovigilancia de su titularidad, que presenta algunas deficiencias en el cumplimiento de los requisitos previstos en la normativa de protección de datos, los cuales pueden ser consultados en el sitio web www.aepd.es, a través del apartado Áreas de actuación (videovigilancia). Para que por la Agencia puedan valorarse las acciones llevadas a cabo por usted para la adecuación del sistema a los citados requisitos, le requiero que, en el plazo máximo de un mes desde la recepción de la presente notificación, remita a esta Agencia documentación detallada que pueda acreditar que la citada instalación es conforme a la normativa de protección de datos y que, en particular, está debidamente señalizada y se ha limitado la captación de imágenes de terrenos y viviendas colindantes o de cualquier otro espacio ajeno, aportando para ello documentos gráficos recientes debidamente fechados. A la vista de toda la documentación aportada, por la Agencia podrán realizarse las actuaciones que resulten procedentes, en aplicación de los poderes de investigación y correctivos establecidos en el artículo 57 del RGPD. “ C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es El envío cursado por el sistema de notificación telemática notific@ fue rehusado (no se accede en el plazo de diez días) 2) Con fecha 5/07/2018, se le reitera la petición, esta vez entregada por correo postal El 3/08/2018, la reclamada indica que tienen el sistema contratado con SECURITAS DIRECT y manifiesta que aporta copia del contrato si bien lo que aporta son dos copias del “Acuerdo de tratamiento de datos “con SECURITAS DIRECT de 19/07/2018. Declara que: “la cámara de que disponemos no graba hacia el exterior y solo se activa si se dispara la alarma recogiendo solo imágenes de nuestra entrada sin recoger las del exterior”. No hace referencia ni aporta extremo alguno sobre el cartel informativo, ni aporta fotografía de cuando se dispara la alarma para ver el campo visual que abarca y valorar si recoge espacio propio o espacio excesivo de la vía pública, ni donde se coloca la cámara. En el “acuerdo de tratamiento de datos” consta que la reclamada ha contratado servicios de seguridad prestados por SECURITAS DIRECT, si indicar el servicio de que se trata. En el contrato se indica que el acuerdo tiene por objeto regular los aspectos relativos a la protección de datos entre SECURITAS DIRECT (SC) y el cliente, diferenciando distintos escenarios en función de:

  1. a)Si SC no accede y/o gestiona imágenes o grabaciones del sistema de seguridad del cliente, con la prohibición para el personal de SC de acceso a los datos al ser responsabilidad del cliente, siendo este el responsable del tratamiento.
  2. b)Caso de que SC acceda o gestione imágenes o grabaciones del sistema de seguridad del cliente- En función de las distintas modalidades que puede prestar SC, la condición de responsable y encargado variarían. Así: b.1-“Tratamiento e imágenes por SC obtenidas con motivo de un salto de alarma”, SC procedería a su verificación mediante video, siendo la única finalidad la de verificar la realidad para comunicar al servicio policial correspondiente, “ostentando SC necesariamente la posición de responsable del tratamiento”, sin que el tratamiento llevado a cabo a través de la central receptora de alarmas sea considerado intromisión ilegítima. b.2- Servicio fuera de lo que es la verificación de saltos de alarma como actividad de foto petición realizada por el cliente, es asumida por parte del cliente, siendo responsable del tratamiento del fichero de videovigilancia generado y en este caso SC asume al posición de encargado de tratamiento limitándose a almacenamiento y puesta a disposición de los medios para que el cliente acceda a las imágenes obtenidas por el sistema de seguridad 3/15 En obligaciones para SC figura: - que el proceso de verificación mediante video únicamente podrá comenzar cuando la señal de alarma haya sido visualizada por un operador de central de alarmas, por lo que SC no accederá a las imágenes obtenidas salvo que se produzca la señal de alarma, o cuando el cliente autorice expresamente dicha visualización. -Ubicar distintivos informativos que contenga la leyenda de aviso de zona videovigilada y mención expresa al responsable ante el que puedan ejercitarse los derechos. -El cliente tendrá a disposición de los interesados impresos en los que se detalle la información prevista del art 14 del RGPD. -En excepciones a la aplicación a la normativa de protección de datos, apartado 3 se indica que el tratamiento de imágenes y/o sonido que pueda ser realizado por medio de sistemas de seguridad con conexión a central de alarmas en un domicilio o espacio equivalente si bien no generara obligaciones para el cliente en materia de protección de datos la generación de un fichero que puede contener información de datos de carácter personal provocara inexorablemente que SC sea responsable del mismo. Una segunda hoja del documento “acuerdo de tratamiento de datos “ se refiere a las medidas de seguridad a aplicar por el encargado de tratamiento. 3) Con fecha 28/08/2018, el servicio de Inspección remite a la reclamada el siguiente escrito: “En relación con el escrito remitido en respuesta a la solicitud de información realizada por esta Agencia, se le informa que hay determinados aspectos que es necesario aclarar. Por este motivo, en el plazo de diez días hábiles desde la notificación de la presente solicitud, deberá complementar la documentación inicialmente remitida aportando la siguiente información: - Fotografías del cartel que señalice la zona videovigilada en las que sea posible apreciar tanto su ubicación como los datos consignados en el mismo. - Copia del impreso informativo a disposición de los interesados en el que se les facilite la información del sistema de videovigilancia. - Fotografías y detalle de las cámaras instaladas, indicando su ubicación exacta y muestra de las imágenes que registran.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es Con fecha 26/09/2018 tiene entrada un escrito de la reclamada que indica “En relación con el escrito remitido por ustedes en el que solicitaban nuevamente información acerca de las cámaras de seguridad, y después de hablar con ustedes, les informo nuevamente de la ubicación de las cámaras: Las cámaras solo sacan imágenes y se disparan si alguien pasa por la puerta de entrada cuando la alarma está conectada, esto solo puede ocurrir cuando el gimnasio está cerrado, en ningún caso capta imágenes del exterior del centro, ya que las cámaras solo enfocan al recibidor”. No ha aportado fotografías del espacio en el que se sitúan las cámaras y el contrato con SECURITAS DIRECT no acredita que el servicio prestado sea exclusivamente de central de alarmas. TERCERO: De acuerdo con los datos obrantes, se ha tenido constancia de que en el establecimiento de la reclamada figura al menos una, cámara, sin que conste el cartel informativo del sistema de videovigilancia con todos los requisitos, y sin que la reclamada acredite que sólo dispone de una cámara instalada y que funciona exclusivamente cuando cierra la instalación y la foto que pueda captar cuando se dispare es de su establecimiento o parte mínima de vía publica si fuera necesario. Con fecha 23/01/2019 se acordó por la directora de la AEPD el inicio de un procedimiento sancionador a MKS SANTURTZI 16 SL por la infracción del artículo 12 del RGPD, en relación con el 3 de la Instrucción 1/2006, de 8/11, de la AEPD, tipificada en el artículo 83.5.
  3. b)del RGPD indicando como sanción propuesta la de apercibimiento CUARTO: El envío se cursó a través de la plataforma “notifica”, parte del Servicio de Notificaciones Electrónicas (SNE) y Dirección Electrónica Habilitada, (DEH) de acuerdo con la Orden PRE/878/2010 y el Real Decreto 769/2017, de 28/07 por el servicio de Soporte del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, figurando un certificado en el que se significa que: -“A través de dicho servicio se envió la notificación: Referencia: 59990475c4adccfe48a0 Administración actuante: Agencia Española de Protección de Datos (AEPD) Titular: - B95866364 Asunto: "ESCRITO" con el siguiente resultado: Fecha de puesta a disposición: 25/01/2019 10:54:24 Fecha de rechazo automático: 05/02/2019 00:00:00 El rechazo automático se produce, de forma general, tras haber transcurrido diez días naturales desde su puesta a disposición para su acceso según el párrafo 2, artículo 43, de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (LPCAP). Y de forma particular, superado el plazo establecido por la Administración actuante de acuerdo a la normativa jurídica específica que sea de aplicación.” La LPCAP añade en su artículo 14” Derecho y obligación de relacionarse electrónicamente con las Administraciones Públicas “ 2. En todo caso, estarán obligados a relacionarse a través de medios electrónicos con las Administraciones Públicas para la realización de cualquier trámite de un procedimiento administrativo, al menos, los siguientes sujetos: 5/15
  4. a)Las personas jurídicas.” Y se concreta en el artículo 41” Condiciones generales para la práctica de las notificaciones “1. Las notificaciones se practicarán preferentemente por medios electrónicos y, en todo caso, cuando el interesado resulte obligado a recibirlas por esta vía. No obstante, lo anterior, las Administraciones podrán practicar las notificaciones por medios no electrónicos en los siguientes supuestos:
  5. a)Cuando la notificación se realice con ocasión de la comparecencia espontánea del interesado o su representante en las oficinas de asistencia en materia de registro y solicite la comunicación o notificación personal en ese momento.
  6. b)Cuando para asegurar la eficacia de la actuación administrativa resulte necesario practicar la notificación por entrega directa de un empleado público de la Administración notificante. Con independencia del medio utilizado, las notificaciones serán válidas siempre que permitan tener constancia de su envío o puesta a disposición, de la recepción o acceso por el interesado o su representante, de sus fechas y horas, del contenido íntegro, y de la identidad fidedigna del remitente y destinatario de la misma. La acreditación de la notificación efectuada se incorporará al expediente.” Como consecuencia, la notificación del acuerdo se entiende producida con todos los efectos jurídicos. Si bien en el acuerdo de inicio se indicaba que “si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  7. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP).”, se considera conveniente remitir esta propuesta para que ajuste el tratamiento a lo procedente. QUINTO: El Instructor emite propuesta de resolución con el literal: Que por la directora de la Agencia Española de Protección de Datos se declare que MKS SANTURTZI 16 SL, ha infringido el artículo 12 del RGPD, tipificada en el Artículo 83.5
  8. b)del RGPD, imponiendo una sanción de apercibimiento, de acuerdo con el artículo 58.2. b del RGPD, debiendo subsanar la infracción descrita. Frente a dicha propuesta la reclamada indica: ”… se recibe escrito de la reclamada en el que indica “después de recibir su notificación …donde nos solicita nuevamente información respecto a la denuncia”, si bien lo que envió fue la propuesta de resolución, manifiesta: 1) Las únicas cámaras que existen son las del sistema de alarmas contratado con SECURITAS DIRECT. Solo hacen fotografía en caso de dispararse la alarma y se detecte la presencia de intrusos dentro del local. Las fotografías que saca son hacia el interior del local. Solo hay dos cámaras colocadas en las dos entradas, una en cada acceso. Remiten copia de fotos de las dos entradas viéndose las cámaras de detección en el interior enfocando al interior, un cartel en el exterior de la empresa de seguridad de sistema de alarmas en que indica aviso a policía. 2) Han retirado el cartel cuyo único objetivo era su carácter disuasorio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3) Aporta copia del contrato “instalación del servicio” con SECURITAS DIRECT. En el mismo figura un croquis de la colocación de dos cámaras, entrada gimnasio y consulta y un mg gimnasio de 27/04/2012. En las condiciones generales del servicio se indica que el objeto del contrato es la instalación, mantenimiento y explotación de central de alarma. Los servicios que se contratan son los del artículo 5.1 de la ley de seguridad privada 23/1992 de 30/07, en concreto los de la letra
  9. e)y f), y queda excluido el servicio de la letra g). Se concreta que el contrato comprende el servicio de instalación y mantenimiento, el servicio de conexión a central receptora de alarmas cuando salte a alarma. En el apartado 5 de obligaciones de SC figura la f que señala. “En su caso, la activación de los servicios ligados al sistema o elementos de videovigilancia se producirá a través de cualquier elemento de detección instalado al cliente, SC tramitará la señal de alarma técnica y registrará las imágenes y/o sonidos recibidos en modo local, según lo establecido en la normativa de seguridad privada y de protección de datos aplicable.” Entre las obligaciones del cliente figura la del punto g: “facilitará la colocación y mantenimiento de modo visible de los disuasorios entregados por SC para la prestación del servicio”. Figura un apartado de política de privacidad en el punto 14, punto C Tratamiento de imágenes y sonidos obtenidos a raves del sistema de seguridad cuando el equipo incorpore sistemas de foto detección, supuesto: A) Al verificar un salto de alarma por parte de SC. Se indica que SC a través de la CRA captará y grabará imágenes a través de dispositivos de seguridad instalados en los lugares objeto de protección del cliente, de conformidad con el artículo 48 del reglamento de seguridad privada, es decir verificando con toso los medios a su alcance las alarmas recibidas y una vez agotada dicha verificación, si fuera procedente, transmitirá dichas imágenes y/o sonidos obtenidos con motivo del salto de alarma tratado a la autoridad policial. “El cliente solo podrá tener acceso a la información sobre cualquier incidencia o a la grabación realizada con motivo de un salto de alarma, enviando solicitud escrita”. B) En obligaciones del cliente respecto a los dispositivos de captación de imágenes y sonidos con fines de videovigilancia se indica en el punto D que “del tratamiento de imágenes y/o sonidos indicados en el punto 14.C- pueden derivarse responsabilidad y obligaciones hacia el cliente como responsable del tratamiento conforme a lo establecido en la LOPD. Cabe enumerar las siguientes obligaciones relativas a la protección de datos: Ubicar distintivos informativos que convenga la leyenda informativa LOPD, zona videovigilada y mención expresa a la identificación del responsable ante quien pueda ejercitar los derechos. El cliente tendrá a disposición de los interesados impresos en los que se detalle la información del artículo 5.1 de la LOPD. HECHOS PROBADOS 7/15 1) Con fecha 19/05/2018 se reclama porque el gimnasio MKS SANTURTZI 16 SL, tiene cámaras de videovigilancia instaladas y cartel informativo sobre protección de datos que no se adecua a la normativa vigente, ya que según la foto que aporta, se halla en zona de recepción con el único aviso “zona vigilada por cámaras”. No se acredita que la reclamada cuenta con un sistema de videovigilancia sino con un sistema electrónico de detección de intrusos conectado a central receptora de alarmas, contratado con SC, con acceso remoto a la imagen caso de saltar la alarma. El sistema se conecta cuando el gimnasio echa el cierre y su finalidad es la seguridad de las instalaciones. La reclamada indica antes del acuerdo de inicio, que tiene un sistema contratado con SECURITAS DIRECT y aporta copia de “acuerdo de tratamiento de datos”En el contrato con SC figura el apartado “acuerdo de tratamiento de datos” en el que la reclamada contratado servicios de seguridad prestados por SECURITAS DIRECT, y se señala que tiene por objeto regular los aspectos relativos a la protección de datos entre SECURITAS DIRECT (SC) y el cliente, diferenciando distintos escenarios , contemplando el caso de que SC acceda o gestione imágenes o grabaciones del sistema de seguridad del cliente- en el cual SC procedería a su verificación mediante video, siendo la única finalidad la de verificar la realidad para comunicar al servicio policial correspondiente, “ostentando SC necesariamente la posición de responsable del tratamiento”, sin que el tratamiento llevado a cabo a través de la central receptora de alarmas sea considerado intromisión ilegítima. También se indica que son obligaciones para SC: - que el proceso de verificación mediante video únicamente podrá comenzar cuando la señal de alarma haya sido visualizada por un operador de central de alarmas, por lo que SC no accederá a las imágenes obtenidas salvo que se produzca la señal de alarma, o cuando el cliente autorice expresamente dicha visualización. -Ubicar distintivos informativos que contenga la leyenda de aviso de zona videovigilada y mención expresa al responsable ante el que puedan ejercitarse los derechos. -El cliente tendrá a disposición de los interesados impresos en los que se detalle la información prevista del art 14 del RGPD. Una segunda hoja del documento “acuerdo de tratamiento de datos “ se refiere a las medidas de seguridad a aplicar por el encargado de tratamiento. Antes del acuerdo de inicio, la reclamada no aportó acreditación del concreto sistema instalado, las cámaras de que disponía, hacia donde se orientaban y en qué espacio estaban colocadas. 2) En alegaciones a la propuesta la reclamada aporta hoja de instalación de dos cámaras por SC, y condiciones generales de contrato de sistema de foto detección de entrada y central receptora de alarmas (CRA). La reclamada manifiesta que las dos cámaras solo captan imágenes y se disparan si alguien pasa por la puerta de entrada cuando la alarma C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es está conectada, que es cuando el centro está cerrado, añadiendo que en ningún caso capta imágenes del exterior del centro, ya que las cámaras solo enfocan al recibidor. 3) En alegaciones a la propuesta se acredita que la reclamada tiene dos cámaras que aparentemente no son de videovigilancia, sino de foto detección, y están situadas en el interior de dos entradas de los locales de la reclamada, uno de ellos el gimnasio que fue objeto de la reclamación donde se encontraba el cartel. El sistema solo se dispara, cuando detecta alguien en el interior del espacio que enfoca o hacia donde apunta las cámaras inferiores. 4) Manifiesta la reclamada que han retirado el cartel cuyo único objetivo era su carácter disuasorio. 5) En la copia del contrato de “instalación del servicio” con SECURITAS DIRECT que aportó la reclamada en alegaciones a la propuesta figura un croquis de la colocación de dos cámaras, entrada gimnasio y consulta y un mg gimnasio de 27/04/2012. En las condiciones generales del servicio se indica que el objeto del contrato es la instalación, mantenimiento y explotación de central de alarma. Los servicios que se contratan son los del artículo 5.1 de la ley de seguridad privada 23/1992 de 30/07, en concreto los de la letra
  10. e)y
  11. f), y queda excluido el servicio de la letra
  12. g). Se concreta que el contrato comprende el servicio de instalación y mantenimiento, el servicio de conexión a central receptora de alarmas cuando salte a alarma. En el apartado 5 de obligaciones de SC figura la f que señala. “En su caso, la activación de los servicios ligados al sistema o elementos de videovigilancia se producirá a través de cualquier elemento de detección instalado al cliente. SC tramitará la señal de alarma técnica y registrará las imágenes y/o sonidos recibidos en modo local, según lo establecido en la normativa de seguridad privada y de protección de datos aplicable.” Al verificar un salto de alarma por parte de SC. Se indica que SC a través de la CRA captará y grabará imágenes a través de dispositivos de seguridad instalados en los lugares objeto de protección del cliente, de conformidad con el artículo 48 del reglamento de seguridad privada, es decir verificando con todos los medios a su alcance las alarmas recibidas y una vez agotada dicha verificación, si fuera procedente, transmitirá dichas imágenes y/o sonidos obtenidos con motivo del salto de alarma tratado a la autoridad policial . “El cliente solo podrá tener acceso a la información sobre cualquier incidencia o a la grabación realizada con motivo de un salto de alarma, enviando solicitud escrita”. 6) La reclamada ha aportado en alegaciones a la propuesta fotografías del espacio donde se sitúan las cámaras en el interior y enfocando hacia el interior de dos entradas, una de ellas coincide con la de la reclamación. FUNDAMENTOS DE DERECHO 9/15 I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27/04/2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD); reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la directora de la AEPD es competente para iniciar y para resolver este procedimiento. II De acuerdo con los datos obrantes, se ha tenido constancia de que en el gimnasio de la reclamada existe un dispositivo de video detección que en un momento dado es susceptible de captar imágenes que contienen datos de carácter personal, esto es, según la definición del RGPD, artículo 4.1:” toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; En el caso de la video detección cuando alguien irrumpe en la instalación, si bien no se captan imágenes de modo permanente, si existe la posibilidad de que si se accede, se tomen imágenes que identifican o hagan identificable a la persona, sobre la que se han de aplicar las garantías legales del RGPD, medidas de seguridad, información o ejercicio de derechos, finalidad, etc. De acuerdo con la Instrucción 1/2006, de 8/11, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras, artículo 1, se indica: “1. La presente Instrucción se aplica al tratamiento de datos personales de imágenes de personas físicas identificadas o identificables, con fines de vigilancia a través de sistemas de cámaras y videocámaras. El tratamiento objeto de esta Instrucción comprende la grabación, captación, transmisión, conservación, y almacenamiento de imágenes, incluida su reproducción o emisión en tiempo real, así como el tratamiento que resulte de los datos personales relacionados con aquéllas. Se considerará identificable una persona cuando su identidad pueda determinarse mediante los tratamientos a los que se refiere la presente Instrucción, sin que ello requiera plazos o actividades desproporcionados. Las referencias contenidas en esta Instrucción a videocámaras y cámaras se entenderán hechas también a cualquier medio técnico análogo y, en general, a cualquier sistema que permita los tratamientos previstos en la misma.” Siempre que cumplan en resto de requisitos podrían recoger datos de carácter personal, además de los sistemas clásicos de cámaras de circuito cerrado de televisión, el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es uso de cualquier sistema o elemento electrónico fijo o móvil si es capaz de capturar datos de imágenes, por ejemplo, cámaras portátiles, webcams, o cámaras de infra rojos. III La Ley 5/2014, de 4/04 de Seguridad Privada indica: Artículo 5. Actividades de seguridad privada “1. Constituyen actividades de seguridad privada las siguientes:
  13. f)La instalación y mantenimiento de aparatos, equipos, dispositivos y sistemas de seguridad conectados a centrales receptoras de alarmas o a centros de control o de videovigilancia.
  14. g)La explotación de centrales para la conexión, recepción, verificación y, en su caso, respuesta y transmisión de las señales de alarma, así como la monitorización de cualesquiera señales de dispositivos auxiliares para la seguridad de personas, de bienes muebles o inmuebles o de cumplimiento de medidas impuestas, y la comunicación a las Fuerzas y Cuerpos de Seguridad competentes en estos casos.” Artículo 32. Vigilantes de seguridad y su especialidad “1. Los vigilantes de seguridad desempeñarán las siguientes funciones:
  15. f)Llevar a cabo, en relación con el funcionamiento de centrales receptoras de alarmas, la prestación de servicios de verificación personal y respuesta de las señales de alarmas que se produzcan. Además, también podrán realizar las funciones de recepción, verificación no personal y transmisión a las Fuerzas y Cuerpos de Seguridad que el artículo 47.1 reconoce a los operadores de seguridad.” Artículo 42. Servicios de videovigilancia “1. Los servicios de videovigilancia consisten en el ejercicio de la vigilancia a través de sistemas de cámaras o videocámaras, fijas o móviles, capaces de captar y grabar imágenes y sonidos, incluido cualquier medio técnico o sistema que permita los mismos tratamientos que éstas. Cuando la finalidad de estos servicios sea prevenir infracciones y evitar daños a las personas o bienes objeto de protección o impedir accesos no autorizados, serán prestados necesariamente por vigilantes de seguridad o, en su caso, por guardas rurales. No tendrán la consideración de servicio de videovigilancia la utilización de cámaras o videocámaras cuyo objeto principal sea la comprobación del estado de instalaciones o bienes, el control de accesos a aparcamientos y garajes, o las actividades que se desarrollan desde los centros de control y otros puntos, zonas o áreas de las autopistas de peaje. Estas funciones podrán realizarse por personal distinto del de seguridad privada. 2. No se podrán utilizar cámaras o videocámaras con fines de seguridad privada para tomar imágenes y sonidos de vías y espacios públicos o de acceso público salvo en los supuestos y en los términos y condiciones previstos en su normativa específica, previa autorización administrativa por el órgano competente en cada caso. Su utilización en el interior de los domicilios requerirá el consentimiento del titular. 3. Las cámaras de videovigilancia que formen parte de medidas de seguridad obligatorias 11/15 o de sistemas de recepción, verificación y, en su caso, respuesta y transmisión de alarmas, no requerirán autorización administrativa para su instalación, empleo o utilización. 4. Las grabaciones realizadas por los sistemas de videovigilancia no podrán destinarse a un uso distinto del de su finalidad. Cuando las mismas se encuentren relacionadas con hechos delictivos o que afecten a la seguridad ciudadana, se aportarán, de propia iniciativa o a su requerimiento, a las Fuerzas y Cuerpos de Seguridad competentes, respetando los criterios de conservación y custodia de las mismas para su válida aportación como evidencia o prueba en investigaciones policiales o judiciales. 5. La monitorización, grabación, tratamiento y registro de imágenes y sonidos por parte de los sistemas de videovigilancia estará sometida a lo previsto en la normativa en materia de protección de datos de carácter personal, y especialmente a los principios de proporcionalidad, idoneidad e intervención mínima. 6. En lo no previsto en la presente ley y en sus normas de desarrollo, se aplicará lo dispuesto en la normativa sobre videovigilancia por parte de las Fuerzas y Cuerpos de Seguridad.” Artículo 46. Servicios de instalación y mantenimiento “1. Los servicios de instalación y mantenimiento de aparatos, equipos, dispositivos y sistemas de seguridad conectados a centrales receptoras de alarmas, centros de control o de videovigilancia, consistirán en la ejecución, por técnicos acreditados, de todas aquellas operaciones de instalación y mantenimiento de dichos aparatos, equipos, dispositivos o sistemas, que resulten necesarias para su correcto funcionamiento y el buen cumplimiento de su finalidad, previa elaboración, por ingenieros acreditados, del preceptivo proyecto de instalación, cuyas características se determinarán reglamentariamente. 2. Estos sistemas deberán someterse a revisiones preventivas con la periodicidad y forma que se determine reglamentariamente.” Artículo 47. Servicios de gestión de alarmas “1. Los servicios de gestión de alarmas, a cargo de operadores de seguridad, consistirán en la recepción, verificación no personal y, en su caso, transmisión de las señales de alarma, relativas a la seguridad y protección de personas y bienes a las Fuerzas y Cuerpos de Seguridad competentes. 2. Los servicios de respuesta ante alarmas se prestarán por vigilantes de seguridad o, en su caso, por guardas rurales, y podrán comprender los siguientes servicios:
  16. a)El depósito y custodia de las llaves de los inmuebles u objetos donde estén instalados los sistemas de seguridad conectados a la central de alarmas y, en su caso, su traslado hasta el lugar del que procediere la señal de alarma verificada o bien la apertura a distancia controlada desde la central de alarmas.
  17. b)El desplazamiento de los vigilantes de seguridad o guardas rurales a fin de proceder a la verificación personal de la alarma recibida.
  18. c)Facilitar el acceso a los servicios policiales o de emergencia cuando las circunstancias lo requieran, bien mediante aperturas remotas controladas desde la central de alarmas o con los medios y dispositivos de acceso de que se disponga. 3. Cuando los servicios se refirieran al análisis y monitorización de eventos de seguridad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es de la información y las comunicaciones, estarán sujetos a las especificaciones que reglamentariamente se determinen. Las señales de alarma referidas a estos eventos deberán ser puestas, cuando corresponda, en conocimiento del órgano competente, por el propio usuario o por la empresa con la que haya contratado la seguridad.” La Orden INT/316/2011, de 1/02, sobre funcionamiento de los sistemas de alarma en el ámbito de la seguridad privada indica: Artículo 1. Ámbito material. “1. Únicamente las empresas de seguridad autorizadas podrán realizar las operaciones de instalación y mantenimiento de aparatos, dispositivos o sistemas de seguridad y alarma, cuando estos pretendan conectarse a una central de alarmas o a los denominados centros de control o de video vigilancia que recoge el apartado primero del artículo 39 del Reglamento de Seguridad Privada. 2. De conformidad con lo dispuesto en el artículo 46 del Reglamento de Seguridad Privada, para conectar aparatos, dispositivos o sistemas de seguridad a centrales de alarmas o centros de control, será preciso que la instalación haya sido realizada por una empresa de seguridad inscrita en el Registro correspondiente y se ajuste a lo dispuesto en los artículos 40, 42 y 43 del citado Reglamento y a lo establecido en la presente Orden. Artículo 8. Verificación mediante video. “1. Para considerar válidamente verificada una alarma por este método técnico, el subsistema de video ha de ser activado por medio de un detector de intrusión o de un video sensor, siendo necesario que la cobertura de video sea igual o superior a la del detector o detectores asociados. 2. El proceso de verificación mediante video sólo puede comenzar cuando la señal de alarma haya sido visualizada por el operador de la central de alarmas. Iniciada la verificación, el sistema debe registrar un mínimo de una imagen del momento exacto de la alarma y dos imágenes posteriores a ella, en una ventana de tiempo de cinco segundos, de forma que permitan identificar la causa que ha originado ésta. 3. Los sistemas de grabación utilizados para este tipo de verificación no permitirán obtener imágenes del lugar supervisado, si previamente no se ha producido una alarma, salvo que se cuente con la autorización expresa del usuario o la norma exija una grabación permanente.” IV El servicio que prestan las empresas de seguridad y sus implicaciones en materia de protección de datos, en este caso por la Instalación y/o mantenimiento de los equipos y sistemas de detección de intrusos con utilización de los equipos o acceso a las imágenes. Se trata de empresas de seguridad que prestan servicios combinados de central de alarmas y videovigilancia de modo que cuando se activa la alarma se comprueban directamente las imágenes por el personal de la empresa de seguridad. 13/15 El RGPD define «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. Y «responsable del tratamiento» o «responsable» es la persona física o jurídica, autoridad, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento. En el presente caso, los datos personales obtenidos por la empresa de seguridad mediante la firma del contrato de la información que le aporta el usuario no se tratan “por cuenta del” usuario, sino que dichos datos personales sirven para establecer una relación jurídica directa entre la empresa de seguridad y el usuario. La empresa de seguridad utiliza los datos personales para el establecimiento y cumplimiento de la prestación a la que se obliga mediante el citado contrato de arrendamiento de servicios. En definitiva, la empresa de seguridad determina los fines y los medios del tratamiento de dichos datos personales para la prestación del servicio al que se obliga. En el cumplimiento de la prestación a la que se compromete la empresa de seguridad mediante el contrato de arrendamiento de servicios no actúa “por cuenta del” usuario, sino que le presta el servicio de seguridad comprometido, que constituye el objeto social propio de la empresa de seguridad.” No nos encontramos, por tanto, respecto de dichos datos personales, ante un encargado del tratamiento. Ello significa que la empresa de seguridad tendrá todas las obligaciones propias del responsable del tratamiento en relación con los datos personales que trata para la prestación del servicio de seguridad a los usuarios de este. Entre ellas la de que los datos personales sean tratados solamente para los fines determinados, explícitos ilegítimos para los que se recogieron (art. 5.1.
  19. b)RGPD), y no para fines incompatibles con ellos, y la de informar a través del cartel de la zona de videovigilancia, sin que sirva el cartel exterior por no aludir a los datos de carácter personal. V El artículo 12.1 del RGPD señala: “El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14” El RGPD enumera las categorías de información que deben facilitarse a un interesado en relación con el tratamiento de sus datos personales en los casos en los que se recaban del mismo (artículo 13) o se obtienen de otra fuente (artículo 14). El 12.7 indica: “La información que deberá facilitarse a los interesados en virtud de los artículos 13 y 14 podrá transmitirse en combinación con iconos normalizados que permitan proporcionar de forma fácilmente visible, inteligible y claramente legible una adecuada visión de conjunto del tratamiento previsto”. Para que no se contenga toda la información en el aviso de tratamiento de datos del cartel informativo de videovigilancia, se puede efectuar en capas. El diseño y la disposición de la primera capa de la declaración o aviso de privacidad deben ser tales que el interesado tenga una visión clara de la información disponible sobre el tratamiento de sus datos personales, dónde y cómo puede encontrar dicha información detallada dentro de la capas de la declaración o aviso de privacidad. Se recomienda que la primera capa o modalidad insertada en el icono de advertencia de área videovigilada contenga la información más importante, los detalles del propósito del tratamiento, la identidad del responsable y una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es descripción de los derechos del interesado, base jurídica del tratamiento e identificación del responsable del tratamiento y forma de contacto. La importancia de proporcionar esta información por adelantado surge, en particular, del considerando 39 del RGPD, no siendo necesario especificar la ubicación precisa del equipo de vigilancia; sin embargo, deberá quedar bien claro el contexto de la vigilancia. La información de la segunda capa debe estar disponible en un lugar fácilmente accesible al interesado, sea una hoja informativa en una recepción, cajero etc. o colocada en un espacio público visible, o referirse a una dirección web con el resto de los elementos del artículo 13 del RGPD. En tal sentido se acredita que no consta el citado cartel a la entrada del gimnasio, con independencia de que solo se tomen imágenes cuando se cierra. En este sentido, uno de los requisitos que debe cumplir el tratamiento de imágenes a través de un sistema de videovigilancia o foto detección en este caso, para ser conforme con la normativa vigente es el de informar, de acuerdo con el artículo 12 del RGPD en concordancia con el artículo 3 de la Instrucción 1/2006, de 8/11 de la AEPD, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras, BOE 12/12/2006, que precisa: “Los responsables que cuenten con sistemas de videovigilancia deberán cumplir con el deber de información previsto en el artículo 5 de La Ley Orgánica 15/1999, de 13/12. A tal fin, deberán:
  20. a)Colocar, en las zonas videovigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados y
  21. b)Tener a disposición de los/las interesados/as impresos en los que se detalle la información prevista en el artículo 5.1 de la Ley Orgánica 15/1999. El contenido y el diseño del distintivo informativo se ajustará a lo previsto en el Anexo de esta Instrucción.” De acuerdo con los datos obrantes en el expediente, se ha tenido constancia de que en el establecimiento de la reclamada figuran al menos dos cámaras susceptibles de dispararse y captar imagen de una persona, sin que conste el cartel informativo del sistema con todos los requisitos. Siendo del sistema implantado en cuanto a los datos de carácter personal, responsable del tratamiento la empresa de seguridad sería ella la encargada de implementar el cartel interior con las advertencias propias de las zonas videovigiladas, por lo que la reclamada carece de responsabilidad al respecto. El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: “…
  22. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado” Se estima conveniente en este sentido que advierta de la obligación a dicha entidad. 15/15 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR, de conformidad con lo establecido en el artículo 90.1 de la LPCAP la no existencia de infracción por MKS SANTURTZI 16 SL, de la infracción del artículo 12 del RGPD, tipificada en el artículo 83.5 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a MKS SANTURTZI 16 SL. TERCERO: De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  23. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPCAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.