1/9 Expediente N.º: EXP202304405 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (*en adelante, la parte reclamante) con fecha 8 de marzo de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra quien identifica en su escrito como B.B.B. si bien la misma se dirige tras el análisis de la misma a entidad -- ***ENTIDAD.1, ENTIDAD LOCAL MENOR con NIF P0900391D --(en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: “(…) los reclamados, en nombre de la Junta Vecinal de ***LOCALIDAD.1, han instalado una cámara de videovigilancia en un camino que cuenta con la condición de camino público dependiente del Ayuntamiento de Valle de Losa, habiendo instalado la cámara sin autorización para ello, estando señalizada la cámara mediante un cartel de zona videovigilada que se encuentra en blanco, sin incluir información del responsable del tratamiento y a quién dirigirse para el ejercicio de derechos. Aporta imágenes de ubicación de la cámara y del cartel informativo de zona videovigilada en blanco, planos catastrales de las zonas afectadas, sentencias vinculadas a la titularidad pública de caminos públicos y video de lo captado por la cámara reclamada (Anexo I). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada en fecha 05/04/23 y 18/05/23, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue objeto de notificación en tiempo y forma según consta acreditado en el expediente administrativo. TERCERO: Con fecha 8 de junio de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: En fecha 12/06/23 se recibe contestación de la parte reclamada argumentando lo siguiente en relación a los hechos expuestos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 “que manifiesta ser el principal responsable de la instalación de las cámaras, que están instaladas debido a una serie de destrozos en la barrera de paso allí colocada (…)”, aportando fotografía y contrato de instalación. QUINTO: Con fecha 17 de noviembre de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo (
- s)6 y 13 del RGPD, tipificada en el Artículo 83.5 del RGPD. SEXTO: En fecha 04/12/23 se recibe escrito de la parte reclamada en contestación al Acuerdo de Inicio legalmente notificado en los términos de la actual Ley 39/2015, plasmando de manera sucinta lo siguiente: “Que la cámara de videovigilancia enfoca única y exclusivamente la barrera de acceso al monte sito en el Valle de Losa. El acceso a dicha zona no es público, sino que más bien está restringido a personal debidamente autorizado. De ahí que se haya colocado una barrera de entrada que restringe la entrada al público, barrera que fue autorizada debidamente por el departamento de medio ambiente de la Junta de castilla y león, a quien podrá oficiarse que informe al respecto. Tal y como puede comprobarse de la documental que consta en el expediente, la cámara enfoca, por motivos de seguridad, exclusivamente a la barrera de entrada y los primeros metros del interior del perímetro cercado. Dadas las circunstancias, no se ha cometido ninguna infracción por la entidad local a la que represento, por lo que sin más dilación interesa el archivo del presente procedimiento sancionador. Por todo ello, A LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS SOLICITO, Que teniendo por presentado este escrito junto, se sirva admitirlo, y tenga por formuladas las alegaciones en él contenidas, y previos los trámites oportunos, se acuerde el archivo definitivo del expediente sancionador referido”. SÉPTIMO: En fecha 14/12/23 se emite <Propuesta de Resolución> en la que se considera que las explicaciones y documental presentada no acreditan en derecho la presencia del sistema de video-vigilancia, proponiendo la Declaración de infracción administrativa y las correspondientes medidas correctoras, al considerarse infringidos los preceptos: 6 y 13 RGPD. OCTAVO: Consultada la base de datos de este organismo en fecha 15/01/24 no se ha recibido contestación alguna a la formulación de la <propuesta, ni documental acreditativo de la legalidad del sistema se ha aportado, constando como Notificado en fecha 14/12/23 mediante envío electrónico. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 HECHOS PROBADOS Primero. Los hechos traen causa de la reclamación de fecha 08/03/23 por medio de la cual se traslada a este organismo lo siguiente: “instalación de cámara en camino que cuenta con la condición de camino público (…) sin la debida autorización y sin estar el cartel informativo debidamente cumplimentado (…). Aporta imágenes de ubicación de la cámara y del cartel informativo de zona videovigilada en blanco, planos catastrales de las zonas afectadas, sentencias vinculadas a la titularidad pública de caminos públicos y video de lo captado por la cámara reclamada (Anexo I). Segundo. Consta acreditado como principal responsable la entidad Local ***ENTIDAD.1, quien no niega la presencia del dispositivo objeto de reclamación. Tercero: Consta acreditada la presencia de cámara de video-vigilancia sin que el cartel informativo indique el responsable, finalidad o modo de ejercitar los derechos en el marco del actual RGPD. Cuarto: No se ha aportado documentación alguna que acredite el carácter privativo del terreno, ni se ha aportado autorización administrativa al respecto de la presencia de cámaras, ni sobre la finalidad de las mismas. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Tras las modificaciones efectuadas en la actual LOPDGDD (LO 3/2018, 5 diciembre) por Ley 11/2023, de 8 de mayo, de trasposición de Directivas de la Unión Europea en materia de accesibilidad de determinados productos y servicios, migración de personas altamente cualificadas, tributaria y digitalización de actuaciones notariales y registrales; y por la que se modifica la Ley 12/2011, de 27 de mayo, sobre responsabilidad civil por daños nucleares o producidos por materiales radiactivos, se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 procede a aplicar al presente procedimiento el plazo procedimental establecido en el artículo 64.2º “in fine”. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones. II En el presente caso, se procede a examinar la reclamación de fecha 08/03/23 por medio de la cual se traslada la presencia de dispositivos de capación de imágenes en zona de tránsito público, sin contar con la debida señalización informativa. Los “hechos” anteriores se enmarcan del siguiente modo “instalación de sistema de video-vigilancia sin contar con la debida señalización” en zona de carácter presuntamente público. La regulación para la instalación de cámaras en lugares o espacios públicos se encuentra en la Ley Orgánica 4/1997, de 4 de agosto (BOE del 5), por la que se regula la utilización de videocámaras por las fuerzas y cuerpos de seguridad en lugares públicos; cuyo desarrollo se realiza mediante el Real Decreto 596/1999, de 16 de abril (BOE del 19), por el que se aprueba el Reglamento de desarrollo y ejecución de esa Ley Orgánica. Según el art. 1 de la Ley Orgánica 4/1997, el objeto de la misma es regular la utilización por las Fuerzas y Cuerpos de Seguridad de videocámaras en lugares públicos, abiertos o cerrados, y su posterior tratamiento, a fin de contribuir a asegurar la convivencia ciudadana y erradicar la violencia y la utilización pacífica de las vías y espacios públicos. Para la instalación y utilización de un sistema de grabación de imágenes en los espacios públicos se precisa, según el art. 3 de la citada Ley, de una autorización a otorgar por el Delegado del Gobierno de cada Comunidad Autónoma, previo informe de una Comisión presidida por el Presidente del Tribunal Superior de Justicia de esa Comunidad, y cuya resolución deberá ser motivada y referida en cada caso al lugar público concreto de que se trate y sometida a cuantas condiciones y limitaciones de uso sean necesarias. De manera que para proceder a la instalación de un sistema de cámaras en zona <pública> se debe por el Alcalde o Concejal del área de seguridad competente, solicitar a la Delegación del Gobierno la correspondiente autorización, precisando el ámbito físico objeto de control por el sistema, la cualificación de las personas encargadas de explotar el sistema de tratamiento de las imágenes y el periodo de tiempo en el que se pretende efectuar las grabaciones. También hay que tener en cuenta la Legislación autonómica en la materia según la Comunidad Autónoma correspondiente, no estando en ocasiones permitida la instalación de este tipo de dispositivos si no se cuenta con el correspondiente Cuerpo de Policía Local. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 III De conformidad con las pruebas de las que se dispone en el presente procedimiento sancionador, se considera que la parte reclamada dispone de un sistema de captación de imágenes que no está debidamente señalizado a tenor de las pruebas aportadas y cuya base legitimadora no ha sido esclarecida a esta Agencia. Por la parte reclamada no se ha aportado prueba documental que respalde sus manifestaciones, siendo estas insuficientes para decretar el Archivo pretendido, siendo lo esencial las autorizaciones administrativas para la instalación de cámaras, con independencia del Informe que en su caso haya autorizado una barrera en medio de un monte. Así mismo, las imágenes de las cámaras de vigilancia del ayuntamiento no podrán usarse con otra finalidad diferente a la de seguridad, ni difundirse ni hacerse públicas (teniendo en cuenta las excepciones que se hacen para los contenidos informativos o noticiosos y la difuminación de las caras que aparezcan en ellas). Además, deberán guardarse aplicando las medidas de seguridad técnicas y organizativas necesarias para garantizar su confidencialidad. El RGPD mantiene el principio de que todo tratamiento de datos necesita apoyarse en una base que lo legitime. Los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada, tipificada en el artículo 6 RGPD. “
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;” El artículo 72 apartado 1º letra
- b)establece un plazo de prescripción de tres años “las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. IV Por la parte reclamante se acredita documentalmente que el cartel instalado además está en blanco en sus aspectos esenciales, por lo que no cumple con la función de informar conforme a la normativa en vigor. Hay que tener en cuenta que la instalación y uso de cámaras de videovigilancia implica un tratamiento de datos de carácter personal (máxime si por la zona transitan personas o vecinos próximos), por lo que además se deben cumplir con los preceptos oportunos de la actual LOPDGDD (LO 3/2018, 5 diciembre). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 El artículo 22 apartado 4º de la LOPDGDD dispone: “El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información”. Los hechos anteriormente descritos suponen una afectación al contenido del artículo 13 RGPD, al carecer de cartel (
- es)informativos con una dirección efectiva a la que poder en su caso dirigirse o indicar en su caso el responsable principal del tratamiento de los datos. El artículo 13 RGPD “Información que deberá facilitarse cuando los datos personales se obtengan del interesado” 1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
- a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
- b)los datos de contacto del delegado de protección de datos, en su caso;
- c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento (…). El artículo 72 apartado 1º de la LOPDGDD (LO 3/2018, 5 diciembre) en relación al plazo de prescripción de las infracciones muy graves “prescribirán a los tres años” y en particular las siguientes:
- h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica. V El artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD en su apartado 7 establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.” VI En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 La parte reclamada deberá proceder a la retirada del dispositivo de su actual lugar de emplazamiento o en su caso acreditar fehacientemente la desconexión temporal del mismo (vgr. Informe técnico, fotografías antes y después, etc). Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la entidad ***ENTIDAD.1, ENTIDAD LOCAL MENOR, con NIF P0900391D, ha infringido lo dispuesto en el Artículo (
- s)6 y 13 del RGPD, infracción tipificada en el Artículo 83.5 del RGPD. SEGUNDO: ORDENAR a la entidad ***ENTIDAD.1-ENTIDAD LOCAL MENOR--, con NIF P0900391D, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo de UN MES, acredite haber procedido al cumplimiento de las siguientes medidas: -Retirada y/o desconexión del dispositivo de captación de imágenes de su actual lugar de emplazamiento, hasta contar con las correspondientes autorizaciones administrativas al respecto. TERCERO: NOTIFICAR la presente resolución a la entidad ***ENTIDAD.1, ENTIDAD LOCAL MENOR. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-21112023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es