← España

PS-00346-2018

1/6 Procedimiento Nº: PS/00346/2018 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos ante HOTEL ROYAL AL ANDALUS S.A., en virtud de reclamación presentada por D. A.A.A. y en base a los siguientes: ANTECEDENTES PRIMERO: El 23/04/2018 ha tenido entrada en la Agencia Española de Protección de Datos escrito de D. A.A.A. (en lo sucesivo el denunciante), en el que denuncia a HOTEL ROYAL AL ANDALUS, S.A. (en lo sucesivo HRAA), por medio del cual manifiesta la existencia de instalación de cámaras de video-vigilancia en el citado centro en determinados puntos del mismo de una manera desproporcionada y vulnerando el derecho a la intimidad. Aporta junto con su escrito de denuncia, fotografías acerca de la ubicación de las cámaras y de los puntos de vigilancia. SEGUNDO: HRAA fue requerido mediante resolución de esta Agencia de fecha 23/04/2018 para que acreditara en el expediente de referencia E/03448/2018, en relación con las acciones llevadas a cabo para la adecuación de la instalación de videovigilancia del citado centro a los requisitos marcados por la normativa de protección de datos. HRAA en escrito de alegaciones de 18/10/2018 contesta a este organismo, señalando que puede acreditar que la instalación de vigilancia es conforme a la normativa de protección de datos; debidamente señalizada; que las cámaras gravan exclusivamente la propiedad del Hotel y en zonas comunes y de entrada y salida al centro de trabajo, paso para proveedores y zonas de disfrute de los clientes. TERCERO: Con fecha 03/12/2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador por la presunta infracción del artículo 5.1

  1. c)del RGPD, de conformidad con lo previsto en el artículo 58 apartado 2º de la misma norma, considerando que la sanción que pudiera corresponder sería de APERCIBIMIENTO, sin perjuicio de lo que resultara de la instrucción. CUARTO: En fecha 18/01/2019 la representación de HRAA presento escrito de alegaciones, formulando, en síntesis: que habiendo sido notificado acuerdo de inicio de procedimiento sancionador e informado acerca de las supuestas deficiencias denunciadas en el sistema de vigilancia instalado, estas han sido corregidas habiendo sido modificada la ubicación de la cámara instalada en el comedor del personal. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 HECHOS PROBADOS PRIMERO: El 23/04/2018 tiene entrada en la AEPD escrito del reclamante en el que denuncia a HRAA por la instalación de cámaras del sistema de video vigilancia en dependencias del centro vulnerando el derecho a la intimidad, aportando imágenes de, entre otras, las cámaras instaladas en el comedor de personal, de la puerta del aseo destinado al personal, pasillos, etc. SEGUNDO: HRAA en escrito de fecha 18/10/2018 manifiesta que la empresa cumple con la normativa sobre protección de datos, anexando material fotográfico detallando el lugar donde se encuentran instaladas las cámaras del sistema, con sus correspondientes carteles informativos, no constando imágenes de aseos, vestuarios, etc., aunque incluyendo fotografías de cámara/s que recogen imágenes del comedor de personal. TERCERO: HRRA en escrito de 18/01/2019 informa de que se ha modificado la ubicación de la/s cámara/s instaladas en el comedor de personal aportando fotografías de distintos accesos al centro, pero no las que captaban imágenes de dicha dependencia. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II La disposición transitoria tercera de la LOPDGDD establece: “Régimen transitorio de los procedimientos: 1. Los procedimientos ya iniciados a la entrada en vigor de esta ley orgánica se regirán por la normativa anterior, salvo que esta ley orgánica contenga disposiciones más favorables para el interesado.” El artículo 63.2 de la LOPDGDD indica: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” III En primer lugar, cabe recordar cuales son los requisitos que debe cumplir el tratamiento de imágenes a través de sistemas de videovigilancia para ser conforme con la normativa vigente: - Respetar el principio de proporcionalidad. - Cuando el sistema esté conectado a una central de alarma, únicamente podrá ser instalado por una empresa de seguridad privada que reúna los requisitos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 contemplados en el artículo 5 de la Ley 5/2014 de Seguridad Privada, de 4 de abril. - Las videocámaras no podrán captar imágenes de las personas que se encuentren fuera del espacio privado ya que el tratamiento de imágenes en lugares públicos sólo puede ser realizado, en su caso, por las Fuerzas y Cuerpos de Seguridad. Tampoco pueden captarse ni grabarse espacios propiedad de terceros sin el consentimiento de sus titulares, o, en su caso, de las personas que en ellos se encuentren. - Se deberá cumplir el deber de informar a los afectados previsto en el artículo 12 del RGPD 2016/679, de 27 de abril de 2016, en los términos referidos tanto en el citado artículo, como en los artículos 13 y 14 de dicha norma, resultando de aplicación -al no contradecir las disposiciones del referido Reglamento-, el modo previsto en el artículo 3 de la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el Tratamiento de Datos Personales con Fines de Vigilancia a través de Sistemas de Cámaras o Videocámaras (Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos). En concreto se deberá: 1. Colocar en las zonas videovigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados. De acuerdo con lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679, de 27 de abril de 2016, en el distintivo informativo anteriormente citado deberá identificarse, al menos, la existencia de un tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en dichos preceptos. 2. Mantener a disposición de los afectados la información a la que se refiere el citado Reglamento (UE) 2016/679, de 27 de abril de 2016. IV Se imputa a HRAA la vulneración del artículo 5 RGPD, Principios relativos al tratamiento, que dispone lo siguiente: “1. Los datos personales serán:
  2. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»); Por otra parte, la nueva Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), en su artículo 22, Tratamiento con fines de videovigilancia, apartado 1, establece que: “1. Las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. Y en su apartado 8 señala que: “8. El tratamiento por el empleador de datos obtenidos a través de sistemas de cámaras o videocámaras se somete a lo dispuesto en el artículo 89 de esta ley orgánica”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 El artículo 89 “Derecho a la intimidad frente al uso de dispositivos de videovigilancia y de grabación de sonidos en el lugar de trabajo”, en su apartado 2, determina que: “2. En ningún caso se admitirá la instalación de sistemas de grabación de sonidos ni de videovigilancia en lugares destinados al descanso o esparcimiento de los trabajadores o los empleados públicos, tales como vestuarios, aseos, comedores y análogos”. Los hechos denunciados se concretaban en la instalación de un sistema de videovigilancia con cámaras en distintas dependencias del HRAA, algunas de las cuales no contenían la debida señalización y vulnerando la normativa en materia de protección de datos y el derecho a la intimidad de los trabajadores. De acuerdo con las manifestaciones efectuadas por el representante del responsable del establecimiento denunciado con posterioridad al acuerdo de inicio de este procedimiento sancionador, se ha procedido a la nueva instalación de la cámara/s de video vigilancia en espacios que se pretende proteger, cesando cualquier afectación al derecho de los trabajadores en los lugares destinados a su descanso o esparcimiento. V El artículo 83.5
  3. a)del RGPD, considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. La LOPDGDD en su artículo 72 indica: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  4. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679” No obstante, el artículo 58.2 del REPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  5. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 Por tanto, el RGPD, sin perjuicio de lo establecido en su artículo 83, contempla en su artículo 58.2
  6. b)la posibilidad de acudir al apercibimiento para corregir los tratamientos de datos personales que no se adecúen a sus previsiones. Respecto a cuándo es procedente optar por una u otra vía, la aplicación del artículo 83 del RGPD o la medida de apercibimiento del artículo 58.2.b), la propia norma en su Considerando 148 del Reglamento 2016/679 que establece lo siguiente: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” VI Hay que señalar que tras el requerimiento efectuado a la parte reclamada se ha acreditado que el sistema de videovigilancia instalado ha sido modificado de manera que aquella/s cámara/s que vulneraba/n la normativa en materia de protección de datos y que eran objeto de controversia han sido reinstaladas, aportando prueba documental que constata su correcta instalación en especial de aquella que captaba las imágenes de los trabajadores en la dependencia destinada a comedor de los mismos. De la misma forma, no se insta la adopción de ninguna medida concreta a tomar, ya que se ha acreditado la adopción de medidas para la correcta instalación del sistema de videovigilancia y su adaptación a los nuevos principios que ha supuesto el RGPD. Para concluir, teniendo en cuenta la ausencia de intencionalidad, la ausencia de daños y perjuicios, el comportamiento y las medidas adoptadas por el responsable del tratamiento atenúan más si cabe su culpabilidad en el presente caso, por lo que procede sancionar con el apercibimiento. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a HOTEL ROYAL AL ANDALUS S.A., con NIF A81479107, por una infracción del artículo 5.1
  7. c)del RGPD, sancionada conforme a lo dispuesto en el artículo 83.5 del citado RGPD y, calificada de muy grave en el artículo 72.1
  8. a)de la LOPDGDD, una sanción de APERCIBIMIENTO de conformidad con lo previsto en el artículo 58.2.
  9. b)del RGPD. SEGUNDO: NOTIFICAR la presente resolución al HOTEL ROYAL AL ANDALUS S.A. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 y, conforme al art. 77.2 del RGPD, INFORMAR al reclamante sobre el resultado de la reclamación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 114.1
  10. c)de la LPACAP, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  11. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.