← España

PS-00348-2018

1/7 Procedimiento Nº: PS/00348/2018 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos ante SANCHEZ JOYEROS TEMPO 2016 SL, en virtud de reclamación presentada por A.A.A. (en adelante, el reclamante) / por propia iniciativa y en base a los siguientes: ANTECEDENTES PRIMERO: El 18/06/2018 ha tenido entrada en la Agencia Española de Protección de Datos escrito de D. A.A.A. (en lo sucesivo el denunciante), en el que denuncia a SANCHEZ JOYEROS TEMPO 2016, S.L. (en lo sucesivo SANCHEZ JOYEROS), por medio del cual manifiesta la existencia de instalación de cámara de videovigilancia en el citado establecimiento sobre la entrada al mismo captando imágenes de personas que circulan por la acera y posiblemente de los vehículos que circulan por la calzada, vulnerando el derecho a la intimidad. Aporta junto con su escrito de denuncia, fotografía de la ubicación de la cámara. SEGUNDO: SANCHEZ JOYEROS fue requerido por esta Agencia el 06/08/2018 para que acreditara en el expediente de referencia ***EXPEDIENTE.1, la documentación que acreditara que la instalación de la cámara era conforme a la normativa de protección de datos y que estaba debidamente señalizada. SANCHEZ JOYEROS en escrito de alegaciones de 12/09/2018 y 04/10/2018 contestó a este organismo aportando certificado de Alexma, S.A. empresa instaladora del sistema de grabación del establecimiento, resolución sobre reconocimiento de baja en el régimen especial de trabajadores por cuenta propia o autónomos del administrador único de la mercantil; escrito del administrador único en la que informaba de la baja de la actividad de la sociedad aportando el modelo 036 de baja en la actividad. No obstante, analizada la respuesta y documentación ofrecida por la mercantil consultado el RMC y Axesor se constata que la sociedad siegue activa y que en llamada telefónica realizada al establecimiento donde se encuentra instalada la cámara exterior denunciada, la dependiente que atiende a la inspectora actuante informó que el establecimiento comercial está abierto lo que demuestra que el establecimiento sigue operativo y tiene actividad. TERCERO: Con fecha 03/12/2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador por la presunta infracción del artículo 5.1

  1. c)del RGPD, de conformidad con lo previsto en el artículo 58 apartado 2º de la misma norma, considerando que la sanción que pudiera corresponder sería de APERCIBIMIENTO, sin perjuicio de lo que resultara de la instrucción. CUARTO: Consta diligencia del instructor de 06/02/2019 en la que se hace constar que el administrador único de la entidad SANCHEZ JOYEROS TEMPO 2016, S.L., se ha puesto en contacto telefónico para declarar que el citado negocio está dado de baja C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 como ya acreditó en la respuesta al requerimiento de información del Servicio de Inspección; que puede existir una cierta confusión al utilizar la misma denominación el nuevo negocio ubicado en el local comercial del que era administrador y que, no obstante, a la mayor brevedad aportara la prueba de la eliminación de la cámara colocada en la fachada del local. En e-mail de la misma fecha aporta fotografía de la fachada del local donde ya no figura la cámara. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes hechos probados: HECHOS PROBADOS PRIMERO: El 18/06/2018 tuvo entrada en la AEPD escrito del reclamante denunciando a SANCHEZ JOYEROS, declarando la existencia de cámara de videovigilancia en la fachada del citado establecimiento enfocando sobre la entrada al mismo captando imágenes de personas que circulan por la acera y posiblemente de los vehículos que circulan por la calzada, vulnerando el derecho a la intimidad. Aporta fotografía de la ubicación de la cámara. SEGUNDO: El administrador de la mercantil, que aporto la baja en el régimen especial de trabajadores por cuenta propia o autónomos y el modelo oficial 036 de baja en la actividad, en correo de 06/02/2019 ha aportado fotografía en la que se observa la eliminación de la cámara anterior. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II La disposición transitoria tercera de la nueva LOPDGDD establece: “Régimen transitorio de los procedimientos: 1. Los procedimientos ya iniciados a la entrada en vigor de esta ley orgánica se regirán por la normativa anterior, salvo que esta ley orgánica contenga disposiciones más favorables para el interesado.” El artículo 63.2 de la LOPDGDD indica: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 III Hay que señalar algunos de los requisitos que debe cumplir el tratamiento de imágenes a través de un sistema de videovigilancia para ser conforme con la normativa vigente: - Respetar el principio de proporcionalidad. - Cuando el sistema esté conectado a una central de alarma, únicamente podrá ser instalado por una empresa de seguridad privada que reúna los requisitos contemplados en el artículo 5 de la Ley 5/2014 de Seguridad Privada, de 4 de abril. - Las videocámaras no podrán captar imágenes de las personas que se encuentren fuera del espacio privado ya que el tratamiento de imágenes en lugares públicos sólo puede ser realizado, en su caso, por las Fuerzas y Cuerpos de Seguridad. Tampoco pueden captarse ni grabarse espacios propiedad de terceros sin el consentimiento de sus titulares, o, en su caso, de las personas que en ellos se encuentren. - Se deberá cumplir el deber de informar a los afectados previsto en el artículo 12 del RGPD 2016/679, de 27 de abril de 2016, en los términos referidos tanto en el citado artículo, como en los artículos 13 y 14 de dicha norma, resultando de aplicación -al no contradecir las disposiciones del referido Reglamento-, el modo previsto en el artículo 3 de la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el Tratamiento de Datos Personales con Fines de Vigilancia a través de Sistemas de Cámaras o Videocámaras (Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos). En concreto se deberá: 1. Colocar en las zonas videovigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados. De acuerdo con lo dispuesto en los artículos 13 y 14 del RGPD, en el distintivo informativo anteriormente citado deberá identificarse, al menos, la existencia de un tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en dichos preceptos. 2. Mantener a disposición de los afectados la información a la que se refiere el citado RGPD. IV Se imputa al reclamado la vulneración del artículo 5 RGPD, Principios relativos al tratamiento, que dispone lo siguiente: “1. Los datos personales serán:
  2. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»); También la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), en su artículo 22, Tratamiento con fines de videovigilancia, en sus apartados 1, 2, 4 y 5 establece que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 “1. Las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. 2. Solo podrán captarse imágenes de la vía pública en la medida en que resulte imprescindible para la finalidad mencionada en el apartado anterior. No obstante, será posible la captación de la vía pública en una extensión superior cuando fuese necesario para garantizar la seguridad de bienes o instalaciones estratégicos o de infraestructuras vinculadas al transporte, sin que en ningún caso pueda suponer la captación de imágenes del interior de un domicilio privado. (…) 4. El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información. En todo caso, el responsable del tratamiento deberá mantener a disposición de los afectados la información a la que se refiere el citado reglamento. (…) Los hechos denunciados se concretan en la instalación de una cámara de videovigilancia en la entrada del establecimiento captando imágenes de personas que circulan por la acera y posiblemente de los vehículos que circulan por la calzada, vulnerando el derecho a la intimidad. Hay que señalar que el administrador único de la mercantil aportó resolución sobre reconocimiento de baja en el régimen especial de trabajadores por cuenta propia o autónomos, aportando el modelo oficial 036 de baja en la actividad. No obstante, ha manifestado que se ha producido un cierto malentendido al ser utilizada la misma denominación por el nuevo negocio ubicado en el local comercial del que era administrador, habiendo aportado reportaje fotográfico en el ya no figura la cámara que ha sido causa del presente procedimiento y que estaba instalada en la parte superior de la fachada del local. V El artículo 83 del RGPD, Condiciones generales para la imposición de multas administrativas, en su apartado 5, letra
  3. a)señala que: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  4. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9”. Y el artículo 72 de la LOPDGDD, Infracciones consideradas muy graves, establece: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  5. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” No obstante, el artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  6. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)” Por tanto, el RGPD, sin perjuicio de lo establecido en su artículo 83, contempla en su artículo 58.2
  7. b)la posibilidad de acudir al apercibimiento para corregir los tratamientos de datos personales que no se adecúen a sus previsiones. Respecto a cuándo es procedente optar por una u otra vía, la aplicación del artículo 83 del RGPD o la medida correctora de apercibimiento del artículo 58.2.b), la propia norma en su Considerando 148 establece lo siguiente: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” VI Hay que señalar que la parte reclamada ha acreditado que la cámara instalada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 y que captaba imágenes de la acera ha sido eliminada, aportando prueba documental de lo manifestado. De la misma forma, no se insta la adopción de ninguna medida concreta a tomar, al haberse acreditado la adopción de las medidas oportunas para poner fin a la infracción puesta de manifiesto y su adaptación a los nuevos principios que ha supuesto el RGPD. Para concluir, teniendo en cuenta la ausencia de intencionalidad, la ausencia de daños y perjuicios, el comportamiento del reclamado colaborando con la Agencia en la solución de la incidencia producida y las medidas adoptadas atenúan más si cabe la culpabilidad en el presente caso, por lo que procede un apercibimiento. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a SANCHEZ JOYEROS TEMPO 2016, S.L., con NIF A81479107, por una infracción del artículo 5.1
  8. c)del RGPD, sancionada conforme a lo dispuesto en el artículo 83.5 del citado RGPD y, calificada de muy grave en el artículo 72.1
  9. a)de la LOPDGDD, una sanción de APERCIBIMIENTO de conformidad con lo previsto en el artículo 58.2.
  10. b)del RGPD. SEGUNDO: NOTIFICAR la presente resolución al SANCHEZ JOYEROS TEMPO 2016, S.L., y, conforme al art. 77.2 del RGPD, INFORMAR al reclamante, D. A.A.A., sobre el resultado de la reclamación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 114.1
  11. c)de la LPACAP, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  12. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica- C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.