PS-00349-2018

1/6 Procedimiento Nº: PS/00349/2018 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos ante D. A.A.A. y Dña. B.B.B. (en lo sucesivo los reclamados), en virtud de reclamación presentada por D. C.C.C. (en lo sucesivo el reclamante) y en base a los siguientes: ANTECEDENTES PRIMERO: El 11/06/2018 ha tenido entrada en la Agencia Española de Protección de Datos escrito del reclamante en el que reclama contra los reclamados, a través del cual pone de manifiesto sentirse intimidado por la grabación, a través de una cámara situada en el patio de la casa, enfocada hacia su terraza vulnerando su derecho a la intimidad. Aporta junto con su escrito de denuncia, fotografías acerca de la ubicación de las cámaras y de los puntos de vigilancia, aunque las imágenes tomadas no se aprecian correctamente debido a la borrosidad de las copias aportadas. SEGUNDO: Los reclamados fueron requeridos por esta Agencia para que acreditara en el expediente de referencia E/03631/2018, la documentación que acreditara que la instalación de videovigilancia era conforme a la normativa de protección de datos y que estaba debidamente señalizada. En escrito de alegaciones de 18/07/2018 contestaron a este organismo manifestando el denunciado los actos delictivos que venían sufriendo por parte del denunciante, hermano de su mujer y denunciada, derivado del procedimiento hereditario que se encuentra en fase de reparto. Manifiesta que el único fin del sistema de videovigilancia es que todas las imágenes obtenidas serán puestas a disposición de la autoridad judicial en caso de agresión; a continuación, indica de manera detallada que el sistema instalado se encuentra compuesto de tres carteles anunciadores de videovigilancia, un grabador, una cámara en patio privado de vivienda y dos en el exterior, a izquierda y derecha. Asimismo, junto al escrito aporta denuncia ante la policía por daños en moto, diligencias del juzgado de Fuengirola y escrito de la denunciada detallando la situación por la que atraviesan y copias de fotografías. TERCERO: Con fecha 04/12/2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador por la presunta infracción del artículo 5.1

1. c)del RGPD, de conformidad con lo previsto en el artículo 58 apartado 2º de la misma norma, considerando que la sanción que pudiera corresponder sería de APERCIBIMIENTO, sin perjuicio de lo que resultara de la instrucción. CUARTO: Los reclamados han aportado escrito en el que declaran que han eliminado el sistema de videovigilancia instalado en su vivienda, si bien señalando que en ningún momento habían captado imágenes de la vivienda colindante, aportando fotografías donde se observa el lugar donde había estado instalada la cámara. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El 11/06/2018 tuvo entrada en la AEPD escrito del reclamante declarando la existencia de cámara de videovigilancia en el patio de la vivienda captando imágenes y vulnerando su derecho a la intimidad. En las fotografías aportadas no se aprecia correctamente los señalado debido a sus deficiencias. SEGUNDO: Los reclamados en escrito de 8/07/2018 han manifestado que el sistema instalado se encuentra compuesto de tres carteles anunciadores de videovigilancia, un grabador, una cámara en patio privado de vivienda y dos en el exterior, a izquierda y derecha. Junto a su escrito aporta denuncia ante la policía por daños en moto, diligencias del juzgado de Fuengirola y escrito de la denunciada detallando la situación por la que atraviesan y fotografías captadas por las cámaras. TERCERO: Los reclamados en escrito de 04/01/2019 declara que se trata de una única vivienda unifamiliar sin división, que la zona captada por las imágenes es patio exterior de su propiedad. Se trata de una única casa, si bien a nombre de dos. En escrito posterior señala que las cámaras han sido retiradas, por lo que no puede aportar imágenes al no constar registro de éstas, aportando fotografías de donde se encontraron instaladas las cámaras. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II La disposición transitoria tercera de la nueva LOPDGDD establece: “Régimen transitorio de los procedimientos: 1. Los procedimientos ya iniciados a la entrada en vigor de esta ley orgánica se regirán por la normativa anterior, salvo que esta ley orgánica contenga disposiciones más favorables para el interesado.” El artículo 63.2 de la LOPDGDD indica: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” III Hay que señalar algunos de los requisitos que debe cumplir el tratamiento de imágenes a través de un sistema de videovigilancia para ser conforme con la normativa vigente: - Respetar el principio de proporcionalidad. 3/6 - Cuando el sistema esté conectado a una central de alarma, únicamente podrá ser instalado por una empresa de seguridad privada que reúna los requisitos contemplados en el artículo 5 de la Ley 5/2014 de Seguridad Privada, de 4 de abril. - Las videocámaras no podrán captar imágenes de las personas que se encuentren fuera del espacio privado ya que el tratamiento de imágenes en lugares públicos sólo puede ser realizado, en su caso, por las Fuerzas y Cuerpos de Seguridad. Tampoco pueden captarse ni grabarse espacios propiedad de terceros sin el consentimiento de sus titulares, o, en su caso, de las personas que en ellos se encuentren. - Se deberá cumplir el deber de informar a los afectados previsto en el artículo 12 del RGPD 2016/679, de 27 de abril de 2016, en los términos referidos tanto en el citado artículo, como en los artículos 13 y 14 de dicha norma, resultando de aplicación -al no contradecir las disposiciones del referido Reglamento-, el modo previsto en el artículo 3 de la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el Tratamiento de Datos Personales con Fines de Vigilancia a través de Sistemas de Cámaras o Videocámaras (Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos). En concreto se deberá: 1. Colocar en las zonas videovigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados. De acuerdo con lo dispuesto en los artículos 13 y 14 del RGPD, en el distintivo informativo anteriormente citado deberá identificarse, al menos, la existencia de un tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en dichos preceptos. 2. Mantener a disposición de los afectados la información a la que se refiere el citado RGPD. IV Se imputa al reclamado la vulneración del artículo 5 RGPD, Principios relativos al tratamiento, que dispone lo siguiente: “1. Los datos personales serán:
2. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»); También la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), en su artículo 22, Tratamiento con fines de videovigilancia, en sus apartados 1, 2, 4 y 5 establece que: “1. Las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. 2. Solo podrán captarse imágenes de la vía pública en la medida en que resulte imprescindible para la finalidad mencionada en el apartado anterior. No obstante, será posible la captación de la vía pública en una extensión superior cuando fuese necesario para garantizar la seguridad de bienes o instalaciones estratégicos o de infraestructuras vinculadas al transporte, sin que en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es ningún caso pueda suponer la captación de imágenes del interior de un domicilio privado. 3. Los datos serán suprimidos en el plazo máximo de un mes desde su captación, salvo cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En tal caso, las imágenes deberán ser puestas a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación. No será de aplicación a estos tratamientos la obligación de bloqueo prevista en el artículo 32 de esta ley orgánica. 4. El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información. En todo caso, el responsable del tratamiento deberá mantener a disposición de los afectados la información a la que se refiere el citado reglamento. 5. Al amparo del artículo 2.2.
3. c)del Reglamento (UE) 2016/679, se considera excluido de su ámbito de aplicación el tratamiento por una persona física de imágenes que solamente capten el interior de su propio domicilio. Esta exclusión no abarca el tratamiento realizado por una entidad de seguridad privada que hubiera sido contratada para la vigilancia de un domicilio y tuviese acceso a las imágenes. (…) Los hechos denunciados se concretan en la instalación de un sistema de videovigilancia en la vivienda destinada a la posible captación de imágenes en el exterior y en la vivienda vecina, vulnerando la normativa sobre protección de datos. V El artículo 83 del RGPD, Condiciones generales para la imposición de multas administrativas, en su apartado 5, letra
4. a)señala que: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
5. a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9”. Y el artículo 72 de la LOPDGDD, Infracciones consideradas muy graves, establece: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que 5/6 supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
6. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” No obstante, el artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
7. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)” Por tanto, el RGPD, sin perjuicio de lo establecido en su artículo 83, contempla en su artículo 58.2
8. b)la posibilidad de acudir al apercibimiento para corregir los tratamientos de datos personales que no se adecúen a sus previsiones. Respecto a cuándo es procedente optar por una u otra vía, la aplicación del artículo 83 del RGPD o la medida correctora de apercibimiento del artículo 58.2.b), la propia norma en su Considerando 148 establece lo siguiente: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” VI Hay que señalar que la parte reclamada ha acreditado que el sistema de videovigilancia instalado y que captaba imágenes ha sido eliminado, aportando prueba de lo manifestado. De la misma forma, no se insta la adopción de ninguna medida concreta a tomar, al haberse acreditado la adopción de las medidas oportunas para poner fin a la infracción puesta de manifiesto y su adaptación a los nuevos principios que ha supuesto el RGPD. Para concluir, teniendo en cuenta la ausencia de intencionalidad, la ausencia de daños y perjuicios, el comportamiento del reclamado colaborando con la Agencia en la solución de la incidencia producida y las medidas adoptadas atenúan más si cabe la culpabilidad en el presente caso, por lo que procede un apercibimiento. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es SE ACUERDA: PRIMERO: IMPONER a D. A.A.A. y Dña. B.B.B., con NIFs ***NIF.1 y ***NIF.2 respectivamente, por una infracción del artículo 5.1
9. c)del RGPD, sancionada conforme a lo dispuesto en el artículo 83.5 del citado RGPD y, tipificada de muy grave en el artículo 72.1
10. a)de la LOPDGDD, una sanción de APERCIBIMIENTO de conformidad con lo previsto en el artículo 58.2.
11. b)del RGPD. SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A. y Dña. B.B.B., y, conforme al art. 77.2 del RGPD, INFORMAR al reclamante, sobre el resultado de la reclamación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 114.1
12. c)de la LPACAP, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
13. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos