← España

PS-00353-2018

1/15 938-0419 Procedimiento Nº: PS/00353/2018 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 29 de mayo de 2018 tiene entrada en esta Agencia escrito de Don A.A.A. (en adelante, el reclamante) comunicando la instalación de una cámara de videovigilancia por parte del titular del “PUB MONTALITROS” en cada una de las fachadas del edificio, en concreto en la fachada delantera situada en la ***DIRECCION.1, donde está la entrada principal del local, y en la fachada trasera situada en la ***DIRECCION.2, donde se encuentra una salida exclusiva para el personal del local. El reclamante afirma que ambas cámaras apuntan directamente a la vía pública, abarcando la situada en la entrada principal también la zona del portal del reclamante, mientras que la colocada en la parte trasera no sólo abarca la entrada trasera del establecimiento sino también el espacio público con bancos y árboles muy concurrido por viandantes. Añade que las cámaras se han instalado sin solicitar autorización ni informar a la Comunidad de Propietarios, a pesar de que ambas entradas del local son dobles y tienen espacio suficiente para poder situar las cámaras de videovigilancia sin obtener imágenes de la calle ni del portal. SEGUNDO: Con fechas 28 de junio y 7 de agosto de 2018, desde la Subdirección General de Inspección de Datos de esta Agencia se remitieron sendos requerimientos de información al mencionado establecimiento, en los que se requería al titular de la instalación para que acreditara que el tratamiento efectuado era conforme a la normativa de protección de datos y que, en particular, estaba debidamente señalizado y se había limitado la captación de imágenes de terrenos y viviendas colindantes o de cualquier otro espacio ajeno. Dichos envíos fueron devueltos ambos envíos por “Sobrante” con fechas 12 de julio y 29 de agosto de 2018 al no haber sido retirados de la Oficina de Correos por su destinatario, al que se había dejado aviso en el buzón después de resultar infructuosos por “Ausente” los intentos de entrega realizados. TERCERO: Con fecha 8 de enero de 2019 el Ayuntamiento de ***AYUNTAMIENTO.1 comunica, a requerimiento de esta Agencia, que la licencia del establecimiento denominado “PUB MONTALITROS, sito en la ubicación señalada en el antecedente de hecho primero anterior, figura a nombre de la entidad VENDING Y DISTRIBUCIÓN 2017, S.L., facilitando también su número de CIF. CUARTO: Con fecha 30 de enero de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador de APERCIBIMIENTO a VENDING Y DISTRIBUCIÓN 2017, S.L., (en adelante, el reclamado), de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es conformidad con lo previsto en el artículo 58.2.

  1. b)del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento General de Protección de Datos, (en adelante RGPD), por la presunta infracción del artículo 5.1.
  2. c)del citado Reglamento, tipificada en el artículo 83.5.
  3. a)del RGPD, Asimismo, en dicho acuerdo de inicio, de conformidad con lo en el artículo 58.2.
  4. d)del RGPD, se requería al reclamado para que, en el plazo de diez días hábiles, aportase ante la AEPD documentación gráfica, o cualquier medio de prueba que acreditara, que las cámaras se habían reorientado a fin no captar vía pública, o, en su caso que la zona videovigilada se limitaba estrictamente a los accesos del local, y que mostrara el lugar exacto de la fachada en que se encontraban instaladas ambas cámaras. También se le requería acreditar las imágenes realmente captadas desde cada una de las cámaras situadas en la fachada delantera y trasera, debiendo constar la fecha y hora con la que se correspondían las captaciones aportadas, para lo cual podrían aportarse fotografías de las imágenes recogidas por dichas cámaras, es decir fotografías o capturas de las imágenes visualizadas a través del monitor o dispositivo desde el que se visualizan. QUINTO: Notificado el citado acuerdo de inicio, con fecha 18 de febrero de 2018 el administrador único del reclamado presentó escrito de alegaciones en el que, en síntesis, negaba la comisión de la infracción imputada afirmando que las cámaras de videovigilancia captaban de forma mínima el espacio imprescindible de la vía pública necesario para la finalidad de vigilancia y seguridad del establecimiento. El reclamado aducía adjuntar documentación gráfica y archivos DAV que apoyaban dichas alegaciones al mostrar la ubicación de las cámaras y las imágenes del espacio realmente captado por las mismas, si bien únicamente aportaba una fotografía de una cámara cuya ubicación no identificaba, no adjuntando tampoco el documento de seguridad y su posterior adaptación. Asimismo, proponía la práctica de la documental referida a los documentos antes citados como no aportados y que se le dé traslado de la reclamación interpuesta y documentación adjuntada, así como inspecciones realizadas. SEXTO: Con fecha 27 de mayo de 2019, la instructora del procedimiento acordó la apertura de un período de práctica de pruebas, en cuyo marco se acordó practicar las siguientes pruebas: 1 Dar por reproducidos a efectos probatorios la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/03636/2018. 2 Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00353/2018 presentadas por l reclamado y la documentación que a ellas acompaña, que se limita a impresión fotográfica 20190207_174110_002.jpg, Doc 1. 3. Solicitar al reclamado contestación a los siguientes extremos y/o remisión de la documentación que a continuación se cita: 3.1 Envío de la siguiente documentación que NO se ha remitido junto con el escrito de alegaciones, y cuya fecha exacta debía acreditarse a fin de poder comprobar que se trataba de las fotografías y archivos obtenidos con anterioridad a la 3/15 fecha de presentación del citado escrito: Impresiones fotográficas de los documentos 1 a 8, archivos jpg; Documentos 9 y 10; Archivos DAV con las imágenes que realmente se captaban por esas cámaras; Documentos 11 y 12. 3.2 En cualquier caso, se solicitaba la remisión de documentación que probase la ubicación actual de las cámaras exteriores y el alcance real del espacio videovigilado por cada una de ellas, lo que debería acreditarse mediante fotografía o por otro medio que permitiese mostrar diferenciadamente las imágenes captadas por las cámaras exteriores, tal y como se visualizan en el monitor o sistema equivalente 3.3 Información facilitada de la existencia de una zona videovigilada mediante fotografías del cartel o carteles informativos en las que sea posible apreciar tanto su ubicación como los datos mostrados en los carteles. 3.4 Si se ha encargado a un tercero la visualización y tratamiento de las imágenes captadas por las cámaras, aportar copia del contrato suscrito. 3.5 Marca y modelo de las cámaras, aportando los documentos (manual de instalación, ficha técnica, factura o ticket de compra,…) que permitan verificar sus características técnicas, ubicación y fecha exacta de instalación de las mismas. 3.6 Copia de las comunicaciones remitidas a los empleados o sus representantes para informar de la finalidad de la instalación de las cámaras. a. Aclaración de si se graban las imágenes y plazo de conservación de las mismas, junto con el detalle de las medidas adoptadas para garantizar que sólo el personal autorizado accede a las grabaciones. 4. Solicitar al reclamado remisión de copia de toda la documentación acreditativa de las gestiones efectuadas ante la Comunidad de Propietarios a los efectos de obtener autorización para la instalación de las cámaras de videovigilancia situadas en la fachada del edificio, particularmente del Acta que recoja la autorización. A los efectos de la aportación de la información y documentación solicitadas, se concedía al reclamado un plazo de diez días hábiles, contados desde su notificación. En cuanto a la solicitud de traslado de la reclamación interpuesta y de las inspecciones realizadas, adjunto al escrito se remitía copia anonimizada de la siguiente documentación anterior al acuerdo de inicio del procedimiento sancionador: Copia de la reclamación; Traslado reclamación y requerimiento de documentación al PUB MONTALITROS; Comunicación al reclamante del traslado de la reclamación al PUB MONTALITROS, (en adelante, Bar Musical “MONTALITROS”); Reiteración del traslado de la reclamación y solicitud de información al citado PUB; Solicitud de información al Ayuntamiento de ***AYUNTAMIENTO.1 y contestación del mismo. El citado acuerdo de práctica de pruebas fue notificado al reclamado con fecha 4 de junio de 2019. SÉPTIMO: Con fecha 7 de junio de 2019 se registra de entrada escrito del Ayuntamiento de ***AYUNTAMIENTO.1 informando que, con motivo de una actuación practicada con fecha 18 de mayo de 2019 por el Grupo de Menores de la Policía Local de ***AYUNTAMIENTO.1 en el Bar Musical “MONTALITROS”, constataron, entre otros hechos, la existencia de dos cámaras de videovigilancia instaladas en las fachadas principal y posterior del establecimiento cubriendo las puertas de entrada y de emergencia del local, que, en función de la orientación observada, enfocaban un espacio de vía pública superior al mínimo necesario para controlar los accesos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es principal y posterior del local situados, respectivamente, en la ***DIRECCION.1 y ***DIRECCION.2 de ***AYUNTAMIENTO.1. Asimismo, en el informe se indica que durante la intervención policial los agentes intervinientes observaron que el local contaba con cartel indicativo de zona videovigilada ubicado en lugar visible al público y que en el interior del local había instaladas cuatro cámaras de videovigilancia. También se señala que el administrador único de la sociedad titular del establecimiento les manifestó que las cámaras eran de grabación y que las imágenes se recogían en un disco duro que se encontraba en una nave de la sociedad. OCTAVO: Con fecha 27 de junio de 2019 se registra de entrada en esta Agencia escrito de contestación del reclamado al requerimiento de práctica de prueba efectuado. En dicho escrito se aporta prueba documental (CD) conteniendo: documentos números 1 a 8, fotografías que muestran la ubicación de las cámaras situadas en las fachadas; documentos 9 y 10, archivos DAV que recogen las imágenes que realmente se captan por dichas cámaras; documento 11, consistente en el documento de seguridad de fecha 2 de febrero de 2018; documento 12, correspondiente a la solicitud de inscripción de fichero efectuada ante la AEPD el 7 de febrero de 2018; Documento 13, adaptación del documento de seguridad al RGPD de fecha 24 de septiembre de 2018; documento 14, referido al nombramiento de responsable de seguridad con fecha 18 de marzo de 2018; documentos 15 al 26, con los documentos firmados por quienes se indica son trabajadores del reclamado, en los que el reclamado les informa sobre las finalidades de seguridad y control laboral para las que se usan las imágenes captadas por el sistema de videoviglancia instalado en el mencionado establecimiento. NOVENO: Con fecha 1 de julio de 2019, tras efectuarse una conversión de formato a fin de poder visualizar en los sistemas de la Agencia el contenido de los documentos 9 y 10 presentados en un formato propietario, se constata que las imágenes aportadas se recogieron a las 17:25 horas del día 7 de febrero de 2019 por las cámaras situadas en las fachadas principal y trasera del mencionado Bar Musical, verificándose que: Las imágenes correspondientes a la cámara 1, colocada en la fachada que da a la ***DIRECCION.1 de ***AYUNTAMIENTO.1, además de recoger imágenes del ventanal y de la puerta principal del local también captan el ancho de toda la zona de acera en la zona de la acera. Las imágenes correspondientes a la cámara 7, colocada en la fachada trasera que da a la ***DIRECCION.2 de ***AYUNTAMIENTO.1, también recogen varios metros de la acera circundante a la fachada que llega hasta la puerta trasera. DÉCIMO: Con fecha 2 de julio de 2019 se formula propuesta de resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos, de conformidad con lo previsto en el artículo 58.2.
  5. b)del RGPD, se impusiera al reclamado una sanción de APERCIBIMIENTO por una infracción a lo previsto en el artículo 5.1.
  6. c)del RGPD, tipificada en el artículo 83.5.
  7. b)RGPD. Asimismo, se proponía, de conformidad con lo previsto en el artículo 58.2.
  8. d)del RGPD, que de no haberse acreditado la subsanación de la situación irregular en el momento de la resolución, ,la Directora de la Agencia Española de Protección de Datos ordenase al reclamado la adopción de las medidas necesarias para adecuar el 5/15 tratamiento de datos efectuado a través de las dos cámaras de videovigilancia colocadas en las fachadas exteriores del reseñado Bar Musical “MONTALITROS” al principio de minimización de datos. Para lo cual, la sociedad titular del mismo deberá, en el plazo de un mes a contar desde el siguiente a la notificación de la resolución del procedimiento: Remitir documentación gráfica o cualquier medio de prueba que acredite que se han reorientado las cámaras a fin no captar vía pública o, en su caso, que la zona videovigilada se limita a la estrictamente necesaria para controlar los accesos del local, pudiendo, además, utilizar máscaras de privacidad que impidan identificar a las personas que transitan por la vía pública. Asimismo, se deberá enviar documentación gráfica que muestre el lugar exacto de la fachada en que se encuentran instaladas ambas cámaras,   Acreditar las imágenes realmente captadas desde cada una de las cámaras situadas en la fachada delantera y trasera, debiendo constar la fecha y hora con la que se corresponden las captaciones aportadas. Para ello podrán aportarse fotografías o capturas de las imágenes recogidas que se visualizan a través del monitor o, en su caso, a través de formatos contenedores multimedia con la extensión indicada en la propuesta de resolución. UNDÉCIMO: Notificada la citada propuesta de resolución, con fecha 16 de julio de 2019 el administrador único del reclamado presentó escrito de alegaciones solicitando el archivo del procedimiento por inexistencia de infracción, aduciendo para ello: -Que el espacio de vía pública captado por las cámaras era el imprescindible para la finalidad de vigilancia y seguridad del establecimiento. Se indica “que se acompañan” impresiones fotográficas recogidas el 07/02/2019 que permiten observar los lugares en los que están instaladas las cámaras y su orientación hacia la zona de accesos del local, aunque como en las anteriores alegaciones, no se adjunta documentación alguna al escrito. Se añade que con posterioridad a esa fecha se reorientaron las cámaras, por lo que prácticamente no se capta acera o es la mínima indispensable. - Que tras la actuación de fecha 18/05/2019 del Grupo de Menores de la Policía Local de ***AYUNTAMIENTO.1 “las cámaras instaladas en dicho establecimiento ya no están grabando ninguna imagen, sino que tan sólo tienen una función disuasoria, pero realmente no captan imágenes”. Se aduce en que durante esa actuación la Policía Local no visionó ninguna imagen captada por las cámaras, por lo que cualquier opinión o informe sobre el espacio de vía pública que se capta o enfoca por las mismas son conjeturas no avaladas por ninguna prueba. - El establecimiento se encuentra cerrado al público en la actualidad sin ningún tipo de actividad. Paralelamente, se propone la apertura de periodo de práctica de pruebas para practicar: 1) prueba documental consistente en la aportación de imágenes de lo que captan las cámaras tras la reorientación realizada después del 7 de febrero de 2019, para lo cual solicita ampliación de plazo; 2) facilitación del informe de la Unidad de Menores de la Policía Local relativo a la actuación del 18 de mayo de 2018. DUODÉCIMO: Con fecha 19 de julio de 2019 la Instructora del procedimiento contestó la solicitud de ampliación de plazo solicitada por el reclamado para practicar las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es pruebas propuestas en el siguiente sentido: “en virtud de lo establecido en el artículo 32.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), SE ACUERDA: No ampliar el plazo para practicar la prueba consistente en el ”envío de las imágenes que se podrían captar tras la reorientación de las cámaras”. Dicho acuerdo se produce al haber transcurrido el periodo de práctica de prueba de DIEZ DÍAS HÁBILES acordado con fecha 27 de mayo de 2019, conforme a lo previsto en el artículo 77 de la LAPCAP, y cuya notificación se efectuó a esa empresa el día 4 de junio de 2019. A lo que se suma que dicha documentación podría haber sido aportada junto con el escrito de alegaciones anteriormente citado, conforme se le notificó en la propuesta de resolución del PS/00353/2018 al señalar que “Se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 en relación con el artículo 73.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas.” Contra este acuerdo no cabe recurso alguno, de conformidad con lo establecido en el artículo 32.3 de la LPACAP. Por otra parte, de conformidad con lo dispuesto en el artículo 53.1.
  9. a)de la LPACAP, adjunto se remite copia del informe de la Unidad de Menores de la Policía Local de ***AYUNTAMIENTO.1 relativo a la actuación del 18 de mayo de 2019 solicitado en el reseñado escrito de alegaciones.” El citado escrito, al que se acompañaba un Anexo con impresión de la documentación solicitada, fue notificado al reclamado por medios electrónicos con fecha 22 de julio de 2019. DECIMOTERCERO: A la vista de todo lo actuado, en el presente procedimiento consideran acreditados los siguientes, se HECHOS PROBADOS 1) Con fecha 29 de mayo de 2018 se registra de entrada ante esta Agencia reclamación contra el Bar Musical “MONTALITROS por la instalación de dos cámaras de videovilancia en la fachada delantera y trasera del edificio en cuyo bajo se encuentra dicho local que, según el reclamante, en lugar de apuntar directamente hacia las puertas principal y trasera del establecimiento, están orientadas hacia la vía pública captando el espacio público circundante a cada uno de los citados accesos así como el portal de entrada al edificio. La entrada principal del local está situada en la fachada del edificio que da a la ***DIRECCION.1 de ***AYUNTAMIENTO.1 mientras que la puerta trasera está situada en la fachada que da a la ***DIRECCION.2 de dicha localidad, lugar donde hay una zona con bancos y árboles muy concurrida por vecinos y viandantes. 2) La sociedad VENDING Y DISTRIBUCIÓN 2017, S.L., (el reclamado), es titular de la licencia de apertura del Bar Musical “MONTALITROS”, sito en ***DIRECCION.1 de 7/15 ***AYUNTAMIENTO.1, siendo Don B.B.B. administrador único de la referida sociedad mercantil. 3) El reclamado es responsable del tratamiento derivado de la captación y grabación de imágenes a través del sistema de videovigilancia instalado en el reseñado local, el cual está integrado por un total de seis cámaras de videovigilancia y un grabador que almacena las imágenes por periodos cíclicos que no superan los veinte días. De las seis cámaras, dos están instaladas en la fachada principal y trasera del establecimiento y otras cuatro están colocadas en el interior del Bar Musical “MONTALITROS” 4) De la documentación gráfica obrante en el expediente se desprende que en los dos accesos al citado establecimiento se encuentra colocado un distintivo de zona videovigilada. 5) Con motivo de la actuación practicada, con fecha 18 de mayo de 2019, por el Grupo de Menores de la Policía Local de ***AYUNTAMIENTO.1 en el reseñado Bar Musical “MONTALITROS” se recibe informe en esta Agencia, de fecha 29 de mayo de 2019, en el que, entre otros extremos, se indica que: - Los agentes actuantes constataron la instalación de dos cámaras de videovigilancia situadas en las fachadas principal y trasera en la que se encuentran ubicadas las puertas de entrada principal y trasera del citado local. Añadían que a la vista de la orientación del enfoque de los citados dispositivos no sólo se recogían imágenes de los accesos al local sino que también se captaban imágenes de la vía pública que también enfocaban. - Que el administrador único de la sociedad titular del establecimiento manifestó a los agentes actuantes que las cámaras eran de grabación y que las imágenes se recogían en un disco duro que se encontraba en una nave de la sociedad. 6) Con fecha 1 de julio de 2019 se visualizan unas imágenes aportadas por el reclamado que muestran las imágenes captadas a las 17:25 horas del día 7 de febrero de 2019 por las cámaras de videovigilancia situadas en la fachada principal y trasera del mencionado Bar Musical “MONTALITROS”. Se verifica que las imágenes correspondientes a la cámara 1, colocada en la fachada principal, además de recoger imágenes del ventanal y de la puerta principal del local también captan el ancho de toda la zona de acera. A su vez, se comprueba que las imágenes correspondientes a la cámara 7, colocada en la fachada trasera, recogen varios metros de la acera circundante a la fachada que llega hasta la puerta trasera. FUNDAMENTOS DE DERECHO I En virtud de los poderes que los artículos 55.1, 56.2 y 58.2.
  10. b)y
  11. d)del RGPD reconocen a cada autoridad de control, y según lo establecido en los artículos 47 y 48.1 de la LOPDPGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es El artículo 63.2 de la LOPDGDD establece que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II La captación de imágenes de personas físicas identificadas o identificables a través de cámaras de videovigilancia, o de otros sistemas de captación, con la finalidad de garantizar la seguridad de personas, bienes e instalaciones constituye un tratamiento de datos de carácter personal. El tratamiento de imágenes a través de un sistema de videovigilancia para ser conforme con la normativa vigente de protección de datos ha de respetar los principios de limitación de la finalidad y minimización de datos que recogen los apartados
  12. b)y
  13. c)del artículo 5.1 del RGPD. En el presente supuesto se dilucida si el tratamiento de imágenes con fines de videovigilancia efectuado por el reclamado pudiera exceder del ámbito privado del establecimiento de pública concurrencia de su titularidad. Téngase en cuenta que las cámaras de videovigilancia instaladas para fines de seguridad en espacios privados no pueden captar imágenes de espacios públicos, puesto que de conformidad con la Ley Orgánica 4/1997, de 4 de agosto, por la que se regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad, y su Reglamento de desarrollo, aprobado mediante Real Decreto 596/1999, de 16 de abril, la captación de imágenes de la vía pública con fines de seguridad debe realizarse por las Fuerzas y Cuerpos de Seguridad. Al igual que el responsable de los tratamientos con fines de videovigilancia no puede captar espacios privados propiedad de terceros sin el consentimiento de sus titulares o, en su caso, de las personas que en ellos se encuentren, tampoco puede tratar imágenes de la vía pública con fines de seguridad por ser un tratamiento reservado a las Fuerzas y Cuerpos de Seguridad. Por ello, el responsable del tratamiento con fines de videovigilancia deberá adoptar las medidas necesarias para que las cámaras se orienten hacia los espacios privados objeto de vigilancia. No obstante, en algunas ocasiones la protección de los espacios privados sólo es posible si las cámaras se ubican en espacios como las fachadas. A veces también resulta necesario captar los accesos, puertas o entradas, de modo que, aunque la cámara se encuentre en el interior del edificio, resulta imposible no registrar mínima e imprescindible de la vía pública, que inevitablemente se capta. Para que esta excepción resulte aplicable, no deberá existir una posibilidad de instalación alternativa. Debiendo tenerse en cuenta que: 9/15 - El responsable del tratamiento de los datos realizado a través de cámaras y/o videocámaras adecuará el uso de la instalación, de modo que el impacto en los derechos de los viandantes sea el mínimo posible. - En ningún caso se admitirá el uso de prácticas de vigilancia más allá del entorno objeto de la instalación y en particular, no pudiendo afectar a los espacios públicos circundantes, edificios contiguos y vehículos distintos de los que accedan al espacio vigilado. - En todo caso deberá evitarse cualquier tratamiento de datos innecesario para la finalidad perseguida. Sin embargo, de la valoración del conjunto de elementos de prueba obrantes en el procedimiento, se desprende que el reclamado, responsable del tratamiento de imágenes resultante del sistema de videovigilancia instalado en el establecimiento de su titularidad, capta imágenes de la vía pública a través de las dos cámaras de videovigilancia colocadas en las fachadas principal y posterior del local, las cuales también son grabadas. Esta conducta lleva a imputar al reclamado la vulneración de lo previsto en el artículo 5.1.
  14. c)del RGPD, que establece, respecto de los “Principios relativos al tratamiento”, lo siguiente: “1. Los datos personales serán:
  15. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»); Por su parte, el artículo 22 de la LOPDGDD, bajo la rúbrica “Tratamientos con fines de videovigilancia”, establece en sus apartados 1, 2 y 5 que: “1. Las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. 2. Solo podrán captarse imágenes de la vía pública en la medida en que resulte imprescindible para la finalidad mencionada en el apartado anterior. No obstante, será posible la captación de la vía pública en una extensión superior cuando fuese necesario para garantizar la seguridad de bienes o instalaciones estratégicos o de infraestructuras vinculadas al transporte, sin que en ningún caso pueda suponer la captación de imágenes del interior de un domicilio privado. (…) 5. Al amparo del artículo 2.2.
  16. c)del Reglamento (UE) 2016/679, se considera excluido de su ámbito de aplicación el tratamiento por una persona física de imágenes que solamente capte n el interior de su propio domicilio. Esta exclusión no abarca el tratamiento realizado por una entidad de seguridad privada que hubiera sido contratada para la vigilancia de un domicilio y tuviese acceso a las imágenes” III En este caso, del conjunto de la documentación obrante en el procedimiento, en especial de los vídeos contenidos en los ficheros aportados en fase de prueba por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es el reclamado mostrando las imágenes captadas, a las 17:25 horas del día 7 de febrero de 2019, por cada una de las dos cámaras de videovigilancia situadas en la fachada delantera (principal) y trasera del Bar Musical “MONTALITROS”, se evidencia que el tratamiento efectuado por el reclamado afecta a varios metros de la vía pública adyacente o circundante a dichas fachadas. Estas imágenes muestran que la cámara situada en la fachada principal no sólo estaba enfocando y captando imágenes del ventanal y de la puerta principal del local, sino que también recogía el ancho de toda la acera a la altura de la ***DIRECCION.1. Por su parte, la cámara colocada en la fachada trasera, que da a la ***DIRECCION.2 de ***AYUNTAMIENTO.1, recogía varios metros de la acera circundante a la fachada que alcanza hasta la puerta. En consecuencia, la propia prueba documental aportada por el reclamado enerva su alegato de que “Las cámaras de videovigilancia instaladas captan de forma mínima el espacio imprescindible de la vía pública necesario para la finalidad de vigilancia y seguridad del establecimiento”, y acredita la existencia de la conducta infractora. El reclamado no ha justificado en modo alguno que dicho tratamiento, que implica la captación, almacenamiento y grabación de las imágenes, lo que incluye las imágenes de los viandantes que pasan por la zona videovigilada, resulte imprescindible para las finalidades de vigilancia y seguridad pretendidas ni que resulte imposible evitarlo por razón de la ubicación de las cámaras, que podrían ser reorientadas para enfocar únicamente el espacio perimetral mínimo e imprescindible de la vía pública adyacente a las fachadas y puertas delantera y traseras de acceso al local, evitando así recoger imágenes de la vía pública con un alcance superior al necesario para la consecución de las mencionadas finalidades. En consecuencia, se considera constituye un tratamiento desproporcionado e innecesario de datos personales concernientes a los clientes y viandantes que transitan o permanecen por los espacios de la vía pública captados por cada una de las citadas cámaras de videovigilancia, conforme prueban los dos archivos aportados por el reclamado que muestran como estas cámaras exteriores enfocaban varios metros de la vía pública. En paralelo, de las manifestaciones y documentación aportada por el reclamado en fase de práctica de pruebas se evidencia que éste no ha reorientado las cámaras exteriores a fin de evitar el tratamiento desproporcionado de imágenes con datos personales procedentes de la zona de vía pública captada, que ocupa varios metros de las calles anteriormente reseñadas Por otra parte, del contenido del informe remitido con fecha 29 de mayo de 2019 por la Policía Local del Ayuntamiento de ***AYUNTAMIENTO.1 se desprende que las dos cámaras citadas no sólo continuaban instaladas en el reseñado local con fecha 18 de mayo de 2019, sino que seguían funcionando. Así, en el citado informe figura que durante la citada actuación policial el administrador único de la sociedad titular del establecimiento “al ser preguntado por los Agentes intervinientes sobre si las cámaras eran de visionado o de grabación, manifestó ser de grabación y que las imágenes se recogían en un disco duro que se encontraba en una nave de la sociedad, sin especificar la ubicación de la misma”. 11/15 En relación con dicho informe policial, se señala que el artículo 77.5, de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, bajo la rúbrica “Medios y período de prueba”, dispone lo siguiente: “5. Los documentos formalizados por los funcionarios a los que se reconoce la condición de autoridad y en los que, observándose los requisitos legales correspondientes se recojan los hechos constatados por aquéllos harán prueba de éstos salvo que se acredite lo contrario”. En cualquier caso, el reclamado en su escrito de alegaciones a la propuesta de resolución no ha acreditado mediante ningún medio de prueba las manifestaciones vertidas en el mismo. En especial, dada su directa vinculación con los hechos analizados, no ha probado las afirmaciones relativas a que con posterioridad al 18 de mayo de 2019 se reorientaron las dos cámaras de videovigilancia situadas en las fachadas delantera y trasera del establecimiento, al igual que no ha acreditado en forma alguna que dichos dispositivos hayan dejado de captar imágenes ni acreditado la fecha en que pasaron a desempeñar una función meramente disuasoria. En consecuencia, del conjunto de elementos de prueba disponibles en el procedimiento se considera que el reclamado vulnera el principio de minimización de datos recogido en el artículo 5.1.
  17. c)del RGPD al captar mediante las dos cámaras situadas en cada una de las fachadas del establecimiento imágenes de las vías públicas circundantes al lugar en que se sitúan los dos accesos y, consecuentemente, de los viandantes que transitan por esas zonas públicas adyacentes a las entradas y a las fachadas principal y posterior del establecimiento, toda vez que dicho tratamiento de datos personales procedentes de la vía pública, además de resultar competencia exclusiva de las Fuerzas y Cuerpos de seguridad, resulta inadecuado y excesivo al captar, en forma desproporcionada, imágenes de las personas físicas que se encuentran en la misma, cuando dicha información, que se mantiene grabada por períodos de 20 días, resulta innecesaria para cumplir la finalidad de videovigilancia pretendida respecto de las personas, bienes e instalaciones del interior del establecimiento. IV A los efectos de determinar la sanción que pudiera llevar aparejada la mencionada infracción han de tenerse en cuenta los siguientes preceptos: Los apartados b),
  18. d)e
  19. i)del artículo 58.2 del RGPD disponen lo siguiente: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  20. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” (...) “
  21. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es “
  22. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;” El artículo 83 del RGPD, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas”, en sus apartados 2 y 5.a), señala que: “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado2, letras
  23. a)a
  24. h)y j). (…) 5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
  25. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; “. Por su parte, el artículo 72.1.
  26. a)de la LOPDGDD establece que: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679, se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: 1. El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.” De acuerdo con lo razonado en anteriores Fundamentos de Derecho, ha quedado acreditada la vulneración del principio de minimización de datos por parte del reclamado. Dicha conducta constituye una infracción a lo previsto en el artículo 5.1.
  27. c)del RGPD en su relación con lo previsto en el artículo 22.1 y 2 de la LOPDGDD, tipificada en el artículo 83.5.
  28. a)del RGPD y calificada como muy grave a efectos de prescripción en el artículo 72.1.
  29. a)de la LOPDGDD, de cuya comisión resulta responsable el reclamado en su condición de responsable del tratamiento de videovigilancia derivado de la captación de imágenes de la vía pública a través de las dos cámaras instaladas en las fachadas principal y posterior del inmueble en el que se encuentra ubicado el Bar Musical “MONTALITROS”, recogiendo, por tanto, imágenes con datos personales de los viandantes que transitan por las dos calles a las que se orientan las citadas cámaras de videovigilancia. En virtud de los poderes que los artículos 56.2 y 58.2.
  30. b)del RGPD reconocen a cada autoridad de control, y según lo establecido en el artículo 47 de LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento con sanción de apercibimiento. En el presente caso, se estima adecuada la sanción de apercibimiento prevista en el artículo 58.2.
  31. b)del RGPD teniendo en cuenta las siguientes circunstancias: se trata de una sociedad cuya actividad principal no se encuentra vinculada con el tratamiento habitual de datos de carácter personal, ausencia de ánimo de lucro en la conducta infractora, dado que, sin perjuicio de la vulneración del mencionado principio 13/15 de minimización de datos, el tratamiento de imágenes de videovigilancia efectuado responde a fines de seguridad de personas, bienes e instalaciones, considerándose también que la multa administrativa que pudiera recaer con arreglo a lo dispuesto en el artículo 83.5.
  32. a)del RGPD constituiría una carga desproporcionada para dicha sociedad. A la vista de la infracción descrita, y no habiéndose acreditado por el reclamado la adopción de medidas para cesar en el tratamiento de datos excesivo y desproporcionado de imágenes de la vía pública (calles ***DIRECCION.1 y ***DIRECCION.2 de ***AYUNTAMIENTO.1) y de las personas que transitan por la zona controlada, el cual viene efectuando a través de las dos cámaras de videovigilancia situadas en las fachadas anterior y posterior del local, se considera oportuno aplicar lo establecido en el citado artículo 58.2.
  33. d)del RGPD, en orden a que por parte del reclamado, responsable del tratamiento analizado, se lleven a cabo las medidas técnicas y organizativas necesarias para que las operaciones del tratamiento se ajusten a lo dispuesto en el artículo 5.1.
  34. c)del RGPD en su relación con lo dispuesto en el artículo 22.1 y 2 de la LOPDGDD. A estos efectos se recuerda que los artículos 24.1 y 25.1 y 2 del RGPD establecen lo siguiente respecto de las obligaciones a cumplir por el responsable del tratamiento: “Artículo 24. Responsabilidad del responsable del tratamiento 1. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario.” “Artículo 25. Protección de datos desde el diseño y por defecto 1. Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados. 2. El responsable del tratamiento aplicará las medidas técnicas y organizativas apropiadas con miras a garantizar que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento. Esta obligación se aplicará a la cantidad de datos personales recogidos, a la extensión de su tratamiento, a su plazo de conservación y a su accesibilidad. Tales medidas garantizarán en particular que, por defecto, los datos personales no sean accesibles, sin la intervención de la persona, a un número indeterminado de personas físicas.” El reclamado deberá probar ante esta Agencia la realización de las medidas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es que se ordenen para ajustar las operaciones del tratamiento a lo previsto en el RGPD en el plazo de UN MES, computado desde el día siguiente hábil al de la notificación de la presente resolución, para lo cual aportará documentación gráfica o cualquier otro medio de prueba válido en derecho que permita verificar su implementación en forma fehaciente. Se advierte que en el caso de aportase formatos contenedores multimedia su extensión deberá ser “mp4” o “avi” a fin de resultar compatibles con los sistemas de la Agencia. Se observa que el apartado 6 del artículo 83 del RGPD, establece que: “6. El incumplimiento de las resoluciones de la autoridad de control a tenor del artículo 58, apartado 2, se sancionará de acuerdo con el apartado 2 del presente artículo con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.” El artículo 72.1.
  35. m)dispone que: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  36. m)El incumplimiento de las resoluciones dictadas por la autoridad de protección de datos competente en ejercicio de los poderes que le confiere el artículo 58.2 del Reglamento (UE) 2016/679.” Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a VENDING Y DISTRIBUCIÓN 2017, S.L., con NIF B24705121, de conformidad con lo previsto en el artículo 58.2.
  37. b)del RGPD, una sanción de APERCIBIMIENTO por una infracción a lo previsto en el artículo 5.1.
  38. c)del RGPD, tipificada en el artículo 83.5.
  39. b)RGPD. SEGUNDO: ORDENAR a VENDING Y DISTRIBUCIÓN 2017, S.L., con NIF B24705121, de conformidad con lo previsto en el artículo 58.2.
  40. d)del RGPD, la adopción de las medidas necesarias para adecuar el tratamiento de datos efectuado a través de las dos cámaras de videovigilancia colocadas en las fachadas exteriores del reseñado Bar Musical “MONTALITROS” al principio de minimización de datos. - Remitir documentación gráfica o cualquier medio de prueba que acredite que las cámaras se han reorientado a fin no captar vía pública, debiendo justificar la fecha en que se modificó el ángulo de captación de las mismas, o, en su caso, que la zona videovigilada se limita a la estrictamente necesaria para controlar los accesos del local. - Acreditar las imágenes realmente captadas desde cada una de las cámaras situadas en la fachada delantera y trasera, debiendo constar la fecha y hora con la que se corresponden las tomas aportadas. Para ello podrán aportarse fotografías o capturas de las imágenes recogidas que se visualizan a través del monitor, que también podrán presentarse en formatos contenedores multimedia con extensión compatible con los sistemas de la AEPD. - En su caso, justificar en forma fehaciente la fecha desde la cual las citadas cámaras no están operativas. 15/15 El reclamado deberá acreditar ante esta Agencia la cumplimentación de lo ordenado mediante cualquier prueba válida en derecho en el plazo de UN MES a contar desde el día siguiente hábil a la notificación de la presente resolución. TERCERO: NOTIFICAR la presente resolución a VENDING Y DISTRIBUCIÓN 2017, S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  41. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.