1/11 Procedimiento Nº: PS/00354/2018 938-0319 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos ante GURMELIA S.C. (TAPERÍA ALBEDRÍO), en virtud de reclamación presentada por la Policía Local del Ayuntamiento de Lorca y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 5 de julio de 2018 se registra de entrada en esta Agencia escrito de la Policía Local del Ayuntamiento de Lorca dando cuenta que con motivo de la actuación policial efectuada, en el establecimiento público “TAPERÍA ALBEDRÍO”, sito en la ***DIRECCION.1, se constató lo siguiente: “Que los Agentes pertenecientes a mi mando, pertenecientes a la Unidad de Seguridad Administrativa, realizaron visita de inspección en el establecimiento reseñado, comprobando que efectivamente, hay instaladas cámaras de video vigilancia en la fachada del establecimiento reseñado. Que los Agentes observaron que estaban en pleno funcionamiento, captando imágenes de la vía pública y de la terraza del local. Que preguntado sobre la autorización de las mismas y de los ficheros, no la presentaron.” Junto al mencionado escrito se adjunta una fotografía mostrando una fachada con dos cámaras de videovigilancia, que en el informe se identifican como pertenecientes al mencionado establecimiento. Asimismo, se aporta copia del documento presentado por el representante legal de la Comunidad de Propietarios del Residencial Martín Carrillo ante el Ayuntamiento de Lorca, Concejalía de Seguridad Ciudadana, solicitando remisión de copia del Acta levantada con motivo de la actuación policial efectuada con fecha 21 de abril de 2018 en el citado establecimiento. SEGUNDO: Con fecha 12 de julio de 2018, por parte de los Servicios de Inspección de esta Agencia, se solicita al responsable del reseñado establecimiento documentación detallada que pueda acreditar que la instalación de videovigilancia es conforme a la normativa de protección de datos, efectuándose con fecha 9 de octubre de 2018 nueva solicitud de documentación adicional en relación con determinados aspectos no aclarados en la respuesta recibida con fecha 14 de agosto de 2018. Con fechas 14 y 22 de octubre de 2018 se registran de entrada sendos escritos de GURMELIA, S.C., sociedad titular del reseñado establecimiento y responsable del sistema de videovigilancia instalado en el mismo, de los que se desprenden los siguientes hechos: En relación con las características técnicas del sistema se aporta documentación de la empresa instaladora de la ubicación y tipo de cámaras instaladas y del periodo de grabación, en la que consta que el sistema de vigilancia CCTV instalado en el local está compuesto por un total de seis cámaras, cuatro de las cuales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/11 controlan distintas zonas del interior del local mientras que las dos cámaras restantes, situadas en la fachada exterior del edificio en el que se ubica el establecimiento, controlan la zona de mesas de la terraza y la zona Brioche, situadas ambas en la vía pública. El sistema graba las imágenes captadas por las cámaras en un disco duro que completa su capacidad en 8 días y 20 horas, transcurrido dicho plazo el sistema efectúa de forma automática la grabación de la nueva información sobre la ya almacenada. La entidad responsable del tratamiento, y titular del establecimiento, señala que la finalidad del tratamiento es la seguridad y vigilancia de personas y bienes, control de la actividad laboral y control horario del personal. Del reportaje fotográfico aportado, con imágenes efectuadas con fechas 25 de julio, 7 de agosto y 16 de octubre de 2018, se desprende que el local cuenta con carteles informativos de “Zona Videovigilada” tanto en el exterior del local como en el interior del mismo. El local ha aportado copia del impreso informativo puesto a disposición de los interesados, facilitando información sobre los datos de carácter personal obtenidos por las cámaras de videovigilancia instaladas en el establecimiento. De la impresión de imagen captada el 16 de octubre de 2018 por la cámara exterior que controla la zona Brioche, se constata que la cámara capta zonas de vía pública que superan la superficie ocupada por los elementos del mobiliario ubicado en dicho espacio. Desde el 10 de marzo de 2017 la sociedad titular del local dispone de autorización municipal para la ocupación de espacios de uso público con terrazas para instalar una serie de elementos en el número 1 de la calle ***DIRECCION.1. Asimismo, con fecha 18 de septiembre de 2018, dicha sociedad ha solicitado al Ayuntamiento de Lorca autorización para la ocupación de espacios de uso público con terrazas, en concreto, de una nueva terraza en el lateral del local (***DIRECCION.2). TERCERO: Con fecha 9 de enero de 2019, y de conformidad con lo previsto en el artículo 58.2.
- b)del citado RGPD la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a GURMELIA S.C. (TAPERÍA ALBEDRÍO (en adelante, el reclamado), por la presunta infracción del artículo 5.1.
- c)del RGPD, tipificada en el artículo 83.5.
- a)del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, (en lo sucesivo, RGPD), y calificada como muy grave a efectos de prescripción en el artículo 72.1.
- a)de la LOPDGDD, El citado acuerdo de inicio fue notificado a GURMELIA, S.C. con fecha 11 de enero de 2019, según consta en el certificado emitido por el Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada de la Fábrica Nacional de Moneda y Timbre-Real Casa de la Moneda. CUARTO: No consta que practicada la notificación, GURMELIA, S.C. haya ejercitado su derecho a formular alegaciones en el plazo concedido a tales efectos en el mencionado acuerdo de inicio, por lo que de conformidad con los artículos 64.2.
- f)de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/11 Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), se procede dictar resolución. HECHOS PROBADOS PRIMERO: Con fecha 5 de julio de 2018 se registra de entrada en esta Agencia escrito de denuncia dando cuenta de que con fecha 21 de abril de 2018 agentes pertenecientes a la Policía Local del Ayuntamiento de Lorca efectuaron una actuación policial en el establecimiento de pública concurrencia denominado “TAPERÍA ALBEDRÍO”, sito en la ***DIRECCION.1, constando en dicha denuncia lo siguiente: “Que los Agentes pertenecientes a mi mando, pertenecientes a la Unidad de Seguridad Administrativa, realizaron visita de inspección en el establecimiento reseñado, comprobando que efectivamente, hay instaladas cámaras de video vigilancia en la fachada del establecimiento reseñado. Que los Agentes observaron que estaban en pleno funcionamiento, captando imágenes de la vía pública y de la terraza del local. Que preguntado sobre la autorización de las mismas y de los ficheros, no la presentaron.” SEGUNDO: GURMELIA, S.C., sociedad titular de la actividad de la “TAPERÍA ALBEDRÍO”, ostenta, asimismo, la condición de responsable del tratamiento derivado de la captación y grabación de imágenes a través del sistema de videovigilancia instalado en el reseñado local. TERCERO: El sistema de videovigilancia, según certificado emitido con fecha 31 de marzo de 2017 por la empresa de seguridad instaladora del mismo, presenta las siguientes características técnicas: El sistema de vigilancia CCTV se compone de los siguientes elementos: Dos cámaras controlando la panorámica del restaurante; Una cámara controlando la zona de almacén; Una cámara controlando la zona de manipulado de la cocina; Una cámara controlando las mesas de la zona Brioche; Una cámara controlando una panorámica de las mesas de la terraza; NVR IP8 para 8 cámaras IP, con disco duro de un TB. El sistema graba las imágenes captadas por las cámaras en un disco duro que completa su capacidad en 8 días y 20 horas, transcurrido dicho plazo el sistema efectúa de forma automática la grabación de la nueva información sobre la ya almacenada. CUARTO: GURMELIA, S.C. ha manifestado que la finalidad del tratamiento es la seguridad y vigilancia de personas y bienes, control de la actividad laboral y control horario del personal. Asimismo, dicha sociedad ha acreditado que el local cuenta con carteles informativos de “Zona Videovigilada” situados en el exterior del local como en el interior del mismo, en los que se identifica al responsable del tratamiento y facilita su dirección postal y electrónica. Asimismo, dispone de impresos informativos puestos a disposición de los interesados en los que aparece la información prevista en el artículo 13 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/11 QUINTO: Constan en el expediente, entre otra, la siguiente documentación gráfica: - Fotografía aportada por la Policía Local del Ayuntamiento de Lorca, que ésta identifica como de la fachada de la “TAPERÍA ALBEDRÍO”, en la que hay dos cámaras de videovigilancia orientadas hacia la vía pública. - Captura de imagen captada el 16 de octubre de 2018 por la cámara exterior que controla la zona Brioche, donde se visualiza que la zona de vía pública captada no sólo supera la superficie ocupada por los elementos del mobiliario ubicado en dicho espacio, sino que abarca prácticamente toda la anchura de la acera de la calle hacia la que apunta la cámara de videovigilancia. FUNDAMENTOS DE DERECHO I En virtud de los poderes que los artículos 55.1, 56.2 y 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. El artículo 63.2 de la LOPDGDD indica: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II El artículo 64.2.
- f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, de 2 de octubre de 2015, en adelante LPACAP, dispone que: “El acuerdo de iniciación deberá contener al menos: (…)
- f)Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y de los plazos para su ejercicio, así como indicación de que, en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada.” (el subrayado corresponde a la AEPD). En el presente caso, se han observado tales prescripciones, ya que en el acuerdo de inicio se advertía de lo dispuesto en el artículo 64.2.
- f)de la LPACAP, se concretaba la presunta infracción cometida junto con su correspondiente tipificación, se determinaba la sanción de apercibimiento a imponer, en su caso, con arreglo a los criterios tenidos en cuenta en función de las evidencias obtenidas a esa fecha y se fijaban determinadas medidas en orden a lo dispuesto en el artículo 58.2.
- d)del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/11 RGPD. En consideración a lo expuesto y de conformidad con lo establecido en el artículo 64.2.
- f)de la LPACAP, el acuerdo de inicio del presente procedimiento sancionador es considerado Propuesta de Resolución, toda vez que contenía un pronunciamiento preciso acerca de la responsabilidad imputada y, tras su notificación en la forma descrita en el antecedente de hecho tercero, el reclamado no ha formulado alegaciones al mismo en el plazo concedido a tales efectos. III La captación de imágenes de personas físicas identificadas o identificables a través de cámaras de videovigilancia, o de otros sistemas de captación, con la finalidad de garantizar la seguridad de personas, bienes e instalaciones constituye un tratamiento de datos de carácter personal que, con arreglo a lo previsto en el artículo 6.1.
- e)del RGPD, encuentra su legitimación en el cumplimiento de una misión de interés público. El tratamiento de imágenes a través de un sistema de videovigilancia para ser conforme con la normativa vigente de protección de datos ha de respetar los principios de limitación de la finalidad y minimización de datos que recogen los apartados
- b)y
- c)del artículo 5.1 del RGPD. En el presente supuesto se dilucida si el tratamiento de imágenes con fines de videovigilancia efectuado por el reclamado pudiera exceder del ámbito privado del establecimiento de pública concurrencia de su titularidad. Téngase en cuenta que las cámaras de videovigilancia instaladas para fines de seguridad en espacios privados no pueden captar imágenes de espacios públicos, puesto que de conformidad con la Ley Orgánica 4/1997, de 4 de agosto, por la que se regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad, y su Reglamento de desarrollo, aprobado mediante Real Decreto 596/1999, de 16 de abril, la captación de imágenes de la vía pública con fines de seguridad debe realizarse por las Fuerzas y Cuerpos de Seguridad. Al igual que el responsable de los tratamientos con fines de videovigilancia no puede captar espacios privados propiedad de terceros sin el consentimiento de sus titulares o, en su caso, de las personas que en ellos se encuentren, tampoco puede tratar imágenes de la vía pública con fines de seguridad por ser un tratamiento reservado a las Fuerzas y Cuerpos de Seguridad. Por ello, el responsable del tratamiento con fines de videovigilancia deberá adoptar las medidas necesarias para que las cámaras se orienten hacia su propiedad privada. No obstante, en algunas ocasiones la protección de los espacios privados, condición de la que no goza la terraza y la zona de brioche del establecimiento situadas en la vía pública, sólo es posible si las cámaras de las fachadas o del interior captan una porción de vía pública mínima e imprescindible para cumplir la finalidad de seguridad o, en su caso, resulte imposible evitarlo por la situación de las cámaras. A veces resulta necesario captar los accesos, puertas o entradas, de modo que resulta inevitable no registrar la zona de la vía pública que se capta. Para que esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/11 excepción resulte aplicable, no deberá existir una posibilidad de instalación alternativa, debiendo tenerse en cuenta que: - El responsable del tratamiento de los datos realizado a través de cámaras y/o videocámaras adecuará el uso de la instalación, de modo que el impacto en los derechos de los viandantes sea el mínimo posible. - En ningún caso se admitirá el uso de prácticas de vigilancia más allá del entorno objeto de la instalación y en particular, no pudiendo afectar a los espacios públicos circundantes, edificios contiguos y vehículos distintos de los que accedan al espacio vigilado. - En todo caso deberá evitarse cualquier tratamiento de datos innecesario para la finalidad perseguida. Sin embargo, consta en el procedimiento que el reclamado, responsable del tratamiento de imágenes resultante del sistema de videovigilancia instalado en el establecimiento de tu titularidad, capta imágenes de la vía pública, que también son grabadas, a través de las dos cámaras de videovigilancia colocadas en la fachada del local. Esta conducta lleva a imputar al reclamado la vulneración de lo previsto en el artículo 5.1.
- c)del RGPD, que establece, respecto de los “Principios relativos al tratamiento”, lo siguiente: “1. Los datos personales serán:
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»); Por su parte, el artículo 22 de la LOPDGDD, bajo la rúbrica “Tratamientos con fines de videovigilancia”, establece en sus apartados 1 y 2 que: “1. Las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. 2. Solo podrán captarse imágenes de la vía pública en la medida en que resulte imprescindible para la finalidad mencionada en el apartado anterior. No obstante, será posible la captación de la vía pública en una extensión superior cuando fuese necesario para garantizar la seguridad de bienes o instalaciones estratégicos o de infraestructuras vinculadas al transporte, sin que en ningún caso pueda suponer la captación de imágenes del interior de un domicilio privado.” IV En este caso, tanto de las actuaciones practicadas, con fecha 21 de abril de 2018, por la Policía Local del Ayuntamiento de Lorca en el establecimiento de pública concurrencia denominado “TAPERÍA ALBEDRIO”, sito en la ***DIRECCION.1, como de la documentación gráfica aportada por el reclamado en agosto y octubre de 2018 al contestar los requerimientos de información que le fueron efectuados desde esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/11 Agencia con posterioridad a la recepción de la reclamación, se evidencia que el tratamiento de datos personales resultante de las imágenes captadas por las dos cámaras situadas en la fachada del citado establecimiento afecta a espacios públicos. Esta afirmación se sustenta en que dichos dispositivos enfocan hacia la zona de vía pública en la que se encuentran situadas la terraza y la zona denominada “brioche” del local, recogiendo y, en consecuencia, tratando imágenes tanto de los clientes o personas físicas (datos personales) que se encuentran en los espacios de acera ocupada por instalaciones del reclamado como de los viandantes que transitan por la zona de acera libre de dicho mobiliario que también se capta por dichas cámaras. A este respecto se observa, que en el escrito formulado el 27 de junio de 2018 por el Subinspector-Jefe de la Policía Local del Ayuntamiento de Lorca se da cuenta de: “Que los Agentes pertenecientes a mi mando, pertenecientes a la Unidad de Seguridad Administrativa, realizaron vista de inspección en el establecimiento reseñado, comprobando que efectivamente, hay instaladas cámaras de videovigilancia en la fachada del Establecimiento reseñado. Que los Agentes observaron que estaban en pleno funcionamiento captando imágenes de la vía pública y de la terraza del local”. Junto a este escrito, la Policía Local adjunta una fotografía de la fachada del referido local, que muestra dos cámaras de videovigilancia pertenecientes al reseñado establecimiento que están orientadas hacia la vía pública en lugar de apuntar al acceso del local o a la zona aledaña de la fachada del mismo. En relación con dicho documento, se señala que el artículo 77.5, de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, bajo la rúbrica “Medios y período de prueba”, dispone lo siguiente: “5. Los documentos formalizados por los funcionarios a los que se reconoce la condición de autoridad y en los que, observándose los requisitos legales correspondientes se recojan los hechos constatados por aquéllos harán prueba de éstos salvo que se acredite lo contrario”. En paralelo, la documentación aportada por el reclamado también prueba el tratamiento desproporcionado de imágenes en relación con la finalidad de seguridad pretendida, Así, del certificado aportado, emitido con fecha 31 de marzo de 2017 por la empresa instaladora del sistema de videovigilancia del local, se desprende que la zona de mesas de terraza y Brioche están controladas por dos cámaras de videovigilancia, mientras que la imagen tomada el 16 de octubre de 2018 desde la cámara que capta la zona denominada “Brioche” refleja que dicho dispositivo apunta no sólo al espacio de vía pública ocupado por dicha instalación sino también a la zona de acera aledaña que es captada en su totalidad. En consecuencia, del conjunto de elementos de prueba disponibles en el procedimiento se considera que GURMELIA, S.C. vulnera el principio de minimización de datos recogido en el artículo 5.1.
- c)del RGPD al captar mediante las dos cámaras de la fachada, y grabar después, imágenes de los clientes situados en instalaciones del local que ocupan la vía pública y de los viandantes que transitan por la acera circundante al espacio público ocupado por las mismas y a la fachada del local, toda vez que dicho tratamiento de datos personales en la vía pública, además de resultar competencia exclusiva de las Fuerzas y Cuerpos de seguridad, resulta inadecuado y excesivo al captar, en forma desproporcionada, imágenes de las personas físicas que se encuentran en la misma, cuando dicha información resulta innecesaria para cumplir C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/11 la finalidad de videovigilancia pretendida respecto de las personas, bienes e instalaciones del interior del establecimiento. V Los apartados b),
- d)e
- i)del artículo 58.2 del RGPD disponen lo siguiente: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
- b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” (...) “
- d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;” “
- i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;” El artículo 83 del RGPD, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas”, en sus apartados 2 y 5.a), señala que: “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado2, letras
- a)a
- h)y j). (…) 5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; “. Por su parte, el artículo 72.1.
- a)de la LOPDGDD establece que: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679, se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.” De acuerdo con lo razonado en anteriores Fundamentos de Derechos, ha quedado acreditada la vulneración del principio de minimización de datos por parte del reclamado. Dicha conducta constituye una infracción a lo previsto en el artículo 5.1.
- c)del RGPD en su relación con lo previsto en el artículo 22.1 y 2 de la LOPDGDD, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/11 tipificada en el artículo 83.5.
- a)del RGPD y calificada como muy grave a efectos de prescripción en el artículo 72.1.
- a)de la LOPDGDD, de cuya comisión resulta responsable el reclamado en su condición de responsable del tratamiento de videovigilancia derivado de la captación de imágenes de la vía pública a través de las dos cámaras instaladas en la fachada de la “TAPERÍA ALBEDRÍO”. En virtud de los poderes que los artículos 56.2 y 58.2.
- b)del RGPD reconocen a cada autoridad de control, y según lo establecido en el artículo 47 de LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento con sanción de apercibimiento. Para ello se tienen en cuenta las siguientes circunstancias: se trata de una sociedad cuya actividad principal no se encuentra vinculada con el tratamiento habitual de datos de carácter personal, ausencia de intencionalidad y de ánimo de lucro en la conducta infractora, dado que, sin perjuicio de la vulneración del mencionado principio de minimización de datos, el tratamiento de imágenes de videovigilancia efectuado responde a fines de seguridad de personas, bienes e instalaciones, considerándose también que la multa administrativa que pudiera recaer con arreglo a lo dispuesto en el artículo 83.5.
- a)del RGPD constituiría una carga desproporcionada para dicha sociedad. Confirmada la infracción descrita, y no constando probado en el procedimiento que GURMELIA, S.C., una vez recibido el acuerdo de inicio del presente procedimiento sancionador, haya adoptado medidas para cesar en el tratamiento de datos excesivo y desproporcionado de imágenes que viene efectuando captando imágenes de la vía pública a través de las dos cámaras de videovigilancia situadas en la fachada del local, se considera oportuno aplicar lo establecido en el citado artículo 58.2.
- d)del RGPD en orden a que por parte de GURMELIA, S.C., responsable del tratamiento analizado, se lleven a cabo las medidas técnicas y organizativas necesarias para que las operaciones del tratamiento se ajusten a lo dispuesto en el artículo 5.1.
- c)del RGPD en su relación con lo dispuesto en el artículo 22.1 y 2 de la LOPDGDD. A estos efectos se recuerda que los artículos 24.1 y 25.1 y 2 del RGPD establecen lo siguiente respecto de las obligaciones a cumplir por el responsable del tratamiento: “Artículo 24. Responsabilidad del responsable del tratamiento 1. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario.” “Artículo 25. Protección de datos desde el diseño y por defecto 1. Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/11 determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados. 2. El responsable del tratamiento aplicará las medidas técnicas y organizativas apropiadas con miras a garantizar que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento. Esta obligación se aplicará a la cantidad de datos personales recogidos, a la extensión de su tratamiento, a su plazo de conservación y a su accesibilidad. Tales medidas garantizarán en particular que, por defecto, los datos personales no sean accesibles, sin la intervención de la persona, a un número indeterminado de personas físicas.” Las medidas ordenadas para ajustar las operaciones del tratamiento a lo previsto en el RGPD, habrán de adoptarse en el plazo de UN MES, computado desde la fecha en la que se notifique la resolución sancionadora, debiendo acreditarse su cumplimiento en ese mismo plazo mediante la aportación de documentación gráfica o cualquier otro medio de prueba válido en derecho que permita comprobar el cumplimiento de las medidas ordenadas. Paralelamente, se observa que el apartado 6 del artículo 83 del RGPD, establece que “6. El incumplimiento de las resoluciones de la autoridad de control a tenor del artículo 58, apartado 2, se sancionará de acuerdo con el apartado 2 del presente artículo con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.” El artículo 72.1.
- m)dispone que: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
- m)El incumplimiento de las resoluciones dictadas por la autoridad de protección de datos competente en ejercicio de los poderes que le confiere el artículo 58.2 del Reglamento (UE) 2016/679.” De acuerdo con lo señalado, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a GURMELIA S.C. (TAPERÍA ALBEDRÍO), con NIF ***NIF.1, sanción de APERCIBIMIENTO por una infracción del artículo 5.1.
- c)del RGPD en su relación con lo previsto en el artículo 22.1. y 2 de la LOPDGDD, tipificada en el artículo 83.5.
- a)del RGPD y calificada como muy grave a efectos de prescripción en el artículo 72.1.
- a)de la LOPDGDD, SEGUNDO: ORDENAR a GURMELIA S.C. (TAPERÍA ALBEDRÍO), de acuerdo con lo dispuesto en el artículo 58.2.
- d)del RGPD, que en el plazo de UN MES aporte ante esta Agencia documentación que permita: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/11 5.1. Remitir documentación gráfica o cualquier medio de prueba que acredite que, como responsable del sistema de videovigilancia, ha reorientado las dos cámaras situadas en la fachada a fin no captar vía pública, o que la captación de la misma se limita a la zona inmediatamente aledaña a los accesos al establecimiento o a la zona estrictamente necesaria de la fachada del local. 5.2. Remisión de cualquier medio de prueba que permita visualizar las imágenes mostradas a través del monitor con origen en cada una de las dos cámaras exteriores descritas, debiendo constar la fecha y hora con la que se corresponden las captaciones aportadas. Para ello podrán aportarse fotografías de las imágenes recogidas por las cámaras, es decir fotografías o capturas de las imágenes visualizadas a través del monitor o dispositivo desde el que se visualizan. TERCERO: NOTIFICAR la presente resolución a GURMELIA, S.C. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 114.1
- c)de la LPACAP, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es