1/7 Expediente N.º: EXP202305682 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos, y en base a los siguientes, HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 13 de abril de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra BANCO SANTANDER, S.A. con NIF A39000013 (en adelante, la parte reclamada), por la instalación de un sistema de videovigilancia ubicado en sucursal ubicada en ***DIRECCIÓN.1, existiendo indicios de un posible incumplimiento de lo dispuesto en el artículo 5.1.
- c)y artículo 13 ambos del RGPD. Los motivos que fundamentan la reclamación son los siguientes: La parte reclamante manifiesta que la parte reclamada cuenta con una oficina en la ***DIRECCIÓN.1 y que en el exterior de dicha oficina se encuentra instalada una cámara de videovigilancia que pudiera captar de forma inadecuada la vía pública, sin que la cámara se encuentre debidamente señalizada mediante el preceptivo cartel informativo del tratamiento (videovigilancia), en el que se informe sobre el responsable del tratamiento, la finalidad del uso dado a las imágenes captadas y las vías para ejercer los derechos de acceso, rectificación, supresión, limitación del tratamiento y oposición. Aporta imágenes de la ubicación de la cámara y de la fachada de la oficina en la que se encuentra la cámara reclamada. Los documentos aportados, a efectos acreditativos son: - Reportaje fotográfico de la sucursal desde el exterior. - Enlace de una dirección de Google Maps donde redirige a la ubicación de la citada sucursal. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, fue recogido por el responsable, en fecha 5/05/2023, según certificado que figura en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 La parte reclamada no dio repuesta a la actuación de traslado y solicitud de información notificada. TERCERO: Con fecha 13/07/2023 de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: Con fecha 3/09/2024 la Directora de la AEPD acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 13 del RGPD y artículo 5.1.
- c)del RGPD, tipificados en el artículo 83.5.
- b)del RGPD y artículo 83.5.
- a)del RGPD. Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, LPACAP, la parte reclamada en fecha 26/09/2024 presentó escrito de alegaciones en el que, en síntesis, solicitaba que se acordase el archivo del expediente sancionador, manifestando su discrepancia con los hechos objeto de denuncia, y ello por cuanto entendía, que su sistema de video vigilancia cumple con las exigencias normativas al disponer de zona de exclusión y/o activación, de manera que apenas existe imagen de la vía pública. Y por lo que respecta al cartel anunciador de zona videovigilada, expone que el mismo se encuentra instalado en la entrada a la sucursal. Aporta Informe de fecha 23/05/2024, sobre Sistema de Video Vigilancia emitido por su Departamento de Seguridad Bancaria y Coordinación, que detalla: - Funcionamiento Sistema de Video Vigilancia. Protocolo de entrega de imágenes a Fuerza y Cuerpos de Seguridad o Jueces y Tribunales Sistema de Video Vigilancia de la Sucursal Bancaria de ***DIRECCIÓN.1. Evidencias (fotografías): 1. Puerta de acceso con cartel anunciador de zona video vigilada. 2. Cartel anunciador de Zona Video Vigilada. 3. Capturas de cámaras instaladas en la sucursal. 4. Monitor de visualización de imágenes. 5. Captura de cámara de fachada y pinhole donde se puede observar zona de exclusión y/o zona de activación. QUINTO: En fecha 20/12/2024 se dictó propuesta de resolución, si bien, exclusivamente por la infracción contemplada en el artículo 13 del RGPD: “Por lo que respecta al cartel anunciador de zona videovigilada y teniendo en cuenta nuevamente el “Informe sobre sistema de video vigilancia”, emitido por el Departamento de Seguridad Bancaria y Coordinación, en cuyo apartado Evidencias y dentro de este el n.º 1 y 2 denominados “Puerta de acceso con cartel anunciador de zona video vigilada” y “Cartel anunciador de Zona Video Vigilada”, el reclamado aporta tres fotografías que acreditan que el cartel no era suficientemente visible para todos los transeúntes. Y ello por cuanto, el mencionado cartel se encuentra adherido, por dentro, al cristal de la puerta de entrada a la sucursal bancaria, a la que se accede mediante un pequeño “soportal”. Para las personas que acceden a dicha sucursal si C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 es visible pero difícilmente para aquellas que simplemente transiten por la vía, por cuanto no se observa ningún otro cartel de zona video vigilada en la fachada o cristalera de la sucursal. Además, la imagen de la puerta de entrada a la sucursal, con el cartel adherido, no es muy clara a efectos de lectura, quizás por el reflejo del cristal; tanto es así que la reclamada ha aportado una evidencia completa del texto del cartel. Por tanto, de la documentación aportada por el reclamado no queda probado que el cartel de zona videovigilada sea visible para todos los transeúntes.” BANCO SANTANDER presentó, en fecha 14/01/2025, escrito de alegaciones frente a la propuesta de resolución, en el que en síntesis argumenta respecto al cartel anunciador de zona videovigilada que, “en la entrada de la sucursal se dispone de carteles anunciadores de zona videovigilada, donde se informa claramente y de forma totalmente visible sobre el ejercicio de derechos y dónde dirigirse a tal efecto.” HECHOS PROBADOS ÚNICO: Por lo que respecta al cartel anunciador de zona videovigilada la parte reclamada manifiesta que, en la entrada de la sucursal se dispone de carteles anunciadores de zona videovigilada, donde se informa claramente y de forma totalmente visible sobre el ejercicio de derechos y dónde dirigirse a tal efecto. Efectivamente, teniendo en cuenta el ya conocido “Informe sobre sistema de video vigilancia” y las 3 fotografías que aporta la parte reclamada, queda acreditado que el cartel no es suficientemente visible para todos los transeúntes. Y ello por cuanto, el mencionado cartel se encuentra adherido, por dentro, al cristal de la puerta de entrada a la sucursal bancaria, a la que se accede mediante un pequeño “soportal”. Para las personas que acceden a dicha sucursal si es visible, pero difícilmente para aquellas que simplemente transiten por esa calle, por cuanto no se observa ningún otro cartel de zona video vigilada en la fachada o cristalera de la sucursal. Además, la imagen de la puerta de entrada a la sucursal, con el cartel adherido, no es muy clara a efectos de lectura, quizás por el reflejo del cristal. Por tanto, de la documentación aportada por la parte reclamada no queda probado que el cartel de zona videovigilada sea visible para todos los transeúntes. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Obligaciones en materia de videovigilancia De conformidad con lo expuesto, el tratamiento de imágenes a través de un sistema de videovigilancia, para ser conforme con la normativa vigente, debe cumplir los requisitos siguientes: 1.- La personas físicas o jurídicas, públicas o privadas, pueden establecer un sistema de videovigilancia con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. Se ha de valorar si la finalidad pretendida puede lograrse de otra forma menos intrusiva para los derechos y libertades de los ciudadanos. Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios, considerando 39 del RGPD. 2.- Las imágenes obtenidas no puedan utilizarse para una finalidad ulterior incompatible con la que motivó la instalación del sistema de videovigilancia. 3.- Se deberá cumplir el deber de informar a los afectados previsto en los artículos 12 y 13 del RGPD, y 22 de la LOPDGDD, en los términos ya señalados. 4.- El tratamiento de las imágenes mediante la instalación de sistemas de cámaras o videocámaras deberá ser lícito y ajustarse al principio de proporcionalidad y al de minimización de datos, en los términos ya señalados. 5.- Las imágenes podrán conservarse por un plazo máximo de un mes, salvo en aquellos supuestos en que se deban conservar para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En este segundo supuesto, deberán ser puestas a disposición de la autoridad competente en un plazo máximo de 72 horas desde que se tuviera conocimiento de la existencia de la grabación. 6.- El responsable deberá llevar un registro de actividades de los tratamientos efectuados bajo su responsabilidad en el que se incluya la información a la que hace referencia el artículo 30.1 del RGPD. 7.- El responsable deberá realizar un análisis de riesgos o, en su caso, una evaluación de impacto en la protección de datos, para detectar los derivados de la implantación del sistema de videovigilancia, valorarlos y, en su caso, adoptar las medidas de seguridad apropiadas. 8.- Cuando se produzca una brecha de seguridad que afecte a los tratamientos de cámaras con fines de seguridad, siempre que exista riesgo para los derechos y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 libertades de las personas físicas, deberá notificarlo a la AEPD en un plazo máximo de 72 horas. Se entiende por brecha de seguridad la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizado a dichos datos. 9.- Cuando el sistema esté conectado a una central de alarma, únicamente podrá ser instalado por una empresa de seguridad privada que reúna los requisitos contemplados en el artículo 5 de la Ley 5/2014 de Seguridad Privada, de 4 de abril. La Agencia Española de Protección de Datos ofrece a través de su página web [https://www.aepd.es] acceso a: la legislación en materia de protección de datos personales, incluyendo el RGPD y la LOPDGDD (apartado “Informes y resoluciones” / “normativa”), la Guía sobre el uso de videocámaras para seguridad y otras finalidades, la Guía para el cumplimiento del deber de informar (ambas disponibles en el apartado “Guías y herramientas”). También resulta de interés, en caso de realizar tratamientos de datos de bajo riesgo, la herramienta gratuita Facilita (en el apartado “Guías y herramientas”), que, mediante unas preguntas concretas, permite valorar la situación del responsable respecto del tratamiento de datos personales que lleva a cabo, y en su caso, generar diversos documentos, cláusulas informativas y contractuales, así como un anexo con medidas de seguridad orientativas consideradas mínimas. III Conclusión En el caso que nos ocupa y de la documentación aportada en el escrito de reclamación, se desprende la instalación de un sistema de videovigilancia en el exterior de una sucursal perteneciente a la parte reclamada, BANCO SANTANDER. Respecto al cartel anunciador de zona videovigilada, la parte reclamada manifiesta: “en la entrada de la sucursal se dispone de carteles anunciadores de zona videovigilada, donde se informa claramente y de forma totalmente visible sobre el ejercicio de derechos y dónde dirigirse a tal efecto.” Del análisis de la evidencia aportada por la parte reclamada “Puerta de acceso con cartel anunciador de zona video vigilada”, que muestra la imagen de la fachada de la sucursal, se observa la existencia de un cartel que anuncia la zona video vigilada y que se encuentra pegado al cristal, por dentro, de la puerta de entrada. Por tanto, tal y como se declara en los hechos probados de esta resolución, si bien no ha podido acreditarse que exista un cartel que resulte visible para todos los transeúntes, tampoco puede considerarse probado que no esté establecido en tales condiciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 Y todo ello, teniendo en cuenta que “los principios inspiradores del orden penal son de aplicación, con ciertos matices, al Derecho Administrativo sancionador, dado que ambos son manifestaciones del ordenamiento punitivo del Estado”. Es decir, al ser la potestad sancionadora de la Administración una de las manifestaciones del ius puniendi o potestad sancionadora del Estado, es necesario que se expandan los principios y garantías del Derecho Penal al Derecho Administrativo sancionador, preservando las diferencias naturales de uno y otro procedimiento. Como consecuencia de lo anterior, el principio “in dubio pro reo”, que en caso de duda respecto de un hecho concreto obliga en todo caso a resolver dicha duda del modo más favorable al interesado, es de aplicación al Derecho Administrativo sancionador. La presunción de inocencia debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, pues el ejercicio del ius puniendi en sus diversas manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento y de acuerdo con lo señalado, por la Presidenta de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al BANCO SANTANDER y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 938-101224 Olga Pérez Sanjuán La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es