1/5 Expediente N.º: EXP202206136 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 29 de mayo de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos contra 14 INDOOR, S.L. (MAE WEST) con NIF B93634087 (en adelante, la parte reclamada), por la instalación de un sistema de videovigilancia ubicado en CENTRO COMERCIAL B.B.B., ***DIRECCIÓN.1, existiendo indicios de un posible incumplimiento de lo dispuesto en el artículo 13 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD). La parte reclamante manifiesta que la parte reclamada es responsable de un establecimiento que cuenta en su interior con un sistema de videovigilancia, sin que se encuentre debidamente señalizado mediante los preceptivos carteles informativos de zona videovigilada. Aporta imágenes de la ubicación de las cámaras. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha denuncia a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el artículo 43.2 de la LPACAP en fecha 11 de junio de 2022, como consta en el certificado que obra en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal, que fue devuelta por el servicio de correos con la anotación “Devuelto a origen por sobrante (no retirado en oficina)” en fecha 30 de junio de 2022. En dicha notificación, se le recordaba su obligación de relacionarse electrónicamente con la Administración, y se le informaban de los medios de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios electrónicos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 TERCERO: Con fecha 13 de julio de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 26 de septiembre de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 del RGPD. QUINTO: Notificado el citado acuerdo de inicio, el reclamado presentó un escrito en el que, en síntesis, manifestaba que “(…) es responsable de un establecimiento que cuenta en su interior con un sistema de videovigilancia, que se encuentra debidamente señalizado mediante los preceptivos carteles informativos en lugares suficientemente visibles, así como en las entradas y salidas de las instalaciones, se adjuntan fotografías.” SEXTO: Con fecha 25 de octubre de 2022 la instructora del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por reproducidos, a efectos probatorios la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados por la Subdirección General de Inspección de Datos y las alegaciones presentadas por el reclamado. SÉPTIMO: Con fecha 27 de octubre de 2022 se formuló propuesta de resolución en la que, de conformidad con las evidencias de las que se disponía en el presente procedimiento sancionador, se consideraba que existen carteles, debidamente cumplimentados, informando de la instalación de cámaras. En base a lo anterior, procedía proponer el archivo de la reclamación interpuesta por la presunta infracción del artículo 13 del RGPD. En esta propuesta se concedía un plazo de 10 días para que el reclamado pudiera alegar cuanto considerase en su defensa así como presentar los documentos e informaciones que considerase pertinentes, de acuerdo con el artículo 89.2 de la LPACAP, sin que se haya recibido ninguna respuesta. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Con fecha 29 de mayo de 2022, tuvo entrada en esta Agencia Española de Protección de Datos una reclamación que pone de manifiesto que la parte reclamada es responsable de un establecimiento que cuenta en su interior con un sistema de videovigilancia, sin que se encuentre debidamente señalizado mediante los preceptivos carteles informativos de zona videovigilada. SEGUNDO: Existencia de carteles informativos de zona videovigilada en CENTRO COMERCIAL B.B.B., ***DIRECCIÓN.1. TERCERO: La parte reclamada ha aportado varias fotografías de los carteles informativos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del RGPD otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Con fecha 29 de mayo de 2022, tuvo entrada en esta Agencia Española de Protección de Datos una reclamación que pone de manifiesto que la parte reclamada es responsable de un establecimiento que cuenta en su interior con un sistema de videovigilancia, sin que se encuentre debidamente señalizado mediante los preceptivos carteles informativos de zona videovigilada. El artículo 5.1
- c)RGPD dispone que los datos personales serán “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»). Cabe recordar que los particulares son responsables de velar porque los sistemas instalados se ajusten a la legalidad vigente. Las cámaras deben estar orientadas hacia el espacio particular, evitando intimidar a vecinos colindantes con este tipo de dispositivos, así como controlar zonas de tránsito de los mismos sin causa justificada. Por parte de los particulares no se puede instalar aparatos de obtención de imágenes de espacio público, fuera de los casos permitidos en la normativa, al ser esta competencia exclusiva de las Fuerzas y Cuerpos de Seguridad del Estado. El tratamiento de imágenes a través de un sistema de videovigilancia, para ser conforme con la normativa vigente, debe cumplir los requisitos siguientes: - Respetar el principio de proporcionalidad. - Cuando el sistema esté conectado a una central de alarma, únicamente podrá ser instalado por una empresa de seguridad privada que reúna los requisitos contemplados en el artículo 5 de la Ley 5/2014 de Seguridad Privada, de 4 de abril. - Las videocámaras no podrán captar imágenes de las personas que se encuentren fuera del espacio privado en donde esté instalado el sistema de videovigilancia, ya que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 el tratamiento de imágenes en lugares públicos sólo puede ser realizado, salvo que concurra autorización gubernativa, por las Fuerzas y Cuerpos de Seguridad. Tampoco pueden captarse ni grabarse espacios propiedad de terceros sin el consentimiento de sus titulares, o, en su caso, de las personas que en ellos se encuentren. Esta regla admite alguna excepción ya que, en algunas ocasiones, para la protección de espacios privados, donde se hayan instalado cámaras en fachadas o en el interior, puede ser necesario para garantizar la finalidad de seguridad la grabación de una porción de la vía pública. Es decir, las cámaras y videocámaras instaladas con fines de seguridad no podrán obtener imágenes de la vía pública salvo que resulte imprescindible para dicho fin, o resulte imposible evitarlo por razón de la ubicación de aquéllas y extraordinariamente también se recogerá el espacio mínimo para dicha finalidad. Por lo tanto, las cámaras podrían excepcionalmente captar la porción mínimamente necesaria para la finalidad de seguridad que se pretende. - Se deberá cumplir el deber de informar a los afectados previsto en los artículos 12 y 13 del RGPD y 22.4 de la LOPDGDD. En concreto se deberá colocar en las zonas videovigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados, en el que se identificará, al menos, la existencia de un tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en dichos preceptos. Asimismo, deberá mantenerse a disposición de los afectados la información a la que se refiere el citado RGPD. - El responsable deberá llevar un registro de actividades de los tratamientos efectuados bajo su responsabilidad en el que se incluya la información a la que hace referencia el artículo 30.1 del RGPD. - Las cámaras instaladas no pueden obtener imágenes de espacio privativo de tercero y/o espacio público sin causa justificada debidamente acreditada, ni pueden afectar a la intimidad de transeúntes que transiten libremente por la zona. No está permitida, por tanto, la colocación de cámaras hacia la propiedad privada de vecinos con la finalidad de intimidarlos o afectar a su ámbito privado sin causa justificada. - En ningún caso se admitirá el uso de prácticas de vigilancia más allá del entorno objeto de la instalación y en particular, no pudiendo afectar a los espacios públicos circundantes, edificios contiguos y vehículos distintos de los que accedan al espacio vigilado. III El reclamado, en su escrito de alegaciones al acuerdo de inicio, ha manifestado que dispone de carteles informativos de zona videovigilada, aportando varias fotografías. IV En el presente caso, corresponde analizar la presunta ilicitud de la instalación de un sistema de videovigilancia en CENTRO COMERCIAL B.B.B., ***DIRECCIÓN.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 Los hechos probados ponen de manifiesto que existen carteles informativos de zona videovigilada. V Examinado el expediente en su conjunto, no ha quedado acreditada la existencia de ninguna infracción. Por lo tanto, de acuerdo con lo expuesto anteriormente, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ORDENAR el ARCHIVO de las presentes actuaciones al no quedar acreditada la comisión de infracción administrativa alguna. SEGUNDO: NOTIFICAR la presente resolución a 14 INDOOR, S.L. (MAE WEST). De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el artículo 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el artículo 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-181022 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es