PS-00373-2020

1/10  Procedimiento Nº: PS/00373/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: La reclamación interpuesta por A.A.A., B.B.B., C.C.C. (en adelante, los reclamantes) tiene entrada con fecha 7 de mayo de 2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra D.D.D., con NIF ***NIF.1 (en adelante, la reclamada). Los motivos en que basa la reclamación son que el pasado 25 de octubre de 2018 los afectados visitaron el establecimiento comercial CALZEDONIA sito en Calle ***DIRECCIÓN.1 regentado por la reclamada, produciéndose la grabación de los mismos por parte del establecimiento mediante las cámaras de seguridad que allí están instaladas, sin que exista la más mínima indicación al respecto. Que las imágenes gráficas han sido transmitidas parcial e interesadamente y divulgado tanto en redes sociales en las que se llegó a colgar de forma anexa fotografías de la hija de uno de los afectados junto con su nieto menor de edad, como vía WhatsApp de forma multitudinaria. Que el tratamiento de los datos de carácter personal en el que los afectados son totalmente identificables ha sido ilegal, por cuanto se exponen y difunden las imágenes de su persona y sonidos de sus voces de forma pública y sin su consentimiento, atentando gravemente contra su intimidad personal, familiar, honor y propia imagen, siendo responsable del fichero y su tratamiento la denunciada. Que mediante burofax fechado en 26 de diciembre de 2018 los perjudicados ejercitaron derecho de oposición previsto en el artículo 34 del Real Decreto 1720/2007, de 21 de diciembre. Y, entre otra, anexa la siguiente documentación: o Copia de DNIs de los afectados. o Copia de la escritura de poder con título “escritura de poder para pleitos”. o Captura de pantalla de la web facebook.com donde consta el perfil con nombre E.E.E. y en el cual consta un vídeo cuya imagen coincide con la de uno de los vídeos aportados por la denunciante. o Copia de fotografía donde figura una mujer y dos niños. o Copia de justificante de envío de burofax en fecha 8 de enero de 2019 siendo remitente D. A.A.A. y siendo el destinatario la denunciada, con entre otras las siguientes manifestaciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/10 o o o Que ejercita el derecho de oposición. Que los responsables del fichero habrán de destruir las imágenes tomando además medidas oportunas para que cese su divulgación. Que el tratamiento de datos de carácter personal en el que el compareciente es totalmente identificable ha sido ilegal por cuanto se exponen y difunden las imágenes de su persona y sonidos de su voz de forma pública y sin su consentimiento. Adjunta copia de su DNI. Se adjunta copia del justificante de entrega del burofax a la denunciada en fecha 9 de enero de 2019. o Copia de justificante de envío de burofax en fecha 8 de enero de 2019 siendo remitente D. C.C.C. y siendo el destinatario la denunciada, con entre otras las siguientes manifestaciones: o o o Que ejercita el derecho de oposición. Que los responsables del fichero habrán de destruir las imágenes tomando además medidas oportunas para que cese su divulgación. Que el tratamiento de datos de carácter personal en el que el compareciente es totalmente identificable ha sido ilegal por cuanto se exponen y difunden las imágenes de su persona y sonidos de su voz de forma pública y sin su consentimiento. Adjunta copia de su DNI. Se adjunta copia del justificante de entrega del burofax a la denunciada en fecha 9 de enero de 2019. o Copia de justificante de envío de burofax en fecha 28 de diciembre de 2018 siendo remitente D. B.B.B. y siendo el destinatario la denunciada, con entre otras las siguientes manifestaciones: o o o Que ejercita el derecho de oposición. Que los responsables del fichero habrán de destruir las imágenes tomando además medidas oportunas para que cese su divulgación. Que el tratamiento de datos de carácter personal en el que el compareciente es totalmente identificable ha sido ilegal por cuanto se exponen y difunden las imágenes de su persona y sonidos de su voz de forma pública y sin su consentimiento. Adjunta copia de su DNI. Se adjunta copia de justificante fechado a 2 de enero de 2019 con el resultado de “No entregado por desconocido” en relación al burofax enviado con fecha 28 de diciembre de 2018 a la denunciada. Se adjunta copia de justificante de entrega en fecha 9 de enero de 2019 de burofax enviado a la denunciada con fecha 8 de enero de 2019. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/10 adelante LOPDGDD), con fecha de 21 de junio de 2020, en el seno del procedimiento de admisión E/05758/2019 se da traslado de esta reclamación sin que se haya obtenido respuesta. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: Con fecha 25 de septiembre de 2019, la reclamada remite a esta Agencia la siguiente información y manifestaciones: 1. Que con fecha 12 de febrero de 2018 la entidad SECURITAS DIRECT, S.A.U. procedió a la instalación del sistema de videovigilancia en el establecimiento comercial “CALZEDONIA” ubicado en la calle ***DIRECCIÓN.1 negocio regentado por la denunciada. Se aporta documento de inscripción del fichero en el registro General de Protección de Datos con fecha 03/03/2014 donde consta el nombre de la denunciada y como “Nombre Fichero”, “Videovigilancia”. Se aporta certificado de contratación electrónica de fecha 12 de febrero de 2018 donde constan como intervinientes SECURITAS DIRECT, S.A.U. y F.F.F. 2 Que cumple con el deber de información según distintivo ubicado en la zona interior del establecimiento en un lugar suficientemente visible para los usuarios. Que dicho distintivo incluye los datos de:     Identidad del responsable Domicilio ante el cual pueden ejercer los derechos Más información sobre el tratamiento de datos personales. Se aporta fotografía del cartel. 3 -Que la cámara es modelo CLOUD CAM PRO. Se aporta factura de SECURITAS DIRECT a nombre de LUCENTUM EXPORT IMPORT, S.L. donde consta:  “Fecha instalación”: 12/02/2018  “Dirección”: CALLE ***DIRECCIÓN.1 Se aporta guía del usuario de la cámara, donde consta: C/ Jorge Juan, 6 28001 – Madrid a. “Inicio de la aplicación “My Verisure” Introduzca su ID de usuario y su contraseña” a. Que la cámara dispone de una ranura para tarjetas de memoria SD. b. “Tipos de grabaciones. www.aepd.es sedeagpd.gob.es 4/10 Petición de video. Video guardado en la nube mediante una petición de grabación manual. Detección de audio. Video guardado en la nube por una grabación automática al detectar la cámara un sonido. …” c. “Descarga de videos. Puede descargar los videos en su teléfono móvil pulsando el icono. Durante el proceso tendrá la opción de compartir el vídeo en redes sociales, mediante correo electrónico, etc” d. “Tarjeta de memoria Utilice una tarjeta SD. El vídeo se guardará automáticamente en la tarjeta SD.” 4 -Que la cámara de seguridad se encuentra instalada en la parte superior del mostrador o zona de caja. Se aportan fotografías. 5 -Que la imagen captada por la cámara del establecimiento comercial se limita exclusivamente a la zona interior del mismo. Se aporta fotografía. 6. -Que no se ha procedido por parte del responsable del fichero a la difusión de las imágenes que denuncian captadas el día 25/10/2018 en redes sociales y vía WhatsApp. 7 -Que en todo momento se han adoptado las medidas necesarias tendentes a garantizar el tratamiento de datos personales, las libertades públicas y los derechos fundamentales de las personas físicas. 8 -Que por los hechos ocurridos el pasado 25 de octubre de 2018 derivaron en un procedimiento judicial ante del Juzgado de Primera Instancia e Instrucción número 2 de ***LOCALIDAD.1 donde resultan condenados dos de los tres denunciantes. Aporta copia de sentencia número 35/2018 del Juzgado de Primera Instancia e Instrucción número 2 de ***LOCALIDAD.1 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/10 9 -Que procedió a aportar la grabación del día 25 de octubre de 2018 en el procedimiento reseñado dentro del deber de colaboración con la Administración de Justicia. 10 -Que no pueden aportar informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares porque niegan que se haya producido incidencia por su parte, más allá de la colaboración con la Administración de Justicia. Con fecha 1 de julio de 2020, G.G.G. actuando en representación de los afectados en virtud de escritura de poder otorgada ante Notario, remite a esta Agencia la siguiente información y manifestaciones: 1. Que el vídeo fue publicado con fecha 14 de noviembre de 2018. “En cuanto a la fotografía de la hija de uno de los afectados, se publica en uno de los hilos aperturados al difundir el video en Facebook, con la misma fecha antes expresada o el día inmediatamente posterior. La fotografía utilizada es capturada a su vez del perfil de Facebook de la persona que aparece en la fotografía. A día de hoy se hace imposible determinar quién publica la fotografía porque los hilos de las conversaciones fueron eliminados a raíz de que la abogada que suscribe, pusiera de manifiesto la ilegalidad de la actuación tanto de quien publica como de quien comparte.” 1. Que la denunciada “…es la persona responsable del fichero, por cuanto las imágenes difundidas son grabadas en el local de negocio que regenta. De hecho reconoce en su declaración en el marco del Juicio Leve 12/2019 del Juzgado de Instrucción núm. 2 de ***LOCALIDAD.1, cuya grabación ponemos a su disposición si la estiman precisa: “…esto se nos va de las manos por un tema de seguridad, pero eso es un juicio aparte de este juicio. Eso ha salido en las redes, todo eso es verdad"” 2. “Doña H.H.H., mayor de edad, con DNI número ***NIF.1 y domicilio en Calle ***DIRECCIÓN.2. La Sra. H.H.H. es trabajadora por cuenta de la anterior en el establecimiento Calzedonia y es quien dice tener el video y las grabaciones de voz en su terminal móvil, según su declaración prestada en el atestado ***ATESTADO.1 en la Comisaría de Policía Nacional ***LOCALIDAD.1 que se adjunta”. 3. Aporta copia de última página de atestado 4353/18 del Cuerpo Nacional de Policía donde consta “Que la denunciante tiene en su poder la grabación de las cámaras de videovigilancia de la tienda, que además también tiene audio, donde se refleja todo Io acontecidos, la cual será mostrada ante la Autoridad Judicial cuando sea requerida para su visionado.”. Consta asimismo una firma manuscrita con el nombre H.H.H. Que respecto a la difusión del video por la aplicación WhatsApp quienes difunden inicialmente por esa vía son la reclamada y Doña H.H.H. 4. Con fecha 4 de junio de 2020, se remite requerimiento de información a la denunciada. La notificación se realiza por correo postal. El escrito se devuelve por el Servicio de Correos con la anotación de “Devuelto a Origen por Desconocido”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/10 Con fecha 31 de agosto de 2020, se remite requerimiento de información a FACEBOOK IRELAND LIMITED al objeto de conocer datos de la persona que ha subido el vídeo en redes sociales. La notificación se realiza por certificado internacional. A fecha de hoy la notificación no se ha recibido contestación. Con fecha 7 de septiembre de 2020, la Agencia Estatal de Administración Tributaria remite a esta Agencia la dirección fiscal de la denunciada. Con fecha 7 de septiembre de 2020, se remite requerimiento de información a la reclamada. La notificación se realiza por correo postal. No se recibe contestación CUARTO: Con fecha 19 de octubre de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 5.1.

1. c)del RGPD, tipificada en el artículo 83.5 del RGPD. QUINTO: Con fecha 12 de noviembre de 2020 se notifica el acuerdo de inicio de este procedimiento, mediante tablón edictal único, convirtiéndose el mismo en propuesta de resolución de conformidad con los artículos 64.2.
2. f)y 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), al no efectuarse alegaciones en el plazo indicado. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PRIMERO: El establecimiento comercial CALZEDONIA sito en Calle ***DIRECCIÓN.1 regentado por la reclamada, ha procedido a la grabación de imagen y voz de los reclamantes mediante las cámaras de seguridad que allí están instaladas, y las ha divulgado en redes sociales. SEGUNDO: La reclamada manifiesta que se trata de una cámara de seguridad que se encuentra instalada en la parte superior del mostrador o zona de caja TERCERO: Con fecha 12 de noviembre de 2020 se notifica el acuerdo de inicio de este procedimiento, convirtiéndose el mismo en propuesta de resolución de conformidad con los artículos 64.2.
3. f)y 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), al no efectuar alegaciones en el plazo indicado. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/10 II A título meramente informativo, cabe recordar algunos de los requisitos que debe cumplir el tratamiento de imágenes a través de un sistema de videovigilancia para ser conforme con la normativa vigente: - Respetar el principio de proporcionalidad. - Cuando el sistema esté conectado a una central de alarma, únicamente podrá ser instalado por una empresa de seguridad privada que reúna los requisitos contemplados en el artículo 5 de la Ley 5/2014 de Seguridad Privada, de 4 de abril. - Las videocámaras no podrán captar imágenes de las personas que se encuentren fuera del espacio privado ya que el tratamiento de imágenes en lugares públicos sólo puede ser realizado, en su caso, por las Fuerzas y Cuerpos de Seguridad. Tampoco pueden captarse ni grabarse espacios propiedad de terceros sin el consentimiento de sus titulares, o, en su caso, de las personas que en ellos se encuentren. - Se deberá cumplir el deber de informar a los afectados previsto en el artículo 12 del RGPD 2016/679, de 27 de abril de 2016, en los términos referidos tanto en el citado artículo, como en los artículos 13 y 14 de dicha norma, resultando de aplicación -al no contradecir las disposiciones del referido Reglamento-, el modo previsto en el artículo 3 de la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el Tratamiento de Datos Personales con Fines de Vigilancia a través de Sistemas de Cámaras o Videocámaras (Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos). En concreto se deberá: 1. Colocar en las zonas videovigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados. De acuerdo con lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679, de 27 de abril de 2016, en el distintivo informativo anteriormente citado deberá identificarse, al menos, la existencia de un tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en dichos preceptos. 2. Mantener a disposición de los afectados la información a la que se refiere el citado Reglamento (UE) 2016/679, de 27 de abril de 2016. Por otro lado, ha de señalarse que el artículo 5 apartado 1º letra
4. c)RGPD “Principios relativos al tratamiento” dispone que los datos personales serán tratados:
5. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados”. (minimización de datos). III C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/10 De conformidad con las evidencias de las que se dispone, se considera que la reclamada ha vulnerado el artículo 5.1
6. c)del RGPD, ya que ha grabado la imagen y voz de los reclamantes, en un establecimiento comercial de CALZEDONIA sito en Calle ***DIRECCIÓN.1 regentado por la reclamada, mediante las cámaras de seguridad allí instaladas, contraviniendo con ello el principio de minimización de datos, que exige que los mismos sean adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados, entendiendo que la grabación de la voz además de la imagen como medidas de seguridad contradicen claramente dicho principio. En segundo lugar, se manifiesta además, que las imágenes objeto del presente caso han sido subidas a diferentes páginas de internet, sin contar con el consentimiento de los reclamados. En este sentido, ha de señalarse que pese a las actuaciones de investigación realizadas por la Agencia Española de Protección de Datos, no ha sido posible averiguar quien es el autor de tales hechos. IV El artículo 83.5
7. a)del RGPD, considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía. V En virtud de lo establecido en el artículo 58.2 RGPD, la Agencia Española de Protección de Datos, en cuanto autoridad de control, dispone de un conjunto de poderes correctivos, entre los que se encuentra la potestad para imponer multas, en el caso de que concurra una infracción de los preceptos del RGPD. El artículo 58 apartado 2º RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
8. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
9. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; Se recuerda a la parte denunciada que las cámaras instaladas no pueden grabar la voz de los clientes al afectar sin causa justificada al derecho a la intimidad de terceros C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/10 sin legitimación y no tratarse de ninguno de los casos permitidos por la normativa en vigor, pudiendo en caso de no colaboración con este organismo, ser considerada una actitud entorpecedora, como elemento a valorar en orden a una sanción de naturaleza económica, lo que se le comunica a los efectos legales oportunos. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a D.D.D., con NIF ***NIF.1, por una infracción del artículo 5.1.
10. c)del RGPD, tipificada en el artículo 83.5 del RGPD, una sanción de apercibimiento. SEGUNDO: REQUERIR a la parte reclamada para que en el plazo de un mes acredite ante este organismo el cumplimiento de la adopción de las medidas técnicas u organizativas apropiadas acreditando un uso adecuado de las cámaras de seguridad de su establecimiento de conformidad con la normativa vigente, pero sin grabar la voz de sus clientes. TERCERO: NOTIFICAR la presente resolución a D.D.D.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
11. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/10 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es