1/6 Procedimiento Nº: PS/00375/2018 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos ante TODOFUNDICION, S.L., en virtud de reclamación presentada por A.A.A. y en base a los siguientes: ANTECEDENTES PRIMERO: El 31/07/2018 ha tenido entrada en la Agencia Española de Protección de Datos escrito de D. A.A.A. (en lo sucesivo el reclamante), en el que denuncia a TODOFUNDICION, S.L. (en lo sucesivo TODOFUNDICION), por medio del cual manifiesta la existencia de cámara panorámica de videovigilancia con zoom y visión nocturna a la entrada al mismo captando imágenes de personas que circulan por la vía pública, vulnerando el derecho a la intimidad. Aporta junto con su escrito de denuncia, fotografías de la ubicación de la cámara. SEGUNDO: TODOFUNDICION fue requerido por esta Agencia el 16/09/2018 y 20/09/2018 en el ámbito del expediente E/05848/2018 la documentación que acreditara que la instalación de la cámara era conforme a la normativa de protección de datos y que estaba debidamente señalizada. TODOFUNDICION no ha alegado ni aportado documentación alguna en relación con los requerimientos formuladas por la Inspección de Datos. TERCERO: Con fecha 03/12/2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador por la presunta infracción del artículo 5.1
- c)del RGPD, de conformidad con lo previsto en el artículo 58.2 de la misma norma, considerando que la sanción que pudiera corresponder sería de APERCIBIMIENTO, sin perjuicio de lo que resultara de la instrucción. CUARTO: TODOFUNDICION notificado el acuerdo de inicio, no ha presentado escrito de alegación alguna, por lo que de conformidad con los artículos 64.2.
- f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), se procede dictar resolución. SEXTO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El 31/07/2018 el reclamante presenta escrito denunciando a TODOFUNDICION, por la instalación en la fachada del local de la citada empresa de una cámara panorámica de videovigilancia captando imágenes de personas que circulan por la vía pública sin que exista cartel alguno que avise de su existencia, vulnerando la normativa sobre protección de datos e intrusiva del derecho a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 intimidad de las personas; aporta fotografías en las que se observa el lugar donde se encuentra ubicada la citada cámara. SEGUNDO: TODOFUNDICION, ni a los requerimientos efectuados por el Servicio de Inspección en fechas 16/09/2018 y 20/09/2018, ni a la notificación del acuerdo de inicio del presente procedimiento, ha presentado alegación alguna en relación con los hechos que se le imputan. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Hay que señalar algunos de los requisitos que debe cumplir el tratamiento de imágenes a través de un sistema de videovigilancia para ser conforme con la normativa vigente: - Respetar el principio de proporcionalidad. - Cuando el sistema esté conectado a una central de alarma, únicamente podrá ser instalado por una empresa de seguridad privada que reúna los requisitos contemplados en el artículo 5 de la Ley 5/2014 de Seguridad Privada, de 4 de abril. - Las videocámaras no podrán captar imágenes de las personas que se encuentren fuera del espacio privado ya que el tratamiento de imágenes en lugares públicos sólo puede ser realizado, en su caso, por las Fuerzas y Cuerpos de Seguridad. Tampoco pueden captarse ni grabarse espacios propiedad de terceros sin el consentimiento de sus titulares, o, en su caso, de las personas que en ellos se encuentren. - Se deberá cumplir el deber de informar a los afectados previsto en el artículo 12 del RGPD 2016/679, de 27 de abril de 2016, en los términos referidos tanto en el citado artículo, como en los artículos 13 y 14 de dicha norma, resultando de aplicación -al no contradecir las disposiciones del referido Reglamento-, el modo previsto en el artículo 3 de la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el Tratamiento de Datos Personales con Fines de Vigilancia a través de Sistemas de Cámaras o Videocámaras (Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos). En concreto se deberá: 1. Colocar en las zonas videovigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados. De acuerdo con lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679, de 27 de abril de 2016, en el distintivo informativo anteriormente citado deberá identificarse, al menos, la existencia de un tratamiento, la identidad del responsable y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 la posibilidad de ejercitar los derechos previstos en dichos preceptos. 2. Mantener a disposición de los afectados la información a la que se refiere el citado Reglamento (UE) 2016/679, de 27 de abril de 2016. III Se imputa a TODOFUNDICION la vulneración del artículo 5 RGPD, Principios relativos al tratamiento, que dispone lo siguiente: “1. Los datos personales serán: (…)
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»); También la nueva Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), en su artículo 22, Tratamiento con fines de videovigilancia, en sus apartados 2 y 4, establece que: (…) “2. Solo podrán captarse imágenes de la vía pública en la medida en que resulte imprescindible para la finalidad mencionada en el apartado anterior. No obstante, será posible la captación de la vía pública en una extensión superior cuando fuese necesario para garantizar la seguridad de bienes o instalaciones estratégicos o de infraestructuras vinculadas al transporte, sin que en ningún caso pueda suponer la captación de imágenes del interior de un domicilio privado. (…) 4. El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información. En todo caso, el responsable del tratamiento deberá mantener a disposición de los afectados la información a la que se refiere el citado reglamento”. Los hechos denunciados se concretan en la instalación en el exterior del establecimiento donde la mercantil desarrolla su actividad de una cámara panorámica de videovigilancia que capta imágenes de la vía publica sin que exista cartel alguno que avise de su existencia, vulnerando la normativa sobre protección de datos e intrusiva del derecho a la intimidad de las personas. Hay que señalar que TODOFUNDICION no ha dado respuesta a los requerimientos formuladas por la Inspección de Datos en la fase de actuaciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 previas y que notificado el acuerdo de inicio tampoco ha presentado escrito de alegaciones. IV El artículo 83.5
- a)del RGPD, considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. La LOPDGDD en su artículo 72 indica: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679” No obstante, el artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
- b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)” Por tanto, el RGPD, sin perjuicio de lo establecido en su artículo 83, contempla en su artículo 58.2
- b)la posibilidad de acudir al apercibimiento para corregir los tratamientos de datos personales que no se adecúen a sus previsiones. Respecto a cuándo es procedente optar por una u otra vía, la aplicación del artículo 83 del RGPD o la medida de apercibimiento del artículo 58.2.b), la propia norma en su Considerando 148 del Reglamento 2016/679 que establece lo siguiente: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 V Hay que señalar que, tras los requerimientos efectuados por el Servicio de Inspección la parte reclamada no ha dado respuesta a los mismos. Paralelamente, notificado el acuerdo de inicio en fecha 03/12/2018 y transcurrido el plazo otorgado para formular alegaciones, no presento escrito alguno. En este punto, se hace necesario informar a TODOFUNDICION que no atender los requerimientos de la Agencia puede ser constitutivo de infracción muy grave de conformidad con lo señalado en el artículo 72 de la LOPDGDD, que establece: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…) ñ) No facilitar el acceso del personal de la autoridad de protección de datos competente a los datos personales, información, locales, equipos y medios de tratamiento que sean requeridos por la autoridad de protección de datos para el ejercicio de sus poderes de investigación.
- o)La resistencia u obstrucción del ejercicio de la función inspectora por la autoridad de protección de datos competente”. (…)” Por el contrario, puede ser considerado como atenuación de la responsabilidad el grado de cooperación y colaboración con la autoridad correspondiente con la finalidad de poner remedio a la infracción y minorar los efectos adversos que la vulneración de la normativa en materia de protección de datos puede conllevar. Por todo ello, se le indica a TODOFUNDICION que de no corregir los hechos puestos de manifiesto en la reclamación que es causa del presente procedimiento e informar seguidamente a esta AEPD de las medidas adoptadas se podría proceder al ejercicio de posibles actuaciones ante el responsable del tratamiento a fin de que se apliquen de manera efectiva las medidas apropiadas para garantizar y no comprometer la confidencialidad de los datos de carácter personal y el derecho a la intimidad de las personas. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a TODOFUNDICION, S.L., con NIF B14997571, por una infracción del artículo 5.1
- c)del RGPD, sancionada conforme a lo dispuesto en el artículo 83.5 del citado RGPD y, calificada de muy grave en el artículo 72.1
- a)de la LOPDGDD, una sanción de APERCIBIMIENTO de conformidad con lo previsto en el artículo 58.2.
- b)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 SEGUNDO: NOTIFICAR la presente resolución al TODOFUNDICION, S.L., y conforme al art. 77.2 del RGPD, INFORMAR al reclamante, D. A.A.A., del resultado de la reclamación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 114.1
- c)de la LPACAP, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es