← España

PS-00376-2021

1/8  Expediente Nº: PS/00376/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (*en adelante, la parte reclamante) con fecha 26 de marzo de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra AYUNTAMIENTO R.R.R. con NIF ***NIF.1 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: -Difusión de imágenes de personas no identificadas en la red social-facebook— por parte del AYUNTAMIENTO R.R.R. (Madrid) para acreditar los presuntos autores de actos vandálicos en las fiestas del pueblo. -Instalación de cámaras de video-vigilancia por parte del Ayuntamiento que presentan diversas irregularidades. -Deficiencias en la cartelería informativa a la hora de indicar que se trata de una zona video-vigilada. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada en fecha 30/04/21, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. TERCERO: En fecha 09/06/21 se recibe contestación de la reclamada aportando fotografía (

  1. s)que no permiten constatar el contenido del dispositivo informativo, ni el número de cámaras que dispone instaladas en un plano de situación. CUARTO: En fecha 01/07/21 se reciben nuevas alegaciones de la reclamada indicando que el sistema lo componen 14 cámaras de video-vigilancia. a. Las cámaras del polideportivo no invaden la vía pública (6 cámaras). b. Cámaras del puente del zacatín (edifico turístico, acceso con guía de turismo)(4 cámaras) c. Las cámaras del ayuntamiento solo los accesos al edificio. (4 cámaras). MEDIDAS. a. Comunicación de prohibición de envío de cualquier tipo de imágenes por grupos privados. b. En el monitor del polideportivo, cambio de ubicación del monitor para que no sea visible desde fuera. QUINTO: Con fecha 19 de julio de 2021 la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 SEXTO: Con fecha 7 de septiembre de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.
  2. c)del RGPD y Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD. SÉPTIMO: En fecha 27/09/21 se recibe escrito de alegaciones de la parte reclamada en la que manifiesta de manera sucinta lo siguiente: “como ya se dijo anteriormente en las informaciones requeridas que las imágenes citadas NUNCA han sido expuestas en la red social Facebook. Son imágenes sustraídas (no teníamos conocimiento hasta esta denuncia) de un grupo de whatsapp privado de trabajo interno del Ayuntamiento (y cifrado por la propia app).(Ya han sido eliminadas de dicho grupo). Dichas imágenes fueron tomas entre marzo y mayo de 2018. (habiendo sido notificado dicha difusión fuera del grupo de trabajo por parte de la AEPD en junio de 2021) La calidad de las imágenes es muy defectuosa con lo que es imposible la identificación de caras o detalles protegidos, con cámaras antiguas y se usan más por du poder disuasorio que por el identificativo (…) Se han cambiado todos los indicadores de “zona videovigilada” actualizados al nuevo reglamento europeo (…) La grabación del ayuntamiento es de 15 días en grabación en bucle, el acceso a las grabación esta en una sala cerrada con llave y mediante contraseña al sistema de grabado (…)”. OCTAVO: En fecha 04/10/21 se emite “Propuesta de resolución” en la que se acordaba proponer un apercibimiento a la reclamada al haber procedido a la corrección de ciertas “irregularidades” del sistema instalado, tras tener conocimiento de los hechos por este organismo. NOVENO: Consultada la base de datos de esta Agencia en fecha 20/12/21 no se ha recibido nueva alegación al respecto. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS Primero. Los hechos traen causa de la reclamación de fecha 26/03/21 por medio de la cual se ponen de manifiestos las siguientes “irregularidades” en el sistema de video-vigilancia del AYUNTAMIENTO R.R.R.. Segundo. Consta acreditado que el principal responsable es la entidad AYUNTAMIENTO R.R.R.. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 Tercero. Consta acreditado que el deber de información del sistema no se ajustaba a la legalidad vigente, habiendo procedido al cambio de los distintivos informativos, ajustándolos a la normativa vigente. Cuarto. Las impresiones de pantalla aportadas por la Entidad reclamada (Doc. probatorio nº 2 Escrito alegaciones) no permiten constatar afectación de establecimiento hostelero cercano a la zona, si bien manifiestan que en un porcentaje del 80% apuntan hacia terrenos propiedad del Ayuntamiento de la localidad. Quinto. La entidad reclamada reconoce que imágenes del sistema de video-vigilancia fueron difundidas en un chat privado de Whatsapp, señalando como fecha de los hechos -marzo y mayo de 2018—si bien niega la “difusión pública en Redes sociales” y que “han sido eliminadas”. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II En el presente caso, se procede a examinar la reclamación de fecha 26/03/21 por medio de la cual se traslada diversas irregularidades en el sistema de video-vigilancia instalado por el AYUNTAMIENTO R.R.R. (Madrid). “se han localizado 8 cámaras que no se encuentran señalizadas y no disponen de distintivo informativo” (folio nº 2). La instalación de cámaras de videovigilancia en la calle corresponde única y exclusivamente a las Fuerzas y Cuerpos de Seguridad del Estado en el cumplimiento de funciones de seguridad. Para que exista “tratamiento de datos” se debe asociar a persona identificada o identificable, manifestando el reclamante que las “caras de las personas están tapadas”. Cuando el Ayuntamiento quiere instalar un sistema de videovigilancia con el que evitar la criminalidad, disuadir de la comisión de delitos o dejar evidencias de ellos cuando se cometan, la autorización viene por la Comisión de Garantías de Videovigilancia. El proceso debe, además, hacerse en consonancia con el cumplimiento de la Ley Orgánica 4/1997, de 4 de agosto, por la que se regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad en lugares públicos y el reglamento que la desarrolla, aprobado por el Real Decreto 596/1999. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 La solicitud se debe dirigir al Delegado del Gobierno en la Comunidad Autónoma y debe incluir datos relativos a los motivos por los que se pide, el área que desea ser grabada con las cámaras de videovigilancia y la necesidad, si esta existe, de grabar sonidos siguiendo las restricciones de la legislación en la materia. Otras cuestiones que se deben especificar en el escrito son la cualificación de las personas que trabajarán con las imágenes y el sonido que se graben, las características técnicas del equipo de videovigilancia y el periodo durante el cual se va a proceder a realizar grabaciones. El Ayuntamiento puede disponer de un sistema de cámaras de video-vigilancia con la finalidad de protección de la casa consistorial y sus enseres, siendo flexible este organismo en cuanto al alcance perimetral de las mismas, siempre y cuando se ciñan a la finalidad descrita y esté debidamente informado mediante los distintivos necesarios que permitan conocer que se trata de una zona video-vigilada, así como facilitando el ejercicio de derechos 12-22 RGPD al conjunto de afectados por las mismas. Los hechos denunciados podrían suponer una afectación al contenido del art. 5.1
  3. c)RGPD (normativa actualmente en vigor) que dispone: “los datos personales serán: c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos») (…)”. El artículo 22 apartado 2º de la LOPDGDD (LO 3/2018, 5 diciembre) “Solo podrán captarse imágenes de la vía pública en la medida en que resulte imprescindible para la finalidad mencionada en el apartado anterior. No obstante, será posible la captación de la vía pública en una extensión superior cuando fuese necesario para garantizar la seguridad de bienes o instalaciones estratégicos o de infraestructuras vinculadas al transporte, sin que en ningún caso pueda suponer la captación de imágenes del interior de un domicilio privado”. Según se manifiesta en la reclamación alguna de las cámaras instaladas presuntamente captan excesivamente espacio privativo de tercero “parte de un restaurante próximo”. Como segunda cuestión, el reclamante considera que las cámaras instaladas no están señalizadas al carecer de distintivo informativo alguno en dónde se indique que se trata de una zona video-vigilada, lo cual supone una afectación al contenido del art. 13 RGPD. El artículo 22 apartado 4º de la LOPDGDD dispone lo siguiente: “El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información (…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 III De conformidad con las pruebas de las que se dispone en el presente procedimiento sancionador, se considera que la parte reclamada dispone de un sistema de videovigilancia que no se ajustaba a la legalidad vigente, al carecer de los distintivos informativos necesarios exigidos adecuados a la normativa en vigor. La entidad reclamada ha acreditado el cambio de cartelería (adjunta copia del distintivo informativo) ajustado a la normativa en vigor: actual RGPD-Reglamento UE 2016/679—de tal manera que en la actualidad el sistema está debidamente informado, debiendo estar los mismos en los principales accesos de la Casa consistorial. La parte reclamada aporta igualmente impresión de pantalla de alguna (
  4. s)de las cámaras, sin impresión de fecha y hora, pero que permiten acreditar que no están enfocadas hacia zona privativa de terceros. El artículo 22 apartado2º “in fine” dispone lo siguiente: “No obstante, será posible la captación de la vía pública en una extensión superior cuando fuese necesario para garantizar la seguridad de bienes o instalaciones estratégicos o de infraestructuras vinculadas al transporte, sin que en ningún caso pueda suponer la captación de imágenes del interior de un domicilio privado” (*el subrayado pertenece a esta AEPD). Por último, si bien sin profundizar en la cuestión, ha reconocido la difusión de imágenes en un Grupo de Whatsapp privado, negando “la publicación en Redes sociales”, señalando que se trató de un hecho accidental que se remonta al año 2018, si bien “ya han sido eliminadas”. En este caso, la presunta difusión de imágenes de terceros a modo particular, no se le puede imputar a la entidad reclamada, al margen de la vaguedad en la reclamación presentada en cuanto a la manera y fecha en que acontecieron los hechos descritos. De conformidad con lo manifestado por las partes, los hechos pudieron acontecer a principios del año 2018, estando prescritos en el momento de presentación de la reclamación al haber “transcurrido dos años desde la comisión de los mismos”, lo que supone que no se va a entrar a enjuiciar este hecho en concreto en base a lo expuesto. Los hechos probados suponen una infracción administrativa tipificada en el artículo 83.5 letras
  5. b)RGPD. “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8
  6. b)los derechos de los interesados a tenor de los artículos 12 a 22; IV Sin perjuicio de lo establecido en el artículo 83 del RGPD, el citado Reglamento dispone en su art. 58.2
  7. b)lo siguiente: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  8. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” Asimismo, el artículo 77 de la LOPDGDD dispone lo siguiente: “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento. 1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
  9. a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
  10. b)Los órganos jurisdiccionales.
  11. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
  12. d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.
  13. e)Las autoridades administrativas independientes.
  14. f)El Banco de España.
  15. g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
  16. h)Las fundaciones del sector público.
  17. i)Las Universidades Públicas.
  18. j)Los consorcios.
  19. k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica.” La parte reclamada ha procedido a raíz de las indicaciones de este organismo a modificar algunas de las “irregularidades” del sistema en cuestión, como lo acredita con el cambio de cartelería informativa (vgr. Doc. Prueba nº 4 Escrito alegaciones), así como al reforzar las medidas de seguridad en relación al tratamiento de los datos obtenidos con las imágenes del sistema, por lo que no procede proponer medida adicional alguna, sin perjuicio de la declaración de la infracción descrita. El RGPD introduce como obligatorio la designación de un Delegado de Protección de Datos (DPD) por parte de responsables y encargados en los supuestos regulados en su artículo 37.1. No obstante lo anterior, se recuerda a la Entidad reclamada que las imágenes obtenidas del sistema de cámaras deben estar bajo custodia restringida del personal autorizado, debiendo ser objeto de traslado a la autoridad competente o judicial en los casos descritos en la normativa en vigor. En el caso de situaciones descritas como “actos vandálicos” las imágenes de las cámaras en cuestión pueden ser puestas a disposición de la Policía Local o en su caso trasladadas a la autoridad judicial competente, pudiendo con ciertas garantías ser usadas para acreditar la presunta autoría de hechos constitutivos de infracción administrativa o delito penal según los casos. Igualmente, esta Agencia puede personarse en cualquier momento en el lugar de los hechos y proceder a realizar una comprobación exhaustiva de las medidas adoptadas (vgr. orientación de las cámaras, disponibilidad de formulario (s), medidas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 técnicas y organizativas adoptadas, etc), dando por sentado que se han cumplido las medidas ampliamente expuestas a tal efecto. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: SANCIONAR a la entidad AYUNTAMIENTO R.R.R., con NIF ***NIF.1, por una infracción del Artículo 5.1.
  20. c)del RGPD y Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD, con un apercibimiento, sin imposición de medidas adicionales. SEGUNDO: NOTIFICAR la presente resolución a AYUNTAMIENTO R.R.R.. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 938-171221 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.