← España

PS-00377-2021

1/9  Procedimiento Nº: PS/00377/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Doña A.A.A. (*en adelante, la parte reclamante) con fecha 17 de abril de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra AYUNTAMIENTO DE ***LOCALIDAD.1 con CIF P4626100D (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes, según se recogen en su escrito, “El pasado 12 de marzo se instalaron cámaras de videovigilancia en el Ayuntamiento de ***LOCALIDAD.1(Valencia). Estas cámaras se instalaron en la entrada del Ayuntamiento y en el mostrador, desde donde graban a los empleados y a los ciudadanos que entran en las dependencias municipales (…) En varias ocasiones mostré mi disconformidad a la alcaldesa y a la secretaria sobre estos aspectos. Llamé a Delegación de Gobierno para comprobar si se había concedido autorización para su instalación conforme a los dispuesto en el Decreto 596/1999 y la Ley Orgánica 4/1997, y no existía esa autorización, pero es que ni siquiera se había solicitado”. “No se me ha informado de la instalación del sistema (…) solo puedo pensar que se me ha grabado sin previo aviso de la puesta en marcha de la cámara, por eso son conocedores de mis conversaciones privadas mantenidas en esas dependencias (…)”. Junto con la reclamación aporta prueba documental (fotografía nº 1) que acredita la presencia de cartel si bien no está rellenado en sus aspectos esenciales. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada en fecha ***FECHA.1, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. No se ha recibido respuesta a este escrito a día de la fecha en esta Agencia, ni explicación alguna se ha dado a tal efecto. TERCERO: Con fecha 19 de julio de 2021 la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 7 de septiembre de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 presunta infracción del Artículo 5.1.

  1. c)del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: De conformidad con el artículo 73.1 de la LPCAP el plazo para formular alegaciones al Acuerdo de Inicio es de diez días computados a partir del siguiente al de la notificación. El artículo 64.2. LPACAP, indica que se informará al denunciado del derecho a formular alegaciones, del “derecho a la audiencia en el procedimiento y de los plazos para su ejercicio, así como la indicación de que en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada”. (El subrayado es de la AEPD) El acuerdo de inicio del expediente sancionador que nos ocupa contenía un pronunciamiento preciso sobre la responsabilidad de la entidad reclamada: en el citado acuerdo se concretaba cuál era conducta infractora, el tipo sancionador en el que era subsumible, las circunstancias de la responsabilidad descritas y la sanción que a juicio de la AEPD procedía imponer. En consideración a lo expuesto y de conformidad con lo establecido en el artículo 64.2.
  2. f)de la LPACAP, el acuerdo de inicio del PS/00375/2021 es considerado Propuesta de Resolución: Notificado el acuerdo de inicio, el reclamado al tiempo de la presente resolución no ha presentado escrito de alegaciones, por lo que es de aplicación lo señalado en el artículo 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, que en su apartado
  3. f)establece que en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, por lo que se procede a dictar Resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes: Primero. Los hechos traen causa de la reclamación de fecha 17/04/21 por medio de la cual se traslada a esta AEPD lo siguiente: “El pasado 12 de marzo se instalaron cámaras de videovigilancia en el Ayuntamiento de ***LOCALIDAD.1(Valencia). Estas cámaras se instalaron en la entrada del Ayuntamiento y en el mostrador, desde donde graban a los empleados y a los ciudadanos que entran en las dependencias municipales (…) En varias ocasiones mostré mi disconformidad a la alcaldesa y a la secretaria sobre estos aspectos. Llamé a Delegación de Gobierno para comprobar si se había concedido autorización para su instalación conforme a los dispuesto en el Decreto 596/1999 y la Ley Orgánica 4/1997, y no existía esa autorización, pero es que ni siquiera se había solicitado”. “No se me ha informado de la instalación del sistema (…) solo puedo pensar que se me ha grabado sin previo aviso de la puesta en marcha de la cámara, por eso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 son conocedores de mis conversaciones privadas mantenidas en esas dependencias (…)”—folio nº 1--. Segundo. Consta acreditado como principal responsable la entidad Ayuntamiento de ***LOCALIDAD.1. Tercero. Consta acreditado que el sistema de video-vigilancia instalado no está debidamente informando adoleciendo de irregularidades, como el hecho de mencionar una normativa derogada o no indicar el responsable del tratamiento de los datos. Cuarto. Consta acreditado la presencia de dispositivo de video-vigilancia en la zona de entrada al inmueble, sin que se haya alegado sobre si el mismo puede obtener audio de la zona dónde está instalado. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II En fecha 17/04/21 se recibe en esta Agencia reclamación de la epigrafiada por medio de la cual se traslada como hecho principal el siguiente: “El pasado 12 de marzo se instalaron cámaras de videovigilancia en el Ayuntamiento de ***LOCALIDAD.1(Valencia). Estas cámaras se instalaron en la entrada del Ayuntamiento y en el mostrador, desde donde gravan a los empleados y a los ciudadanos que entran en las dependencias municipales (…) En varias ocasiones mostré mi disconformidad a la alcaldesa y a la secretaria sobre estos aspectos. Llamé a Delegación de Gobierno para comprobar si se había concedido autorización para su instalación conforme a los dispuesto en el Decreto 596/1999 y la Ley Orgánica 4/1997, y no existía esa autorización, pero es que ni siquiera se había solicitado”. Los hechos iniciales se concretaron en la presencia de dispositivos de video-vigilancia que pudieran grabar las conversaciones (audio/video) en el interior de las dependencias municipales, sin estar el sistema debidamente informado a tal efecto. La grabación de conversaciones personales tanto en empresa, como en comunidades de propietarios (as), supone una invasión de la intimidad del usuario, por lo que está terminantemente prohibido, con la excepción de que exista una autorización judicial previa y las grabaciones se realicen por las personas competentes para hacerlo en situaciones “excepcionales”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 Las cámaras instaladas se deben limitar a la finalidad perseguida con las mismas, debiendo ser informados los representantes legales de los empleados públicos de tales aspectos, así como contar con la correspondiente cartelería que informe que se trata de una zona video-vigilada. La Agencia Española de Protección de Datos, hace alusión a cómo deben tratarse y captarse las imágenes de las cámaras de seguridad en su guía sobre videovigilancia, recalcando que debe existir una relación de proporcionalidad entre la finalidad perseguida (en este caso la seguridad) y el modo en el que se capten y se traten los datos. El acceso a las grabaciones de las cámaras de seguridad solo está permitido al titular de la empresa, la empresa de seguridad contratada o el personal encargado a tal efecto, según lo estipulado en la LOPDGDD. Los equipos de vigilancia en el trabajo y salas de visionado y almacenamiento de imágenes deberán estar situadas en habitaciones de acceso restringido a personal autorizado. La grabación de las conversaciones de los empleados públicos puede suponer una vulneración del art. 5.1
  4. c)RGPD, al ser excesiva la obtención de las conversaciones privadas de los mismos, sin perjuicio de la afectación a la intimidad de estos en sus conversaciones cualquiera que sea la naturaleza o contexto de las mismas. Las cámaras deben ceñirse a su función protección de la seguridad de acceso a las dependencias municipales, sin que las mismas puedan estar orientadas de manera permanente a sus puestos de trabajo (vgr. monitor del ordenador), ni permitir la grabación mediante audio de las conversaciones privadas de los mismos de los empleados en labores auxiliares de entrada y registro documental. Los carteles instalados denotan que los mismos están incompletos en cuanto a la información requerida, lo que supone una afectación al art.-13 RGPD. Informar sobre la videovigilancia según RGPD es una obligación recogida en este marco legislativo. Se debe disponer de un dispositivo informativo en zona visible (vgr. puerta de acceso) indicando que se trata de una zona video-vigilada, en el mismo se deberá indicar:    la existencia del tratamiento. la identidad del responsable. posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. La imagen de una persona en la medida que identifique o pueda identificar a la misma constituye un dato de carácter personal, que puede ser objeto de tratamiento para diversas finalidades. El artículo 22 apartado 4º de la LOPDGDD dispone lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 “El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información (…)”. III De conformidad con las pruebas de las que se dispone en el presente procedimiento sancionador, se considera que la parte reclamada ha procedido a instalar un sistema de cámaras de video-vigilancia, que están provistas de “audio”, careciendo el mismo de distintivos informativos debidamente homologados a la normativa en vigor. Las pruebas documentales aportadas permiten constatar las “irregularidades” del cartel en la zona de acceso, así como la presencia de una web-cam constata la presencia de un dispositivo en el mostrador de la recepción con posibilidad de audio (video) sin que se haya informado al respecto sobre la finalidad (
  5. es)del mismo. Se recuerda que cualquier medida de control laboral debe ser puesta en conocimiento de los representante legales del conjunto de empleados públicos del ente citado, debiendo ser conocedores de la finalidad (
  6. es)de las imágenes que se obtengan con el mismo, ponderando en todo caso la preservación de la intimidad de las conversaciones que pudieran tener lugar en horario de trabajo sin más consideraciones adicionales. Los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada, por vulneración del contenido de los artículos 5.1
  7. c)y 13 RGPD, anteriormente descritos. IV Los hechos descritos suponen una infracción (
  8. es)administrativas tipificadas en el artículo 83.5 letras
  9. a)y
  10. b)RGPD. “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  11. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
  12. b)los derechos de los interesados a tenor de los artículos 12 a 22; V C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 Sin perjuicio de lo establecido en el artículo 83 del RGPD, el citado Reglamento dispone en su art. 58.2
  13. b)lo siguiente: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  14. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” Asimismo, el artículo 77 de la LOPDGDD dispone lo siguiente: “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento. 1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
  15. a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
  16. b)Los órganos jurisdiccionales.
  17. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
  18. d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.
  19. e)Las autoridades administrativas independientes.
  20. f)El Banco de España.
  21. g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
  22. h)Las fundaciones del sector público.
  23. i)Las Universidades Públicas.
  24. j)Los consorcios.
  25. k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica.” De conformidad con el art. 58.2
  26. d)RGPD la parte reclamada deberá aclarar todo lo relacionado con el sistema instalado, así como acreditar documentalmente (vgr. fotografía fecha y hora) que dispone de distintivo (
  27. s)informativo homologado a la normativa en vigor, sin perjuicio de las alegaciones que estime necesario realizar, como medidas adoptadas para informar a los representantes legales de los empleados (
  28. as)del Ayuntamiento o a los mismos sobre el sistema de video-vigilancia instalado. Se recuerda que este organismo puede desplazarse al lugar de los hechos a efectos de realizar las indagaciones que estime precisas, pudiendo exigir el cumplimiento de las medidas ampliamente indicadas en aras de la protección de la legalidad vigente. El resto de cuestiones exceden del marco competencial de esta Agencia, ciñéndose la presente Resolución a las cuestiones acreditadas en el marco de la protección de datos. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a AYUNTAMIENTO DE ***LOCALIDAD.1, con CIF P4626100D, por una infracción del Artículo 5.1.
  29. c)del RGPD y 13 RGPD, tipificada en el Artículo 83.5
  30. a)y
  31. b)del RGPD, una sanción de APERCIBIMIENTO. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 SEGUNDO: ORDENAR a la entidad reclamada AYUNTAMIENTO DE ***LOCALIDAD.1 para que en el plazo de un mes desde la notificación del presente acto proceda: -Colocar distintivo informativo debidamente homologados al actual RGPD en los principales accesos del Ayuntamiento. -Informe al conjunto de empleados (
  32. as)públicas de las medidas adoptadas en particular las relacionadas con la finalidad (
  33. es)del tratamiento. -Acredite la reorientación de la cámara de entrada de manera que la misma se ciña a la función de seguridad de la Casa consistorial, evitando captar la zona de trabajo de los empleados (
  34. as)de manera exclusiva, desactivando en su caso la opción de audio del mismo. TERCERO: NOTIFICAR la presente resolución a la entidad denunciada AYUNTAMIENTO DE ***LOCALIDAD.1. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  35. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-131120 Mar España Martí C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.