1/18 Expediente Nº: EXP202306046 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 26 de septiembre de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a TITAN STRONG, S.L. (en adelante la parte reclamada). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 17 de noviembre de 2023 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: EXP202306046. Procedimiento Sancionador N.º: PS/000385/2023. PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos con fecha 22 de abril de 2023. La reclamación se dirigía contra el gimnasio B.B.B., del que es propietaria la entidad TITAN STRONG, S.L. con NIF B88048608 (en adelante, la parte reclamada), por la instalación de un sistema de videovigilancia ubicado en ***DIRECCIÓN.1 en la fachada del edificio del que ésta es vecina. La parte reclamante manifiesta resumidamente que: - La parte reclamada es responsable del gimnasio citado, en cuya fachada ha instalado 3 cámaras de videovigilancia orientadas a la vía pública y a los accesos al edificio donde se encuentra ubicado el establecimiento, sin contar con autorización previa para ello. En concreto, hace constar literalmente que: “Una de las cámaras apunta a la vía pública, propiedad privada y local de otro propietario. La otra cámara apunta a la vía pública y entrada al garaje de vecinos.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/18 - Habiéndose requerido a los propietarios del gimnasio su retirada por el administrador de fincas, sin respuesta, solicita inspeccionar las mismas y sus permisos. Los documentos aportados como base probatoria de la reclamación son: - Reportaje fotográfico: 3 fotos tomadas donde se observa la ubicación de las tres cámaras en la fachada del edificio. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), tras comprobar que la titularidad del gimnasio mencionado correspondía a la parte reclamada, se dio traslado de dicha reclamación a ésta, para que aporte en el plazo de 1 mes la documentación e información cierta documentación e información necesaria para determinar si concurre incumplimiento de la normativa. Dicho requerimiento solicita, entre otros datos y documentos que: - - Se indique el número de NIF y el correo electrónico de contacto del responsable del sistema de videovigilancia, así como el plazo de conservación de las imágenes. Se haga constar el número de cámaras que tiene el sistema de vigilancia, aportando las fotografías de todos estos dispositivos, así como fotografías del monitor, pantalla de móvil o sistema equivalente, que utiliza para la visión de las imágenes, en las que se aprecie las zonas que quedan dentro del campo de visión de las cámaras. Por otra parte, se solicita así mismo que aporte fotografías del cartel o carteles que avisen de la existencia de una zona videovigilada, en las que se aprecie de forma clara la información que contiene el cartel, así como la ubicación de éste. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, fue recogido por el responsable, dentro del plazo de puesta a disposición, en fecha 11/05/2023. TERCERO: Con fecha 05/06/2023 se recibe en esta Agencia escrito de respuesta de la parte reclamada en el que se cumple parcialmente con el requerimiento de información realizado, puesto que no se aportan fotografías del cartel o carteles citados, pero si se aporta, en resumen, lo siguiente: - - El NIF y el correo electrónico del contacto de los dos responsables del sistema de videovigilancia, que constan como administradores de la sociedad reclamada TITAN STRONG, S.L. Se indica que el plazo de conservación de las imágenes es de 3 días. Se manifiesta que existen dos cámaras, que solo se visualizan en los móviles de los dos responsables antes citados (que constan como administradores de la entidad reclamada), adjuntando las fotos requeridas, en las que se observa el campo de visión objeto de grabación por ambas. Se manifiesta, así mismo, que se realizó consulta previa a la AEPD para colocar las cámaras -no acreditada-, y aportan parte de una escritura pública C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/18 en la que se indica que el patio en el que están situadas las cámaras es de uso exclusivo y privativo del local, por lo que en principio no se precisaría autorización de la comunidad de propietarios para su colocación, como indica la reclamante. CUARTO: De conformidad con el artículo 65 de la LOPDGDD, con fecha de 22 de julio se admitió a trámite la reclamación presentada por la parte reclamante. QUINTO: Con fecha de 14 de agosto de 2023, se recibe denuncia de la Jefatura Superior de Policía Municipal del Ayuntamiento de Madrid, que se une al presente expediente por referirse a la parte reclamada y basarse en los mismos hechos tratados en el mismo. En el informe policial adjunto, los agentes de la autoridad manifiestan haber realizado una inspección en el gimnasio B.B.B. el 4 de agosto del 2023, como consecuencia de una previa queja interpuesta, y como consecuencia de ello, denuncian la posible infracción de la normativa de protección de datos por la parte reclamada, en base a los siguientes hechos constatados en el informe: - Se constata que hay dos cámaras, una orientada hacia la puerta de acceso del gimnasio y en la misma dirección en la que se encuentra el portal de acceso a las viviendas del edificio. Contactada telefónicamente la responsable D.ª C.C.C., a través del personal del gimnasio, ésta se niega a dar mayor información sobre el sistema. Se aportan fotos del cartel informativo del sistema de videovigilancia, en el que se aprecia claramente su contenido. SEXTO: Con fecha 26 de septiembre de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.
- c)del RGPD, tipificada en el Artículo 83.5 del RGPD. SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) con fecha de 26 de septiembre de 2023, la parte reclamada presentó escrito de alegaciones con fecha de 10 de octubre de 2023, que se basa en los siguientes motivos, que se analizaran en los fundamentos de derecho: 1. Que sí se aportaron fotografías visibles del cartel o carteles advirtiendo de la existencia de las cámaras que le fueron requeridas por esta Agencia con fecha de 10 de mayo del mismo año. 2. Motivos por los que no se proporcionó toda la información requerida por los agentes de la policía municipal que acudieron a inspeccionar el establecimiento, según consta en la denuncia de la Jefatura Superior de Policía del Ayuntamiento de Madrid, adjunta al procedimiento. 3. Que el motivo de la reclamación no es preservar de manera altruista el derecho de protección de datos de carácter personal de los viandantes, sino llevar a cabo con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/18 impunidad agresiones contra el local, a los propietarios y a clientes del gimnasio B.B.B.. 4. Motivos por los que para preservar la seguridad del local debía colocarse una cámara frontal, sin que fuera posible evitar grabar la vía pública y falta de intencionalidad. 5. Haber cumplido las medidas de ajuste del sistema que fueron acordadas en el acuerdo de inicio, mediante la colocación de máscaras de privacidad en la cámara frontal. 6. En todo momento se han seguido las prescripciones del RGPD, habiéndose limitado el número de cámaras a las estrictamente necesarias para el cumplimiento de la función de vigilancia, poniendo dos, una para cada lateral del patio, y otra frontal enfocando a la puerta de acceso a la vía pública y a la valla. Junto con su escrito, se acompaña la siguiente documentación: - Fotografía del campo de visión de la cámara frontal actual, donde se observa que se ha colocado una máscara de privacidad. - 4 Atestados policiales que acreditan haber presentado 4 denuncias por los propietarios del Gimnasio B.B.B. ante la Policía Nacional, en los que se denuncia la presunta comisión de 3 robos/hurtos de las losetas y racks del establecimiento acaecidos los días 14, 16 de octubre, y 16 de noviembre de 2022, así como la producción de daños a la valla perimetral del gimnasio los días 19 de noviembre, y 5 de diciembre de 2022, fecha en la que se la encontraron arrancada. En las dos últimas denuncias se indica por los denunciantes que las cámaras de vigilancia muestran que los daños se produjeron por la reclamante, en connivencia con otras personas. Hechos de los que no consta comprobación por parte de la Policía Nacional ni inicio de actuaciones penales al respecto. OCTAVO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El GIMNASIO B.B.B., ubicado en la ***DIRECCIÓN.1, tiene instalado un sistema de videovigilancia, conformado por tres cámaras ubicadas en su fachada, dos laterales y una frontal. A fecha de interposición de la reclamación, se acredita que la cámara frontal, por su ubicación y orientación, era susceptible de captar la vía pública más allá de su zona privativa o común de uso privativo, puesto que en el campo de visión de la misma capta la puerta de acceso al gimnasio, la valla perimetral, y un considerable trozo de la vía pública que puede captar tanto vehículos como personas que transiten por la acera colindante a la valla, e incluso por la carretera, y la acera de enfrente. SEGUNDO: A fecha de la reclamación presentada, la reclamada había colocado el cartel de videovigilancia preceptivo, con la información exigida por el artículo 13 del RGPD. TERCERO. TITAN STRONG, S.L, es la propietaria del establecimiento comercial GIMNASIO B.B.B. y consta como principal responsable de la instalación de videovigilancia en el cartel informativo del sistema de videovigilancia, siendo la responsable del tratamiento a efectos del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/18 CUARTO: Posteriormente al acuerdo de inicio del presente procedimiento sancionador, la reclamada acredita haber colocado una máscara de privacidad en la cámara frontal del gimnasio, que oculta e impide visualizar las imágenes captadas excesivamente, permitiendo anonimizar las mismas, en tanto en cuanto se mantenga su colocación, ubicación y fijación en lo sucesivo. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Alegaciones al acuerdo de inicio En respuesta a las alegaciones presentadas por la entidad reclamada el 10 de octubre de 2023, cabe señalar que ninguno de los motivos esgrimidos en su escrito exime a la misma de responsabilidad por haber cometido la infracción que se imputa en el presente procedimiento sancionador, por lo siguiente: 1. Respecto a la aportación por la reclamada de las fotografías visibles del cartel o carteles de zona videovigilada. Manifiesta la reclamada: “Ser incierta la manifestación realizada en el Acuerdo de Inicio respecto a que la reclamada no aportó dentro del plazo otorgado las fotografías visibles del cartel o carteles avisando de la existencia de dichas cámaras, manifestando que estas fotos sí fueron aportadas. Se aportaron en un único documento junto con las fotos de las cámaras y así se especifica en el justificante de presentación (se adjunta a este escrito)”. Esta alegación carece de toda relevancia a los efectos de determinar si concurre la infracción administrativa que se imputa en el presente procedimiento, ceñida a valorar si las cámaras instaladas en la fachada del gimnasio están realizando una captación excesiva de imágenes de la vía pública por presunta infracción del artículo 5.1.
- c)del RGPD, habiéndose declarado expresamente en el acuerdo de inicio que la reclamada cumplía los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/18 requisitos exigidos en torno a la colocación de carteles informativos, por lo que no procedía imputar la infracción del artículo 13 del RGPD en este caso. Ahora bien, cabe aclarar que la mención del acuerdo de inicio referida a que la reclamada “no aporta en plazo las fotografías visibles del cartel de zona videovigilada” sí se corresponde con la realidad, puesto que la única fotografía de los carteles que ésta acompañó a su escrito de 5 de junio de 2023 estaba tomada desde un plano tan amplio/lejano que no permitía leer los datos que contenía dicho cartel, exigidos por los artículos 15 a 22 del RGPD. Y precisamente por este motivo, se consideró que la fotografía del cartel aportada por la reclamada no era suficientemente visible, lo cual nunca perjudicó a la reclamada, ya que, gracias a las fotografías aportadas por la policía municipal, en las que “se apreciaba con claridad el contenido del cartel”, se pudo comprobar que el cartel colocado por la reclamada en la fachada cumplía con los requisitos de información exigidos por la normativa. Y nunca se ha imputado ninguna responsabilidad por ello. Por tanto, lo relevante en este caso es que la fotografía consta en el presente procedimiento, y que ésta se ha considerado prueba válida para acreditar que la reclamada cumple con los requisitos en materia de carteles, y no imputar la correspondiente infracción administrativa, siendo del todo indiferente si la fotografía en cuestión fue aportada por la reclamada o los agentes de la autoridad, toda vez que no se está enjuiciando a la reclamada por haber incumplido el requerimiento inicial realizado. 1. Sobre lo acaecido en la inspección realizada por la policía municipal el 4 de agosto de 2023 y las manifestaciones referidas en el Informe de 16 de agosto por los agentes. Manifiesta la reclamada en sus alegaciones: “En cuanto a la denuncia de la Jefatura Superior de Policía del Ayuntamiento de Madrid, se personaron a requerimiento de la parte reclamante. Contactaron por teléfono con C.C.C., la cual les manifestó que había colocado esas cámaras por seguridad ante los robos y agresiones que estaban sufriendo, después de consulta telefónica a la AEPD y que ya había enviado a la citada Agencia la documentación que la misma le había requerido. No teniendo nada más que informar telefónicamente y considerando que tampoco había nada más que informar para conocimiento de la policía, (hay que advertir que se trata de una llamada de alguien que dice que es policía municipal pero que no es posible determinar en ese momento la veracidad de dicha afirmación, teniendo en cuenta que el teléfono de C.C.C. figura publicado).” Esta versión coincide con la ofrecida por los agentes en su informe, si bien no corresponde a esta autoridad el entrar a enjuiciar los motivos por los que la responsable del tratamiento -Dª C.C.C.- decidió no informar a los agentes, por ser del todo irrelevante para la determinación de la infracción que se imputa, no siendo objeto de este procedimiento ni competencia de esta autoridad el determinar y depurar responsabilidades derivadas del posible cumplimiento o incumplimiento de los requerimientos de las Fuerzas y Cuerpos de Seguridad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/18 2. Sobre los posibles motivos “ocultos” de la reclamación interpuesta, basados en su presunta intención de llevar a cabo con impunidad agresiones contra el local, a los propietarios y a clientes del gimnasio B.B.B.. Igualmente, para determinar si la reclamada incurrió en una infracción del artículo 5.1.c del RGPD es indiferente cuál sea la intención de la reclamante, a la que se refiere la reclamada, en los siguientes términos: “Que el motivo de su denuncia no es preservar de manera altruista el derecho de protección de datos de carácter personal de los viandantes, sino que quitemos las cámaras para que no los capten cuando realizan sus agresiones al local, a los propietarios y a clientes del gimnasio B.B.B.. Su pretensión es llevar a cabo sus acciones con total impunidad. Se acompañan, como muestra, algunas de las denuncias de los robos y agresiones que se han sufrido por parte de los vecinos, entre los que se encuentra de forma muy activa precisamente la denunciante, A.A.A. y otros miembros de su familia.” Al respecto, la dicente aporta 4 atestados policiales, 2 de ellos denunciando la comisión de un presunto delitos de robo/hurto de losetas y raks de su establecimiento con fechas de 14 y 16 de octubre de 2022, y 13 de noviembre de 2022, manifestando que en la primera ocasión no pudo identificar al sustractor por no tener una cámara que visionara la valla perimetral por la que éste/a saltó presuntamente, y tras haber colocado una nueva cámara, y un sistema de alarma sufrió un nuevo intento de robo en el que tampoco se pudo identificar al individuo en cuestión. En los otros 2 atestados, se denuncia la producción de daños en la valla perimetral de su establecimiento con fecha de 19 de noviembre de 2022, que llegó a ser arrancada con fecha de 3 de diciembre de 2022, identificando en ambos presuntos delitos/faltas de daños a la reclamante, y a otros agresores, a los que manifiesta haber visto en las cámaras de videovigilancia. De las denuncias presentadas -cuya admisión a trámite se desconoce- puede inducirse a priori que la finalidad de instalación del sistema de videovigilancia que perseguía la reclamada era preservar la seguridad de un local e identificar a los responsables que ya venían atentando contra el mismo con anterioridad, y posterioridad a la instalación de las cámaras. En base a ello, se entiende que su instalación estaba inicialmente justificada, siendo lícita de acuerdo con lo previsto en el artículo 6 del RGPD, siempre y cuando el sistema cumpliera con los principios y requisitos establecidos en materia de protección de datos y videovigilancia, lo que no aconteció, pues como se analizará más adelante, la reclamada acabó incumpliendo el Principio de minimización de datos, al realizar una captación excesiva de imágenes que no eran necesarias ni adecuadas para poder proteger esta seguridad. Siendo comprensible la preocupación de la reclamada, debe aclararse que el haber sido víctima de robos o daños anteriores y la concurrencia de un elevado riesgo de su repetición no es excusa para instalar un sistema que incumpla con la normativa de protección de datos, en los términos expuestos. Esta autoridad no puede entrar a valorar las infracciones penales denunciadas ni tenerlas en cuenta, salvo que consten como hechos probados en sentencia firme, siempre que éstos sean relevantes para la determinación de las infracciones y sanciones objeto de este procedimiento. No son sino las autoridades policiales, y/o las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/18 autoridades judiciales, las que deberán entrar a valorar quienes fueron los presuntos responsables, y enjuiciar la intención de la reclamante a la que se refiere el reclamado, en su caso. No es este procedimiento sancionador el foro adecuado para valorar la intención de los reclamantes/denunciantes, limitándose su objeto a valorar los hechos probados que constan en las reclamaciones o denuncias, y analizar si concurre responsabilidad administrativa, entrando a valorar únicamente si concurrió dolo o negligencia del que aparece como investigado o presunto responsable. 3. Sobre la falta de intencionalidad de la reclamada, y la alegada imposibilidad de preservar la seguridad del local sin captar la vía pública. En este sentido, manifiesta la reclamada que: “Con relación a la colocación de las cámaras, en las preguntas frecuentes de la AEPD, apartado 8. VIDEOVIGILANCIA, se contiene la siguiente: “¿Se puede grabar la vía pública con fines de seguridad? La captación y grabación de imágenes de la vía pública con fines de seguridad es una función reservada a las Fuerzas y Cuerpos de Seguridad. Únicamente se permitirá la grabación de aquel espacio de la vía pública que resulte imprescindible para la finalidad que se pretende, o resulte imposible evitarlo por razón de la ubicación de las cámaras. Esa misma información se facilitó telefónicamente desde la AEPD en la consulta realizada antes de la instalación de las dos cámaras de vigilancia. El patio que rodea al gimnasio es una franja estrecha y la colocación de la cámara frontal para poder vigilar el espacio del patio y la valla que lo delimita, hacía imposible evitar la grabación de la vía pública. En esta acción no ha habido ni mala fe ni intencionalidad, simplemente el afán de proteger el espacio privativo de las agresiones. Y siempre ha existido la confianza de que se estaba actuando según la normativa.” No sólo no se duda de la falta de mala fe o intencionalidad de la reclamada, sino que ésta ha sido ya valorada al fijar la sanción inicial propuesta en el acuerdo de inicio, que se mantiene en esta propuesta, toda vez que no debe olvidarse que el importe de multa propuesto (500 euros) es manifiestamente inferior al máximo fijado por la ley (hasta 20.000.000 euros). Ahora bien, la reclamada es culpable de la infracción cometida, puesto que actuó de forma negligente al grabar estas imágenes excesivas, y ello es también digno de reproche, y por ende, encaja en el tipo y es sancionable. Como ha podido comprobar ella misma al colocar la máscara de privacidad, sí existía una forma de impedir que la cámara frontal grabase las imágenes de la vía pública que se consideran excesivas. No cabe duda de que la reclamada debió y tuvo la posibilidad de informarse mejor, pero no lo ha “descubierto” hasta que no le ha sido indicado en el acuerdo de inicio del presente sancionador que las máscaras podían ser una posible solución a la dificultad que se le presentaba para poder captar sólo la parte de la vía pública necesaria para captar las zonas de acceso al gimnasio e identificar a los posibles delincuentes. Y esta posibilidad estaba a su disposición pues consta en la Guía de Videovigilancia publicada en el sitio web de la AEPD, que hace clara referencia a las mismas y a otras orientaciones acerca de cómo orientar las cámaras para evitar captaciones desproporcionadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/18 Aun presuponiendo que se efectuaran las llamadas a las que se hace referencia -de las que no consta acreditación alguna- debe decirse que una mera consulta telefónica no sustituiría en ningún caso la obligación del responsable del tratamiento de asegurarse de que las cámaras no están captando imágenes excesivas en el caso concreto de que se trate. Las consultas telefónicas a la AEPD -cuyas respuestas pueden ser susceptibles de ser malinterpretadas por el receptor de las mismas - no operan como una suerte de “visto bueno” como el que creyó obtener la reclamada, toda vez que es evidente que los agentes que atienden las llamadas no están facultados para realizar las comprobaciones “in situ” o visualización de los campos de visión que se requeriría para comprobar estos aspectos, por lo que únicamente pueden aportar información general y no cotejar si los interesados han aplicado correctamente la normativa. 4. Haber cumplido las medidas de seguridad adoptadas en el acuerdo de inicio, mediante la colocación de máscaras de privacidad en la cámara frontal, que se adjuntan. Como se ha dicho anteriormente, la reclamada aporta una fotografía en la que se observa que ha procedido a colocar las máscaras de privacidad que se citaban como una de las posibles medidas que podrían ajustar el sistema de videovigilancia instalado a la normativa aplicable, dado que éstas permiten ocultar o anonimizar el exceso captado, según lo que fue expuesto en el Fundamento VII del acuerdo de inicio de este procedimiento. En base a la fotografía aportada, se considera que la reclamada ha corregido la situación de captación excesiva realizada por la cámara frontal, puesto que la máscara colocada ha ocultado las partes que captaban la vía pública hasta un límite razonable que le permite seguir visualizando la valla, la puerta de acceso y zona interior de uso del gimnasio, a efectos de preservar la seguridad del local y las personas que lo frecuenten. En consecuencia, la presente propuesta no contendrá pronunciamiento acerca de la posibilidad de que la Resolución que se dicte ordene medidas de ajuste de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD. Ahora bien, en el caso de que se acredite que vuelve a producirse una captación excesiva de imágenes, como consecuencia de modificar de nuevo la orientación de las cámaras, retirar las máscaras, modificarlas o colocar nuevas cámaras de forma que vuelvan a grabarse en exceso imágenes de la vía pública, será posible tanto ordenar dichas medidas en la Resolución que se adopte, como iniciar un nuevo procedimiento sancionador por la comisión de infracciones cometidas tras la mencionada Resolución. Por lo que respecta a la infracción sobre la que versa este procedimiento, cabe señalar que la reparación o reajuste de la normativa no está prevista como causa de exención de responsabilidad o graduación de la sanción, por lo que procede mantener la imputación de la infracción del artículo 5.1.
- c)del RGPD, puesto que la captación excesiva había sido ya consumada, y cometida de forma continuada, al menos desde la fecha de la reclamación hasta la colocación de la citada máscara. 5. En todo momento se han seguido las prescripciones del RGPD, habiéndose limitado el número de cámaras a las estrictamente necesarias para el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/18 cumplimiento de la función de vigilancia, poniendo dos, una para cada lateral del patio. Como ya se ha indicado, no se cuestiona que la reclamada haya cumplido el resto de normas previstas en el RGPD, ni se considera excesivo el número de cámaras colocadas -que son tres y no dos-, iniciándose este procedimiento únicamente por estar acreditado que una de las cámaras está captando imágenes excesivas de la vía pública. III Análisis de cumplimiento de la normativa aplicable Las imágenes generadas por un sistema de cámaras o videocámaras son datos de carácter personal, toda vez que la imagen física de la persona se considera un dato personal digno de protección, de acuerdo con lo establecido en los artículos 4.1 y 4. 2º del RGPD, por lo que su tratamiento entra dentro del ámbito de aplicación de este Reglamento. El incumplimiento de esta normativa puede derivar en la comisión de infracciones administrativas, sin perjuicio de otras responsabilidades y del derecho a la tutela judicial efectiva. El artículo 6.1 del RGPD establece los supuestos que permiten considerar lícito el tratamiento de datos personales. En cuanto al tratamiento con fines de videovigilancia, el artículo 22 de la LOPDGDD establece que las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. Tal y como se ha indicado en la presente propuesta al contestar a las alegaciones, se considera que en el presente supuesto la finalidad del tratamiento se ajustaba inicialmente a lo previsto en la normativa, pues consta acreditado que el establecimiento en el que se colocaron las cámaras (Gimnasio B.B.B.) había sido víctima de 5 presuntos robos/hurtos/daños a su propiedad que le llevaron a colocar el sistema de videovigilancia como medio para preservar la seguridad del mismo. Por este motivo, no se ha imputado una infracción de lo previsto en el citado artículo 6.1 del RGPD. De conformidad con lo expuesto en el Fundamento de Derecho IV del acuerdo de inicio, el tratamiento de imágenes a través de un sistema de videovigilancia, para ser conforme con la normativa vigente, debe cumplir los requisitos siguientes: 1.- La personas físicas o jurídicas, públicas o privadas, pueden establecer un sistema de videovigilancia con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. Se ha de valorar si la finalidad pretendida puede lograrse de otra forma menos intrusiva para los derechos y libertades de los ciudadanos. Los datos personales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/18 solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios, considerando 39 del RGPD. 2.-Las imágenes obtenidas no puedan utilizarse para una finalidad ulterior incompatible con la que motivó la instalación del sistema de videovigilancia. 3.-Se deberá cumplir con el deber de informar a los afectados previsto en los artículos 12 y 13 del RGPD, y 22 de la LOPDGDD. En tal sentido, el artículo 22 de la LOPDGDD prevé en relación con la videovigilancia un sistema de “información por capas”. La primera capa ha de referirse, al menos, a la existencia del tratamiento (videovigilancia), la identidad del responsable, la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del RGPD y dónde obtener más información sobre el tratamiento de los datos personales. Esta información se contendrá en un dispositivo colocado en un lugar suficientemente visible y debe suministrarse por adelantado. La información de la segunda capa debe estar disponible en un lugar fácilmente accesible al afectado, ya sea una hoja informativa en una recepción, cajero, etc…, colocada en un espacio público visible o en una dirección web, y ha de referirse al resto de elementos del artículo 13 del RGPD. 4.- El tratamiento de las imágenes mediante la instalación de sistemas de cámaras o videocámaras deberá ser lícito y ajustarse al principio de proporcionalidad y al de minimización de datos, en los términos que seguidamente se desarrollarán. 5.- Las imágenes podrán conservarse por un plazo máximo de un mes, salvo en aquellos supuestos en que se deban conservar para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En este segundo supuesto, deberán ser puestas a disposición de la autoridad competente en un plazo máximo de 72 horas desde que se tuviera conocimiento de la existencia de la grabación. 6.- El responsable deberá llevar un registro de actividades de los tratamientos efectuados bajo su responsabilidad en el que se incluya la información a la que hace referencia el artículo 30.1 del RGPD. 7.- El responsable deberá realizar un análisis de riesgos o, en su caso, una evaluación de impacto en la protección de datos, para detectar los derivados de la implantación del sistema de videovigilancia, valorarlos y, en su caso, adoptar las medidas de seguridad apropiadas. 8.- Cuando se produzca una brecha de seguridad que afecte a los tratamientos de cámaras con fines de seguridad, siempre que exista riesgo para los derechos y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/18 libertades de las personas físicas, deberá notificarlo a la AEPD en un plazo máximo de 72 horas. Se entiende por brecha de seguridad la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizado a dichos datos. 9.- Cuando el sistema esté conectado a una central de alarma, únicamente podrá ser instalado por una empresa de seguridad privada que reúna los requisitos contemplados en el artículo 5 de la Ley 5/2014 de Seguridad Privada, de 4 de abril. Los responsables del tratamiento que instalan estos equipos están obligados a conocer y cumplir los requisitos y principios previstos en la citada normativa -respecto de los que no cabe alegar desconocimiento- máxime cuando disponen para su ayuda e interpretación de diversas fuentes de información, guías, y herramientas que a título orientativo se ofrecen por la Agencia Española de Protección de Datos a través de su página web [https://www.aepd.es] acceso a: la legislación en materia de protección de datos personales, incluyendo el RGPD y la LOPDGDD (apartado “Informes y resoluciones” / “normativa”), la Guía sobre el uso de videocámaras para seguridad y otras finalidades, la Guía para el cumplimiento del deber de informar (ambas disponibles en el apartado “Guías y herramientas”). También resulta de interés, en caso de realizar tratamientos de datos de bajo riesgo, la herramienta gratuita Facilita (en el apartado “Guías y herramientas”), que, mediante unas preguntas concretas, permite valorar la situación del responsable respecto del tratamiento de datos personales que lleva a cabo, y en su caso, generar diversos documentos, cláusulas informativas y contractuales, así como un anexo con medidas de seguridad orientativas consideradas mínimas. Una vez expuestos los requisitos principales de la normativa aplicable, de los antecedentes obrantes en el presente expediente y la instrucción practicada se deduce que la reclamada ha ignorado el cumplimiento de uno de los principios del tratamiento contenidos en el artículo 5 del RGPD, en concreto denominado principio de minimización de datos contenido en el artículo 5.1.
- c)del RGPD, que dispone que los datos personales serán “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados". Esto significa que en un tratamiento concreto sólo pueden tratarse los datos personales oportunos, que vengan al caso y que sean los estrictamente necesarios para cumplir la finalidad para la que son tratados. El tratamiento debe ser ajustado y proporcional a la finalidad a la que se dirige. La pertinencia en el tratamiento de los datos debe producirse tanto en el momento de la recogida de los datos como en el posterior tratamiento que se realice de los mismos. Conforme a lo antedicho, debe restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/18 La aplicación del principio de minimización de datos en materia de videovigilancia comporta que no puedan captarse imágenes de la vía pública, puesto que el tratamiento de imágenes en lugares públicos sólo puede ser realizado por las Fuerzas y Cuerpos de Seguridad previa autorización gubernativa. En general, las cámaras y videocámaras instaladas con fines de seguridad no podrán obtener imágenes de la vía pública salvo que resulte imprescindible para dicho fin, o resulte imposible evitarlo por razón de la ubicación de aquéllas. Y, en tal caso extraordinario, las cámaras sólo podrán captar la porción mínima necesaria para preservar la seguridad de las personas y bienes, así como de sus instalaciones. Las cámaras instaladas no pueden obtener imágenes de espacio privativo de tercero y/o espacio público sin causa justificada debidamente acreditada, ni pueden afectar a la intimidad de transeúntes que transiten libremente por la zona. No está permitida, por tanto, la colocación de cámaras hacia la propiedad privada de vecinos con la finalidad de intimidarlos o afectar a su ámbito privado sin causa justificada. Tampoco pueden captarse ni grabarse imágenes en espacios propiedad de terceros sin el consentimiento de sus titulares, o, en su caso, de las personas que en ellos se encuentren. Asimismo, resulta desproporcionado captar imágenes en espacios privados, tales como vestuarios, taquillas o zonas de descanso de trabajadores. En lo que respecta a espacios públicos, en ningún caso se admitirá el uso de prácticas de vigilancia más allá del entorno objeto de la instalación y, en particular, no pudiendo afectar a los espacios públicos circundantes, edificios contiguos y vehículos distintos de los que accedan al espacio vigilado. Analizando los antecedentes obrantes en el presente expediente, tal y como la misma reconoce en su escrito de alegaciones al acuerdo de inicio, y como claramente muestran las fotografías aportadas por la misma, se puede afirmar sin lugar a dudas que el campo de visión de uno de los monitores (frontal) estaba captando zona de la vía pública más allá de la valla, puerta de acceso y espacio interior que permitía el acceso al gimnasio, grabando tanto a los posibles transeúntes, como los espacios circundantes, edificios contiguos y vehículos, siendo susceptible de grabar datos personales que no eran “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados”. Por tanto, la captación realizada era lícita en sus fines pero no era proporcional, por lo que cabe sancionar el incumplimiento del artículo 5.1.
- c)del RGPD, ya que la reclamada actuó con negligencia al no orientar la cámara de forma que no captara la vía pública más allá de la valla/puerta, o no anonimizar las imágenes con medios como las máscaras de privacidad para ocultar las imágenes grabadas en exceso. IV Comisión de infracción administrativa Tal y como se ha expuesto anteriormente, de conformidad con las evidencias de las que se dispone e instrucción practicada, se considera que los hechos expuestos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/18 vulneran lo establecido en el artículo 5.1.
- c)del RGPD, cometiendo la entidad reclamada una infracción administrativa tipificada en el artículo 83.5 del RGPD, que dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20. 000. 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9 (…)”. A efectos del plazo de prescripción de las infracciones, la infracción señalada en el párrafo anterior sería de 3 años, pues la misma se considera muy grave conforme al artículo 72.1 de la LOPDGDD, que establece que: “En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.” V Propuesta de sanción La sanción prevista en el artículo 83. 5º antedicho, es por tanto de multa de hasta 20 millones de euros, multa que deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Por tanto, procede graduar la sanción a imponer de acuerdo con los criterios que establece el artículo 83.2 del RGPD, y con lo dispuesto en el artículo 76 de la LOPDGDD, respecto al apartado
- k)del citado artículo 83.2 RGPD. Teniendo en cuenta los mismos, a la luz de los hechos enjuiciados, se mantiene la sanción propuesta en el acuerdo de inicio, y en atención al grado de negligencia concurrente, y las circunstancias concurrentes, se considera que la sanción a imponer debe ser la de multa administrativa de 500 euros. A la vista de lo expuesto, se procede a emitir la siguiente PROPUESTA DE RESOLUCIÓN Que por la Directora de la Agencia Española de Protección de Datos se sancione a TITAN STRONG, S.L., con NIF B88048608, por una infracción del Artículo 5.1.
- c)del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 500 € (QUINIENTOS EUROS. Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se informa a la entidad reclamada de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción proC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/18 puesta, lo que supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en 400 € (CUATROCIENTOS EUROS) y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº IBAN: ES00-0000-0000-00000000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. En su virtud, se le notifica cuanto antecede a la reclamada, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. 926-070623 D.D.D. INSTRUCTOR/A C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/18 ANEXO Índice del expediente EXP202306046 (PS/00385/2023) 22/04/2023 Reclamación interpuesta por A.A.A. 10/05/2023 Traslado reclamación a TITAN STRONG, S.L. 05/06/2023 Alegaciones de la entidad reclamada TITAN STRONG, SL 22/07/2023 Comunicación a A.A.A. de la admisión a trámite de la reclamación. 16/08/2023 Remisión denuncia de la Policía Municipal remitida por el AREA DE GOBIERNO DE VICEALCALDÍA DEL AYUNTAMIENTO DE MADRID. 26/09/2023 Acuerdo de inicio a TITAN STRONG, S.L, notificado el mismo día 26 de septiembre. 26/09/2023 Comunicación del acuerdo de inicio a la reclamante. 26/09/2023 Comunicación del acuerdo de inicio al AYUNTAMIENTO DE MADRID 10/10/2023 Alegaciones de TITAN STRONG, SL >> SEGUNDO: En fecha 29 de noviembre de 2023, la parte reclamada ha procedido al pago de la sanción en la cuantía de 400 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción, en relación con los hechos a los que se refiere la propuesta de resolución. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/18 tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202306046, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a TITAN STRONG, S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/18 día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 968-21112023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es