1/8 Procedimiento Nº: PS/00387/2019 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 26 de julio de 2019, tuvo entrada en esta Agencia Española de Protección de Datos un escrito presentado por Don A.A.A. (en lo sucesivo, el reclamante), mediante el que formula reclamación contra Don B.B.B. con NIF ***NIF.1 (en adelante, el reclamado), por la instalación de un sistema de videovigilancia en la ***DIRECCION.1, existiendo indicios de un posible incumplimiento de lo dispuesto en la normativa de protección de datos. Los motivos que fundamentan la reclamación y, en su caso, los documentos aportados por el reclamante son los siguientes: Un vecino denuncia que en la casa situada en ***DIRECCION.1, han puesto 6 cámaras de videovigilancia que graba zonas comunes: la planta baja y vía pública. Acompaña fotografías de la casa y las cámaras. SEGUNDO: Con carácter previo a la admisión a trámite de esta reclamación, se trasladó al reclamado, de conformidad con lo establecido en el artículo 65.4 la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). El resultado de esta actuación se describe a continuación. El reclamado presentó escrito indicando que ha puesto 4 cámaras de videovigilancia para seguridad de su familia, ya que se han producido robos en la localidad y la casa está alejada. Presenta imágenes de lo que graban las cámaras, añadiendo que la cámara 3 no está operativa. El vecino del segundo piso no vive en la vivienda, ya que tiene una orden de alejamiento (no aporta documentación al respecto). El único que accede a las imágenes es él, aunque solo las ve cuando ha sucedido algún problema y las presenta a las autoridades. TERCERO: La reclamación fue admitida a trámite mediante resolución de 25 de octubre de 2019. CUARTO: Con fecha 7 de enero de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del Artículo 5.1.
- c)del RGPD, tipificada en el Artículo 83.5 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 QUINTO: En fecha 16/01/20 se recibe escrito de alegaciones del denunciado en los siguientes términos: “No quiero cometer ninguna acción ilegal o que atente contra la Ley de Protección de Datos, les puedo pagar los gastos de gasolina pues soy pensionista (…). No obstante, les adjunto en mi respuesta dos Sentencias contra A.A.A. (…) la segunda incluye medida preventiva de 25 metros con respecto de mi mujer y para mí. Nos ha ayudado a poder demostrar ciertas cosas que de no tenerlas no hubiera sido posible. Esas cámaras en su origen están puestas por los robos ocurridos en el pueblo dónde vivo (…) por todo lo que nos ha ocurrido que presento aquí de forma muy resumida” “Añadir que NO hay comunidad constituida y que a este respecto tengo a mi mujer el 55% de la copropiedad, les adjunto página de las escrituras que si lo acreditan, por si esto sirve para algo”. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS Primero. En fecha 26/07/19 se recibe en esta Agencia reclamación del denunciante trasladado como hecho principal el siguiente: “Un vecino denuncia que en la casa situada en ***DIRECCION.1, han puesto 6 cámaras de videovigilancia que graba zonas comunes: la planta baja y vía pública. Acompaña fotografías de la casa y las cámaras”. Segundo. Consta identificado como principal responsable el vecino de la localidad Don B.B.B., el cual reconoce la instalación de al menos cuatro cámaras. Tercero. Manifiesta mantener una mala relación con el denunciante, señalando la existencia de diversas conductas delictivas, así como juicios pendientes con el mismo, aportando como medio de prueba lo siguiente: -Copia Sentencia AP Sección nº3 (León) de fecha XX/XX/XXXX. Cuarto. No se ha podido constatar que es lo que se observa con el sistema en cuestión, al no aportar impresión de pantalla de lo que en su caso se graba o visualiza. Quinto. No consta acreditado al no aportar prueba alguna que el denunciado disponga de cartel informativo, adaptado a la normativa en vigor. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), reconoce a cada Autoridad de Control, y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y resolver este procedimiento. II La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. En el artículo 4.2 del RGPD se define el concepto de “tratamiento” de datos personales. Es, por tanto, pertinente analizar si el tratamiento de datos personales (imagen de las personas físicas) llevado a cabo a través del sistema de videovigilancia denunciado es acorde con lo establecido en el RGPD. III El artículo 6.1 del RGPD establece los supuestos que permiten considerar lícito el tratamiento de datos personales. Por su parte, el artículo 5.1.
- c)del RGPD, relativo a los principios del tratamiento, dispone que los datos personales serán “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados (“minimización de datos”).” Este artículo consagra el principio de minimización de datos en el tratamiento de los datos personales. Supone que dicho tratamiento sea ajustado y proporcional a la finalidad a la que se dirige, debiendo restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. La pertinencia en el tratamiento de los datos debe producirse tanto en el ámbito de la recogida de los datos como en el posterior tratamiento que se realice de los mismos. Por otra parte, conforme a lo establecido en el artículo 22 de la LOPDGDD, referido específicamente a los “Tratamientos con fines de videovigilancia”, el tratamiento de imágenes en lugares públicos sólo puede ser realizado -en su caso y previo el cumplimiento de los requisitos legalmente exigibles-, por las Fuerzas y Cuerpos de Seguridad, a menos que opere la excepción establecida en el citado artículo 22 de la LOPDGDD para las personas físicas o jurídicas, públicas o privadas, respetando las condiciones exigidas en dicho artículo. En algunas ocasiones la protección de los espacios privados sólo es posible si las cámaras se ubican en espacios como las fachadas. A veces también resulta necesC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 ario captar los accesos, puertas o entradas, de modo que, aunque la cámara se encuentre en el interior del edificio, resulta imposible no registrar una parte mínima e imprescindible de la vía pública, que inevitablemente se capta. Para que esta excepción sobre la protección de espacios privados resulte aplicable, no deberá existir una posibilidad de instalación alternativa. En estos casos, el responsable del tratamiento realizado a través de cámaras adecuará el uso de la instalación, de modo que el impacto en los derechos de terceros (viandantes) sea el mínimo posible. En ningún caso se admitirá el uso de prácticas de vigilancia más allá del entorno objeto de la instalación, no pudiendo afectar a los espacios públicos circundantes, edificios contiguos y vehículos distintos de los que accedan al espacio vigilado. IV De conformidad con lo expuesto, el tratamiento de imágenes a través de un sistema de videovigilancia, para ser conforme con la normativa vigente, debe cumplir los requisitos siguientes: - Respetar el principio de proporcionalidad. - Cuando el sistema esté conectado a una central de alarma, únicamente podrá ser instalado por una empresa de seguridad privada que reúna los requisitos contemplados en el artículo 5 de la Ley 5/2014 de Seguridad Privada, de 4 de abril. - Las videocámaras no podrán captar imágenes de las personas que se encuentren fuera del espacio privado en donde esté instalado el sistema de videovigilancia, ya que el tratamiento de imágenes en lugares públicos sólo puede ser realizado, salvo que concurra autorización gubernativa, por las Fuerzas y Cuerpos de Seguridad. Tampoco pueden captarse ni grabarse espacios propiedad de terceros sin el consentimiento de sus titulares, o, en su caso, de las personas que en ellos se encuentren. Esta regla admite alguna excepción ya que, en algunas ocasiones, para la protección de espacios privados, donde se hayan instalado cámaras en fachadas o en el interior, puede ser necesario para garantizar la finalidad de seguridad la grabación de una porción de la vía pública. Es decir, las cámaras y videocámaras instaladas con fines de seguridad no podrán obtener imágenes de la vía pública salvo que resulte imprescindible para dicho fin, o resulte imposible evitarlo por razón de la ubicación de aquéllas y extraordinariamente también se recogerá el espacio mínimo para dicha finalidad. Por lo tanto, las cámaras podrían excepcionalmente captar la porción mínimamente necesaria para la finalidad de seguridad que se pretende. - Se deberá cumplir el deber de informar a los afectados previsto en los artículos 12 y 13 del RGPD, resultando de aplicación -al no contradecir las disposiciones del referido Reglamento-, el modo previsto en el artículo 3 de la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el Tratamiento de Datos Personales con Fines de Vigilancia a través de Sistemas de Cámaras o Videocámaras. En concreto se deberá colocar en las zonas videovigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 como cerrados, en el que se identificará, al menos, la existencia de un tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en dichos preceptos. Asimismo, deberá mantenerse a disposición de los afectados la información a la que se refiere el citado RGPD. - El responsable deberá llevar un registro de actividades de los tratamientos efectuados bajo su responsabilidad en el que se incluya la información a la que hace referencia el artículo 30.1 del RGPD. - Las cámaras instaladas no pueden obtener imágenes de espacio privativo de tercero y/o espacio público sin causa justificada debidamente acreditada, ni pueden afectar a la intimidad de transeúntes que transiten libremente por la zona. No está permitida, por tanto, la colocación de cámaras hacia la propiedad privada de vecinos con la finalidad de intimidarlos o afectar a su ámbito privado sin causa justificada. - En ningún caso se admitirá el uso de prácticas de vigilancia más allá del entorno objeto de la instalación y en particular, no pudiendo afectar a los espacios públicos circundantes, edificios contiguos y vehículos distintos de los que accedan al espacio vigilado. En relación con lo expuesto, para facilitar la consulta a los interesados la Agencia Española de Protección de Datos ofrece a través de su página web [https://www.aepd.es] acceso a la legislación en materia de protección de datos personales, incluyendo el RGPD y la LOPDGDD (apartado “Informes y resoluciones” / “normativa”), así como a la Guía sobre el uso de videocámaras para seguridad y otras finalidades, así como la Guía para el cumplimiento del deber de informar (ambas disponibles en el apartado “Guías y herramientas”). También resulta de interés, en caso de realizar tratamientos de datos de bajo riesgo, la herramienta gratuita Facilita (en el apartado “Guías y herramientas”), que mediante unas preguntas concretas, permite valorar la situación del responsable respecto del tratamiento de datos personales que lleva a cabo, y en su caso, generar diversos documentos, cláusulas informativas y contractuales, así como un anexo con medidas de seguridad orientativas consideradas mínimas. V Los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, se establecen en el artículo 58.2 del RGPD. Entre ellos se encuentran la potestad de sancionar con apercibimiento -artículo 58.2 b)-, la potestad de imponer una multa administrativa con arreglo al artículo 83 del RGPD -artículo 58.2 i)-, o la potestad de ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un plazo especificado -artículo 58. 2 d)-. Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en el artículo 58.2
- d)del citado Reglamento es compatible con la sanción consistente en multa administrativa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 Sin perjuicio de lo establecido en el artículo 83 del RGPD, el citado Reglamento dispone en su art. 58.2
- b)la posibilidad de sancionar con apercibimiento, en relación con lo señalado en el Considerando 148: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” VI De conformidad con las evidencias de las que se dispone en el presente procedimiento sancionador, se considera que el reclamado dispone de videocámara instaladas en el exterior de su vivienda, con capacidad de obtención de imágenes de zonas comunes del inmueble. El motivo de constatar la infracción administrativa, se resume en la orientación de las cámaras, así como en las insuficientes explicaciones otorgadas por el denunciado, desconocedor como manifiesta de la materia de protección de datos. Los hechos son constitutivos de una infracción, imputable al reclamado, por vulneración del contenido del art. 5.1
- c)RGPD, anteriormente citado. El artículo 83.5 letra
- a)RGPD dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; A efectos del plazo de prescripción de las infracciones, la infracción señalada en el párrafo anterior se considera muy grave y prescribe a los tres años, conforme al artículo 72.1 de la LOPDGDD, que establece que: “En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 En el presente caso, se tiene en cuenta que se trata de un particular sin infracción previa acreditada en esta Agencia, así como que ha realizado alegaciones sobre los dispositivos en cuestión, debiendo corregir el ángulo de grabación de alguna cámara, considerando concluir el procedimiento con una propuesta de Apercibimiento. VII En el presente caso, analizadas las alegaciones esgrimidas, cabe concluir que el denunciado dispone de un sistema de cámaras de video-vigilancia, instalado por motivos de seguridad, sirviendo las imágenes del mismo como medio de prueba de las presuntas conductas delictivas, en el presente caso del denunciante. Como quiera que parece que entre las partes existe litigio judicial, será en su caso en este contexto en dónde se deberán realizar las alegaciones oportunas, en el caso que las imágenes se hayan aportado al Juzgado competente por razón de la materia. Las alegaciones de la parte denunciada son insuficientes para decretar el Archivo del procedimiento, optándose en el presente caso por un mero Apercibimiento. Se tiene en cuenta que el denunciante puede haber cometido conductas “delictivas” contra el denunciado y miembros de su familia, justificando la instalación de las cámaras por motivos de seguridad personal. Este organismo, ya se ha manifestado en diversas ocasiones sobre el hecho que una interpretación restrictiva de la norma puede suponer un doble castigo para la víctima de conductas incívicas, al no poder demostrar al probable autor de las mismas; dada la gravedad de las conductas analizadas en sede judicial (vgr. Delito de amenazas), se considera acertado mantener el sistema de cámaras, pues están cumplen una función preventiva de nuevos hechos reprobables penal y administrativamente, que tienen como principal protagonista al propio denunciante: Don A.A.A.. La retirada de la cámara (
- s)puede suponer una situación de indefensión del denunciado y su familia, que se verían a merced de nuevas conductas incívicas o verse afectados por hechos delictivos de mayor calado. Lo anterior no implica que el denunciante no tenga ningún derecho, si bien se ven limitados por sus propios actos, que han sido declarados contrarios a las pautas mínimas de convivencia, lo que justifica que tenga que soportar que las cámaras estén orientadas hacia los principales puntos conflictivos, salvo resolución judicial en contrario. En caso de duda el denunciado, puede solicitar orientación en el puesto de la Guardia Civil más próximo al lugar dónde reside o bien contratar los servicios de un profesional técnico que le instale debidamente el sistema de cámaras, con un coste mínimo o bien acreditar que el mismo se ajusta a la legalidad vigente. De manera que el denunciado puede mantener el sistema de cámaras, si bien cumpliendo los requisitos legales del mismo, esto es, las cámaras deben estar orientadas en principio hacia su propiedad particular, solo excepcionalmente se pueden orienC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 tar hacia espacio público/privativo o incluso estar ocultas con el fin de acreditar la responsabilidad de presuntas condutas incívicas o delictivas. También deberá contar con un cartel homologado adaptado a la nueva normativa, indicando que se trata de una zona video-vigilada. Por último, se advierte a las partes, que este organismo no va a entrar a valorar cuestiones litigiosas ni las pruebas aportadas para respaldar sus pretensiones en sede judicial, debiendo ser en las instancias judiciales oportunas dónde deben dirimir sus asuntos personales. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a Don B.B.B., con NIF ***NIF.1, por una infracción del Artículo 5.1.
- c)del RGPD, tipificada en el Artículo 83.5 del RGPD, una sanción de Apercibimiento. A tal efecto en el plazo de UN MES desde la notificación del presente acto, deberá acreditar lo siguiente: -Instalación del sistema conforme a la normativa en vigor, mediante el correspondiente Informe técnico. -Acreditación de disponibilidad de cartel informativo adaptado a la normativa de protección de datos en vigor. SEGUNDO: NOTIFICAR la presente resolución al denunciado Don B.B.B. e INFORMAR del resultado de las actuaciones al denunciante Don A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es