← España

PS-00390-2018

1/15 938-0419 Procedimiento Nº: PS/00390/2018 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 29 de mayo de 2018 se registra de entrada reclamación formulada por Dña. A.A.A., (en adelante, la reclamante), poniendo de manifiesto que una de las cámaras del sistema de videovigilancia instalado por la entidad COFEMEL SOCIEDADE DE VESTUARIO S.A., SUCURSAL EN ESPAÑA, (en adelante, el reclamado), en el establecimiento con nombre comercial TIFFOSI, sita en el Centro Comercial LA GAVIA de la ***DIRECCION.1, está situada en el vestuario del personal y zona de descanso, suponiendo un tratamiento de datos que vulnera gravemente el derecho de los empleados a su intimidad. Según la reclamante, las imágenes grabadas por dicho sistema de videovigilancia son visionadas por las supervisoras del establecimiento y por otros mandos intermedios, como ocurre con el encargado de la tienda, quien, además, puede visualizarlas en forma remota desde su propio domicilio. Igualmente, la reclamante aduce que el monitor del sistema está situado en el citado vestuario, dependencia que hace también las veces de almacén, por lo que las imágenes captadas están a la vista de todos los empleados. Asimismo, añade que el cartel informativo de zona videoviglada no resulta claramente visible al estar colocado a la altura del suelo. La reclamante adjunta dos fotografías. Una de las cuales, según la reclamante, se corresponde con la cámara situada en el vestuario y muestra unas taquillas que tienen ropa colgada. La otra fotografía muestra parte de un teclado y un monitor SAMSUNG en el que se visualizan nueve imágenes fechadas el 16 de mayo de 2018 de distintas zonas del establecimiento comercial en cuestión. SEGUNDO: Con fecha 11 de septiembre de 2018 tiene entrada en esta Agencia escrito del representante legal del reclamado al que, en contestación al requerimiento de información formulado a dicha Sociedad, se adjunta la siguiente documentación: Impresión del cartel informativo de zona videovigilada, en el que se identifica al reclamado como responsable del tratamiento de videovigilancia. Este cartel no ofrece toda la información que debe facilitarse a los interesados, ni ofrece un sistema de información por capas que posibilite el acceso a la misma. Entre otras irregularidades se observa que no se detallan los derechos de protección de datos que se pueden ejercitar ante el responsable del tratamiento teniendo en cuenta la especialidad de la materia de videovigilancia (derechos de acceso, supresión y la limitación del tratamiento reconocidos en los artículos 15, 17 y 18 del RGPD). Una fotografía del reseñado cartel que, según afirma el reclamado, se exhibe en el frontal de la tienda, si bien la fotografía aportada no permite conocer la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es ubicación exacta del cartel al no mostrar el lugar exacto de su colocación, por lo que no prueba que se encuentre colocado, en forma visible, en los accesos a la zona vigilada Un plano indicativo de las nueve cámaras instaladas en la tienda. El documento aportado no está fechado ni permite identificar la ubicación y nomenclatura de cada uno de los dispositivos al no resultar legible la información escrita contenida en el mismo. Copia del panel de visionado de las cámaras, donde, según se señala por el reclamado, se pueden apreciar las áreas que graba a fecha 27 de agosto de 2018 y que no graban imágenes de terrenos y viviendas colindantes o espacio ajeno. La contestación realizada no facilita información alguna relativa a la existencia de la cámara de videovigilancia fotografiada por la reclamante y ubicada, según ésta, en una zona usada como vestuario y almacén, y sobre la que nada informa el reclamado, no permitiendo asociar dicha cámara con ninguna de las imágenes del panel fotografiado ni con su ubicación en el plano ni con las finalidades para las que se usa la zona videovigilada por esa cámara. El reclamado tampoco ha facilitado información que justifique el lugar exacto en el que han estado y/o están el monitor y grabador, personas autorizadas para el visionado de las imágenes, medidas de seguridad adoptadas para proteger la confidencialidad y restringir el acceso a las imágenes, confirmación de si se puede acceder en forma remota a las mismas como indica la reclamante. TERCERO: Consultada el 11 de enero de 2018 la aplicación de la AEPD que gestiona la consulta de antecedentes de sanciones y apercibimientos precedentes, se verifica que al reclamado no le constan registros previos. CUARTO: Con fecha 18 de enero de 2019, la Directora de la Agencia Española de Protección de Datos acordó, de conformidad con lo previsto en el artículo 58.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, (en adelante RGPD), iniciar procedimiento sancionador a COFEMEL SOCIEDADE DE VESTUARIO S.A., SUCURSAL EN ESPAÑA, por la presunta infracción tanto de los apartados

  1. c)y
  2. f)del artículo 5 del RGPD como del artículo 13 del mismo Reglamento, tipificadas, respectivamente, en el artículo 83.5.
  3. a)y
  4. b)del RGPD, estimando que la sanción que pudiera corresponder sería de APERCIBIMIENTO, sin perjuicio de lo que resultara de la instrucción. QUINTO: Con fecha 7 de febrero de 2019 se registra de entrada escrito de alegaciones del representante legal del reclamado en el que, en síntesis, se indica: En relación con la videocámara situada en el almacén de la tienda se señala que, como puede comprobarse en la documentación aportada con anterioridad, el ángulo de la misma se redujo con el fin de limitar la grabación a la puerta trasera y ordenador, de tal forma que no captara imágenes de la zona de descanso/vestuario del personal, conforme acredita el tamaño más reducido de la pantalla que muestra las imágenes recogidas por la cámara 9, correspondiente al almacén. Indican que se adjunta documentación que muestra imagen de las cámaras de seguridad y del zoom 3/15 para mostrar que no se graban imágenes de la zona correspondiente al descanso/vestuario de los empleados. Se han adoptado medidas técnicas y organizativas para garantizar que el acceso a la visualización de las imágenes captadas se limite, únicamente en caso de necesidad, a dos empleados del departamento de IT, cuya identificación se facilita, que han de estar dentro de la red/VPN, conocer la IP de acceso e identificarse con usuario y contraseña. Estos mismos empleados también están autorizados a visualizar dichas imágenes a través de remoto Las imágenes se conservan 30 días, borrándose automáticamente. En el cartel de aviso se ha incluido la relación de los derechos, poniéndose a disposición de los interesados un documento informativo adicional que amplia y detalla la información. Se adjuntan fotografías que muestran los lugares en que se ha colocado el cartel de zona videovigilada (escaparte, almacén y caja), impresión del contenido del cartel informativo y documento con la información complementaria al mismo. SEXTO: A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS Primero: Con fecha 29 de mayo de 2018 tiene entrada en esta Agencia escrito de la reclamante poniendo de manifiesto que las supervisoras y mandos intermedios de la tienda de la marca “TIFFOSI” del Centro Comercial de “La Gavia” de Madrid acceden indiscriminadamente, e incluso en forma remota en el caso del encargado, a las grabaciones de las imágenes captadas por las cámaras de videovigilancia instaladas en dicho local comercial por la entidad COFEMEL SOCIEDADE DE VESTUARIO S.A., SUCURSAL EN ESPAÑA, (el reclamado), teniendo, por tanto, acceso a las imágenes recogidas por la cámara situada en el vestuario y zona de descanso del personal de la tienda, vulnerándose con ello el derecho a la intimidad de los trabajadores del citado local. La reclamante añade que el monitor que muestra las imágenes recogidas por las diferentes cámaras del sistema de videovigilancia está a la vista de todos los empleados que acceden a dicho vestuario, utilizado también como almacén. Paralelamente, la reclamante señala que el cartel informativo de zona videovigilada no resulta claramente visible al estar colocado a la altura del suelo. Segundo: La reclamante adjunta a su reclamación dos fotografías tomadas en la zona de vestuario del local comercial reseñado. En la fotografía que, según la reclamante, muestra la “Imagen de la cámara de videograbación instalada en los vestuarios del personal”, se observa una cámara instalada en una zona con varias taquillas con ropa colgada. En la otra fotografía, que, según la reclamante, muestra la “Imagen del monitor de las cámaras, captada al estar instalado a la vista de todos”, aparece parte de un teclado y un monitor SAMSUNG en el que se visualizan nueve imágenes fechadas el 16 de mayo de 2018 de distintas zonas del local comercial en cuestión, en una de las cuales aparece un microondas y una nevera. Tercero: El reclamado es responsable del tratamiento de datos personales derivado de la instalación en la mencionada tienda de un sistema de videovigilancia integrado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es por nueve cámaras, una de las cuales, identificada como cámara 9, está situada en una dependencia utilizada como vestidor y zona de descanso por los empleados, que también se usa como almacén. Las imágenes obtenidas pueden visualizarse en tiempo real y en forma remota. Estas imágenes son grabadas, conservándose almacenadas durante 30 días y borrándose automáticamente. Cuarto: Con fecha 11 de septiembre de 2018 el reclamado presenta, entre otra, la siguiente documentación: 4.1. impresión del cartel informativo de “Zona videovigilada”, incluyendo: identificación del reclamado como responsable del tratamiento de videovigilancia y dirección del mismo; forma y medios a través de los que poder ejercitar los derechos de protección de datos ante el mismo, base legitimadora del tratamiento y finalidades del mismo. 4.2. Captura de impresión de nueve imágenes que, según afirma el reclamado, se obtuvieron el 27 de agosto del 2018 del panel de visionado de las cámaras del sistema de videoviglancia del local comercial. Quinto: Con fecha 7 de febrero de 2019 el reclamado ha alegado la implantación de las siguientes medidas técnicas y organizativas: 5.1 Reducción del ángulo de la videocámara 9 a fin de no captar imágenes de la zona de descanso/vestuario del personal. Adjunta impresión de captura de imagen obtenida desde la cámara 9 con fecha 30 de enero de 2019 mostrando una puerta y material informático. 5.2 Acceso restringido a la visualización de las imágenes captadas por el sistema de videovigilancia, incluido el acceso en remoto, a dos personas autorizadas que deben estar dentro de la red/VPN, conocer la IP de acceso e identificarse con usuario y contraseña. 5.3 Modificación del cartel informativo de “Zona Videovigilada“, incluyendo detalle de los derechos previstos en los artículos 15, 17 y 18 del RGPD y un mecanismo para obtener más información, consistente en poner a disposición de los interesados un documento conteniendo la información adicional restante sobre los aspectos recogidos en el artículo 13 del RGPD. Adjunta impresión del cartel de “Zona Videovigilada” y del documento con la información adicional puesto a disposición de los interesados. 5.4 Colocación de dicho cartel en el escaparte, almacén y caja del local. FUNDAMENTOS DE DERECHO I En virtud de los poderes que los artículos 55.1, 56.2 y 58.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27/04/2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, (en lo sucesivo, RGPD), reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales, (en lo sucesivo LOPDGDD), la directora de la AEPD es competente para iniciar y para resolver este procedimiento. 5/15 El artículo 63.2 de la LOPDGDD establece que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II El artículo 4 del el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento General de Protección de Datos, en adelante RGPD), bajo la rúbrica “Definiciones”, dispone que: “A efectos del presente Reglamento se entenderá por: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” Por lo tanto, de conformidad con dichas definiciones, la captación de imágenes de personas físicas, identificadas o identificables, a través de sistemas de videovigilancia, constituye un tratamiento de datos de carácter personal, respecto del cual el responsable del tratamiento ha de dar cumplimiento a lo previsto en el artículo 13 del RGPD. III En primer término, se imputa al reclamado, en su condición de responsable del tratamiento con fines de videovigilancia efectuado en el local comercial señalado, una infracción a lo dispuesto en los apartados
  5. c)y
  6. f)del artículo 5 del RGPD, los cuales determinan en cuanto a los “Principios relativos al tratamiento” que: “Los datos personales serán: (…)
  7. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados (“minimización de datos”).
  8. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas (“integridad y confidencialidad”)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es Paralelamente, el artículo 5 de la LOPDGDD, bajo la rúbrica ”Deber de confidencialidad”, señala que: “1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.
  9. f)del Reglamento (UE) 2016/679. 2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable. 3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento”. Dichos preceptos han de relacionarse con lo previsto en el artículo 22.1 y 8 de la LOPDGDD para los casos de “Tratamientos con fines de videovigilancia”, disponiéndose en los mismos que: “1. Las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. (…) 8. El tratamiento por el empleador de datos obtenidos a través de sistemas de cámaras o videocámaras se somete a lo dispuesto en el artículo 89 de esta ley orgánica.” El artículo 89 de la LOPDGDD, bajo la rúbrica “Derecho a la intimidad frente al uso de dispositivos de videovigilancia y de grabación de sonidos en el lugar de trabajo”, en su apartado 2 dispone lo siguiente: “2. En ningún caso se admitirá la instalación de sistemas de grabación de sonidos ni de videovigilancia en lugares destinados al descanso o esparcimiento de los trabajadores o los empleados públicos, tales como vestuarios, aseos, comedores y análogos. IV El artículo 5.1.
  10. c)del RGPD recoge como uno de los principios relativos al tratamiento el de minimización de datos, conforme al cual los datos objeto de tratamiento en materia de videovigilancia deberán ser adecuados, pertinentes y limitados en relación con los fines se seguridad para los que son tratados, debiendo limitarse el tratamiento de las imágenes al mínimo necesario o imprescindible para la finalidad pretendida. Por lo que no sólo el número de cámaras deberá limitarse a las necesarias para cumplir la función de vigilancia, sino que también los monitores y el sistema de grabación deberán situarse en lugares vigilados o zonas restringidas, de forma que, en la medida de los posible, no estén expuestos al público. Además, las imágenes únicamente deberán resultar accesibles al personal autorizado para controlar los dispositivos de visualización y grabación. Paralelamente, si el acceso se realiza con conexión a Internet se restringirá con un código de usuario y una contraseña, o cualquier otro medio que garantice la identificación y autenticación unívoca, que sólo serán conocidos por las personas autorizadas a acceder a dichas imágenes. 7/15 En este supuesto, a través de la documentación gráfica aportada por la reclamante descrita en el Hecho Probado Segundo y conforme se desprende de las propias alegaciones efectuadas por el reclamado al comunicar las medidas adoptadas para regularizar la situación, ha quedado probado que en la fecha de la reclamación el monitor de visualización de imágenes de videovigilancia y el sistema de grabación de las mismas estaban situados en la zona de vestuario y descanso, de tal modo que las imágenes mostradas a través de esos dispositivos no se visualizaban en un lugar vigilado o de acceso restringido. La reclamante también comunicó el acceso indiscriminado a las imágenes grabadas por las supervisoras y mandos intermedios de la tienda en tiempo real y en forma remota por el encargado. Respecto de este acceso por personal no autorizado, el reclamado ha alegado que se ha restringido la visualización de las imágenes captadas por el sistema de videovigilancia, incluido el acceso en remoto, a dos personas autorizadas que deben estar dentro de la red/VPN, conocer la IP de acceso e identificarse con usuario y contraseña, aunque no justifica la ubicación del monitor y el sistema de grabación en un lugar vigilado o de acceso restringido o las causas que limitan o impiden dicha medida. Además, está acreditado en el procedimiento que la cámara nº 9 ha venido recogiendo imágenes en una dependencia que se utiliza como vestuario y zona de descanso por el personal de la tienda, circunstancia que inevitablemente afecta al derecho a la intimidad y a la propia imagen de los empleados que han usado dicho espacio para esas concretas finalidades que afectan a su intimidad. Este tratamiento se ha producido no obstante que, en virtud del principio de minimización de datos, el reclamado ha de valorar la posibilidad de adoptar otros medios menos intrusivos a la intimidad de las personas para prevenir interferencias injustificadas en los derechos y libertades fundamentales. En relación con este particular, no hay que obviar que la Ley Orgánica 1/1982, de 5 de mayo, de Protección Civil del Derecho al Honor, a la Intimidad Personal y Familiar y a la Propia Imagen, dispone en su artículo 7 que: “Tendrán la consideración de intromisiones ilegítimas en el ámbito de protección determinado por el artículo segundo de esta Ley: 1. El emplazamiento en cualquier lugar de aparatos de escucha, de filmación, de dispositivos ópticos o de cualquier otro medio apto para grabar o reproducir la vida íntima de las personas. 2. La utilización de aparatos de escucha, dispositivos ópticos, o de cualquier otro medio para el conocimiento de la vida íntima de las personas o de manifestaciones o cartas privadas no destinadas a quien haga uso de tales medios, así como su grabación, registro o reproducción.” El hecho de que la videovigilancia pueda resultar legítima por razones de seguridad de instalaciones, personas y bienes, no implica necesariamente que la recogida y grabación de imágenes en determinados espacios cuyo uso afecta a la intimidad de las personas resulte legítima y proporcionada. En consecuencia, la instalación de una cámara de videovigilancia en zonas de vestuarios, baños y espacios de descanso de los trabajadores no cumple el principio de minimización de datos, estimándose una medida intrusiva para la intimidad de los trabajadores del local y la protección a su derecho de datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es Con posterioridad a la recepción del acuerdo de inicio del procedimiento el reclamado ha señalado que se ha reducido el ángulo de la videocámara nº 9 para no captar imágenes de la zona de descanso y vestuario del personal, aportando impresión de captura de imagen obtenida con fecha 30 de enero de 2019 desde ese dispositivo en la que únicamente se capta una puerta y material informático. Sin embargo, al no poder instalarse en ningún caso cámaras de videovigilancia en espacios utilizados por los afectados por el tratamiento como vestuario y/o zonas descanso se estima que la respuesta ofrecida por el reclamado resulta insuficiente e inadecuada, ya que ese concreto tratamiento supone una medida desproporcionada respecto de la finalidad de vigilancia y seguridad perseguida, debiendo prevalecer el principio de minimización de datos en determinados espacios en los que prima el derecho a la intimidad de los afectados frente al derecho a la seguridad. V En lo que respecta a la infracción del artículo 5.1.
  11. f)del RGPD que recoge como uno de los principios relativos al tratamiento el de confidencialidad, a la vista de lo actuado se estima que el reclamado no adoptó las medidas técnicas y organizativas necesarias tendentes a garantizar la seguridad de los datos personales captados por las cámaras del sistema de vigilancia instalado en el local comercial de su marca. La implementación de dichas medidas hubiera evitado que personas que no disponían de autorización para ello accediesen, sin limitación y sin justificación alguna, a las imágenes obtenidas y grabadas a través del sistema de videovigilancia instalado en el local comercial, y, más particularmente, visualizaran las imágenes recogidas por la cámara nº 9 en la dependencia utilizada como vestuario y zona de descanso del personal. Esta visualización de imágenes incontrolada por terceros no autorizados se ha venido produciendo al menos hasta que el reclamado adoptó, con posterioridad a la recepción del acuerdo de inicio del procedimiento, las medidas técnicas y organizativas reseñadas en el punto 5.2 del Hecho Probado Quinto a fin de limitar los accesos a las imágenes obtenidas. VI De conformidad con los argumentos expuestos en los Fundamentos de Derecho IV y V anteriores, COFEMEL ha vulnerado los principios de “minimización de datos” y de “confidencialidad” recogidos en los apartados 5.1.
  12. c)y
  13. f)del RGPD en relación con lo dispuesto en el artículo 5 de la LOPDGDD, infracción tipificada en el artículo 83.5.
  14. a)del RGPD y calificada como muy grave a efectos de prescripción en el artículo 72.1.
  15. a)de la LOPDGDD. VII En segundo término se imputa al reclamado la vulneración de lo previsto en el artículo 13 del RGPD, precepto que en cuanto a la ”Información que deberá facilitarse cuando los datos personales se obtengan del interesado” determina que: 1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  16. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante; 9/15
  17. b)los datos de contacto del delegado de protección de datos, en su caso;
  18. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  19. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  20. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  21. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  22. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  23. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  24. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  25. d)el derecho a presentar una reclamación ante una autoridad de control;
  26. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
  27. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3.Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4.Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es Por su parte, el artículo 12.1 del RGPD, referido a la “Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado”, establece lo siguiente: “1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda la información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativas al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con una lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios.” Dadas las peculiaridades del tratamiento objeto de estudio, los citados preceptos han de relacionarse con lo previsto en el artículo 22.4 de la LOPDGDD para los casos de “Tratamientos con fines de videovigilancia”, disponiéndose en el mismo que: “4. El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información. En todo caso, el responsable del tratamiento deberá mantener a disposición de los afectados la información a la que se refiere el citado reglamento.”. Con arreglo a los preceptos citados, que determinan la información que debe facilitarse al interesado en el momento de la recogida de sus datos, y lo dispuesto en el mencionado artículo 22.4 de la LOPDGDD, en lo que respecta al cumplimiento del deber de información el responsable del tratamiento deberá: 1. Colocar en las zonas videovigiladas, al menos, un distintivo informativo ubicado en lugar visible, y como mínimo, en los accesos a las zonas vigiladas ya sean interiores o exteriores. De haber varios accesos al espacio videovigilado, el reseñado distintivo deberá colocarse en cada uno de los mismos. 2. El distintivo de “zona videovigilada” deberá informar acerca de la existencia del tratamiento de videovigilancia, la identidad y datos de contacto del responsable del tratamiento o del sistema de videovigilancia y la posibilidad de ejercitar los derechos reconocidos en los artículos 15 a 22 del RGPD. Dicha información también podrá incluirse mediante un código de conexión o dirección de internet que dirija a la misma. Asimismo, se pondrá a disposición de los interesados el resto de la información que debe facilitarse a los afectados en cumplimiento del derecho de información regulado en el citado Reglamento (UE) 2016/679, de 27 de abril de 2016. VIII En el presente caso, de las actuaciones practicadas, ha quedado acreditado que con anterioridad al inicio del presente procedimiento el distintivo o cartel de “Zona Videovigilada” utilizado por el reclamado o ofrecía a los interesados afectados 11/15 por este tipo de tratamiento toda la información que debe facilitarse en cumplimiento del derecho de información regulado en el artículo 13 del RGPD. En concreto, el cartel informativo de “Zona Videovigilada” presentado en contestación al requerimiento de información que le fue efectuado tras la recepción de la reclamación, no especificaba los concretos derechos que prevé la normativa de protección de datos, ni tan siquiera mencionando los derechos más habituales en materia de videovigilacia. Igualmente, no señalaba dónde o cómo obtener el resto de información que debe facilitarse a los afectados cuando los datos personales se obtienen de los propios interesados, como son las imágenes de videovigilancia. Asimismo, consta en el procedimiento que con posterioridad a la recepción del acuerdo de inicio el reclamado pasó a utilizar el sistema de información por capas a fin de dar cumplimiento al deber de informar, facilitando en el cartel de “zona videovigilada” la información básica (primera capa) y ofreciendo la información complementaria y adicional (segunda capa) en un folleto o documento puesto a disposición de los interesados en el local comercial. El reclamado ha justificado dichos cambios aportando junto a su escrito de alegaciones al acuerdo de inicio copia del cartel de “Zona Videovigilada” con las modificaciones introducidas en el mismo y del folleto con la “Información complementaria sobre protección de Datos”. Se observa que en dicho cartel se ha incluido mención a los derechos de acceso, supresión y limitación del tratamiento, introduciéndose también la referencia “+info, pregunte a nuestro personal” a fin de poner a disposición de los interesados un documento adicional con la información restante sobre los aspectos recogidos en el artículo 13 del RGPD. Si bien en el cartel de “Zona Videovigilada” se hace alusión a los derechos más habituales, debería incluirse una referencia a la existencia de otros derechos en la documentación o folleto adicional, donde debería de informarse sobre todos los derechos reconocidos en los artículos 15 a 22 del RGPD, conforme a lo previsto en el artículo 13.2.
  28. b)del RGPD. Por otra parte, el reclamado ha justificado la colocación del reseñado cartel en el escaparate de acceso al local y en el almacén y junto a la caja. De lo expuesto, y sin perjuicio de los cambios introducidos por el responsable del tratamiento para adecuar la información ofrecida a los aspectos exigidos en el artículo 13 del RGPD, se evidencia que COFEMEL ha vulnerado el derecho de información de los afectados cuyos datos personales (imágenes) han sido objeto de tratamiento a través de las cámaras de videovigilancia instaladas en el local comercial de dicha empresa, lo que constituye infracción a lo dispuesto en el artículo 13 del RGPD en su relación con lo previsto en el artículo 22.4 de la LOPDGDD, tipificada en el artículo 83.5.
  29. b)del RGPD y calificada como leve a efectos de prescripción en el artículo 74.
  30. a)de la LOPDGDD. IX Los apartados b),
  31. d)e
  32. i)del artículo 58.2 del RGPD disponen lo siguiente: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es
  33. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” (...) “
  34. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;” “
  35. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;” El artículo 83 del RGPD, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas”, en sus apartados 2 y 5.
  36. a)y
  37. b)señala que: “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado2, letras
  38. a)a
  39. h)y j). (…) 5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  40. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
  41. b)los derechos de los interesados a tenor de los artículos 12 a 22;”. Por su parte, el artículo 71 de la LOPDGDD establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica.”, estableciéndose en los artículos 72.1.
  42. a)y 74.
  43. a)de dicha norma lo siguiente en relación con las dos infracciones objeto de estudio: En cuanto a la vulneración de los principios relativos al tratamiento, el artículo 72.1.
  44. a)de la citada Ley Orgánica señala que: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  45. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.” En cuanto a la conculcación del deber de informar el artículo 74 de dicha Ley Orgánica señala que: “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular las siguientes:
  46. a)El incumplimiento del principio de transparencia de la información o el derecho de información del afectado por no facilitar toda la información exigida por los artículos 13 y 14 del Reglamento (UE) 2016/679.” 13/15 En el presente caso, se considera adecuado imponer al reclamado la sanción de apercibimiento prevista en el artículo 58.2.
  47. b)del RGPD a la vista de las siguientes circunstancias: se trata de una empresa cuya actividad principal no se encuentra vinculada con el tratamiento habitual de datos de carácter personal, la ausencia de intencionalidad en la conducta infractora dado que el tratamiento efectuado se vincula a fines de seguridad de bienes y personas, a lo que se suma, sin perjuicio de lo razonado con anterioridad, el interés mostrado por el reclamado en adoptar con la mayor celeridad posible medidas tendentes a subsanar la situación irregular estudiada y que no le consta la comisión de ninguna infracción anterior en materia de protección de datos. Confirmada la existencia de las infracciones descritas, y con arreglo a lo establecido en el citado artículo 58.2.
  48. d)del RGPD, en lo que respecta a la infracción del artículo 5.1.
  49. c)se considera oportuno ordenar al responsable del tratamiento de las imágenes de videovigilancia analizadas que se adopten las medidas técnicas y organizativas necesarias para que cesen las operaciones del tratamiento de imágenes de videovigilancia en la zona de vestuario y de descanso del personal que vulneran el principio de minimización de datos. En lo que respecta a la infracción del artículo 13 del RGPD, y a la vista de la información actualmente ofrecida por COFEMEL, se estima oportuno ordenar la adopción de medidas necesarias para incluir en el cartel de “Zona Videovigilada” una referencia a la existencia de otros derechos en el documento adicional, donde se informará sobre todos los derechos reconocidos en los artículos 15 a 22 del RGPD, conforme a lo previsto en el artículo 13.2.
  50. b)del RGPD. Se informa que dichas medidas, habrán de adoptarse en el plazo de UN MES, computado desde la fecha en la que se notifique la presente resolución sancionadora, debiendo acreditarse su cumplimiento en idéntico plazo mediante la aportación de documentación o cualquier otro medio de prueba válido en derecho que permita verificar la cesación en el tratamiento inadecuado y desproporcionado que viene efectuándose en el espacio anteriormente reseñado. Se observa que el apartado 6 del artículo 83 del RGPD, establece que “6. El incumplimiento de las resoluciones de la autoridad de control a tenor del artículo 58, apartado 2, se sancionará de acuerdo con el apartado 2 del presente artículo con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.” El artículo 72.1.
  51. m)dispone que: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  52. m)El incumplimiento de las resoluciones dictadas por la autoridad de protección de datos competente en ejercicio de los poderes que le confiere el artículo 58.2 del Reglamento (UE) 2016/679.” Por lo tanto, de acuerdo con la legislación aplicable y valoradas las circunstancias concurrentes C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a COFEMEL SOCIEDADE DE VESTUARIO S.A., SUCURSAL EN ESPAÑA, de conformidad con lo previsto en el artículo 58.2.
  53. b)del RGPD, una sanción de APERCIBIMIENTO por infracción a lo previsto en los apartados
  54. c)y
  55. f)del artículo 5 del RGPD, tipificadas en el artículo 83.5.
  56. a)RGPD. SEGUNDO: IMPONER a COFEMEL SOCIEDADE DE VESTUARIO S.A., SUCURSAL EN ESPAÑA, de conformidad con lo previsto en el artículo 58.2.
  57. b)del RGPD, una sanción de APERCIBIMIENTO por infracción a lo previsto en el artículo 13 del RGPD, tipificada en el artículo 83.5.
  58. b)RGPD. TERCERO: ORDENAR a COFEMEL SOCIEDADE DE VESTUARIO S.A., SUCURSAL EN ESPAÑA, de conformidad con lo previsto en el artículo 58.2.
  59. d)del RGPD, la adopción e implementación de las medidas necesarias para: Que cese el tratamiento de imágenes de videovigilancia (captación, almacenamiento y grabación) que se efectúa en la dependencia utilizada por el personal de la tienda como vestuario y como zona de descanso, con remisión de cualquier medio de prueba acreditativo del cumplimiento de lo requerido. Que en el cartel de “Zona Videovigilada” y el folleto adicional se incluya la información reseñada en el Fundamento de Derecho IX en relación con la posibilidad de ejercer los derechos reconocidos en los artículos 15 a 22 del RGPD, conforme a lo previsto en el artículo 13.2.
  60. b)del mismo Reglamento. CUARTO: NOTIFICAR la presente resolución a COFEMEL SOCIEDADE DE VESTUARIO S.A., SUCURSAL EN ESPAÑA, con NIF W0107301D, De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  61. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la 15/15 documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.