PS-00401-2018

(18)entre ellos no está el reclamante. En el documento se indica: “SANTI 3000 es el responsable del tratamiento de datos personales del interesado y se facilita la siguiente información del tratamiento de imágenes obtenidas por el sistema de videograbación implantando en la organización. Fines del tratamiento: control de actividad interna por motivos de seguridad y/o control laboral. Derechos que le asisten “Puede ejercer los derechos de acceso, rectificación, portabilidad y supresión de datos y los de limitación y oposición” , indicando la dirección Rambla 66. Si considera que el tratamiento no se ajusta a la normativa vigente podrá presentar una reclamación ante la autoridad de control. “Al firmar la presente cláusula informativa la persona abajo firmante se considera informada y presta su consentimiento para el citado tratamiento en los términos expuestos” No se identifica en que establecimiento prestan servicios los empleados que firman el documento, si el de Rambla de Santa Mónica 22, Restaurante la Oliva, o el de Ramblas 66 ni se identifica el establecimiento que graba las imágenes y la indicación de la prestación del consentimiento excede de la legitimación en la implantación del sistema -Foto de cámara 1 (rte. la Oliva) que recoge imágenes de 30/08/2018, espacio interior, de la cocina. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/20 -Foto de cámara 2 (rte. la Oliva) que recoge imágenes de 30/08/2018 , espacio interior de tránsito de empleados. -Foto de cámara 3 (rte. la Oliva) que recoge la imagen del espacio interior, del público, mesas en zona común existente nada más entrar al establecimiento. -Foto cartel (rte. la Oliva) distinta a la aportada anteriormente. Ahora consta SANTI SL, Rambla 66, y alusión al nuevo RGPD para la finalidad de la protección de las instalaciones así como de las personas que se encuentran en ellas, sede ante la que ejercer los derechos: Rambla 66, y la disponibilidad de la hoja informativa. CUARTO: La AEPD remite el 31/10/2018 escrito a la reclamada con el literal: “Deberá facilitar imágenes que reproduzcan el campo de visión de todas las cámaras EXTERIORES que componen su sistema de video vigilancia , asimismo deberá aportar la documentación que acredite que ha informado al reclamante (que trabajó en su empresa) de la finalidad de control laboral a través del tratamiento de datos realizado por medio de las cámaras de su sistema de videovigilancia.” La reclamada remite escrito con fecha 5/11/2018 manifestando: “Esta empresa nunca ha tenido cámaras de videovigilancia (ni de ningún tipo) instaladas en el exterior del establecimiento. En contestaciones anteriores, ya se adjuntaron las capturas de imágenes de las cámaras que esta empresa tiene instaladas en el establecimiento. No puede aportar más imágenes porque no tiene más cámaras instaladas y nunca las ha tenido.” En cuanto a la información a los empleados del uso de la finalidad de control laboral a través del tratamiento de datos manifiestan que han aportado las “comunicaciones hechas a todos los trabajadores en activo en la empresa y alguna de trabajadores que ya no están en la empresa (no cambiamos mucho de personal). Ignoramos quién es el “reclamante (que trabajó en su empresa)”, ya que en ninguna de las comunicaciones que se han remitido se le identifica.” QUINTO: Se accede a la web axexor- monitoriza que reúne información sobre las empresas, y datos del registro mercantil, teniendo conocimiento que la reclamada es una SL, con objeto social de Restaurantes y puestos de comidas, tamaño PYME, “pequeña”, tipo “autónoma”( aquella empresa que es completamente independiente o que tiene una o más participaciones minoritarias, cada una de ellas inferior al 25 % en otras empresas, según define la recomendación de la Comisión de 6/05/2003 sobre la definición de microempresas, pequeñas y medianas empresas (Diario Oficial de la Unión Europea 20/5/2003). Cuenta con 31 empleados y un resultado ejercicio 2016 de 378.666 €, en 2017: 176.260 € y una cifra de negocios de 2.588.431 € en 2016 y de 2.393.428 € en 2017. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/20 SEXTO: Se aprecia en GOOGLE maps, que frente al bar la Oliva, de Rambla Santa Mónica 22, existe una amplia terraza. Por otro lado, consultada la base de gestión de antecedentes de procedimientos, a la reclamada no le figura ninguno. SÈPTIMO: Con fecha 1/04/2019 se acordó por la directora de la AEPD: “INICIAR PROCEDIMIENTO SANCIONADOR a SANTI 3000 S.L., por la presunta infracción del artículo 5.1

1. a)del RGPD sancionable conforme a lo dispuesto en el art. 83.5 del citado RGPD” , y a “los efectos previstos en el art. 64.2
2. b)de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de 5.500 euros, sin perjuicio de lo que resulte de la instrucción.” OCTAVO: Con fecha 29/04/2019 se reciben alegaciones de la reclamada que indica: 1) En la fecha en que se indica en la carta de sanción, febrero 2018, las cámaras estaban montadas en la misma ubicación actual, pero no estaban instaladas, no captaban imagen alguna pues no tenían el software necesario ni el hardware preciso para esa función. Por problemas técnicos no fue posible en el momento de su montaje. Comenzaron a estar operativas el 9/04/2018. Manifiesta que aporta como prueba un informe del técnico que realizó la conexión física de las cámaras y configuración del software. Se trata de un informe emitido el 15/04/2019 por el “técnico instalador de sistemas de videovigilancia según ley 25/2009 de 22/12/2009”, manifestando sobre la instalación del bar La Oliva en Rambla 22, que “se realizó visita del técnico el 9/04/2018 para la configuración de las grabaciones y la visualización por internet del sistema de videovigilancia por encontrase desconectado y desconfigurado”. 1) Añade que las grabaciones a que hace referencia el reclamante no fueron realizadas por las cámaras de videovigilancia del bar sino con el teléfono móvil particular de un empleado, B.B.B., “cansado de tener que suplir la dejación de funciones del reclamante y las continuas ausencias de este en su puesto de trabajo”, no siendo las imágenes conocidas por la empresa hasta dos meses después de ocurridos los hechos, cuando el empleado puso en conocimiento de la empresa los hechos y entregó las grabaciones. Adjunta copia de documento 2, de 2/04/208 del citado empleado en que indica que “como responsable del servicio es intolerable el comportamiento del trabajador durante la jornada de trabajo” “durante la misma se encuentra atendiendo llamadas de teléfono, arreglando su motocicleta o transportando mercancía para otros restaurantes de la zona”. En el escrito se indica que pone a disposición de la empresa las grabaciones efectuadas con su móvil. La reclamada indica que estas son las “usadas por SANTI 3000 como fundamento de la sanción laboral impuesta al reclamante”, y se adjuntan a título de ejemplo las grabaciones 1, 2 y 3 como más identificativas, pudiendo si es requerida aportar el resto. Aporta copia de un cd en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/20 que se contienen cuatro archivos. Se reproduce el primero y se observa que en imagen en forma apaisada y puede ser que obtenida con un móvil, ya que se mueve un poco, se visiona en el video a una persona vestida como un camarero en la puerta del bar, en el exterior, manipulando, desmontando el retrovisor de una motocicleta con una herramienta, y entrando dentro. Cuando entra dentro, y se va acercando, el dispositivo se mueve más y deja de captar la imagen. En la segunda imagen obtenida desde el mismo lugar y también posiblemente con un móvil, se ve a la misma persona cargada con latas de bebidas pasar de largo por la puerta del bar, sin entrar. En la tercera, en la parte de la cocina en una esquina estaba la misma persona que aparece en el archivo 1 anotando en una libreta y hablando por el móvil. Estas tres tomas de video están relatadas en la carta de sanción disciplinaria aportada por el reclamante. El archivo 4 lleva fecha 2019, 12 de abril, es una imagen fija desde otro punto de vista recogiendo la panorámica del comedor, siendo una de las imágenes que se obtiene con la cámara interior del bar. 1) Adjuntan como contraste con las grabaciones 1 a 3 las grabaciones identificadas como “grabación videocámara” a fin de determinar que no proceden del mismo dispositivo. 1) Manifiesta que disponen de dos centros de trabajo como se indica en el acuerdo, motivo por el que en el cartel figura la sede de Rambla 66 que es sede administrativa. 1) Aclara que la fotografía aportada el 30/07/2018 del cartel de “zona videovigilada” fue tomada uno o dos días después del montaje de las cámaras en el mes de febrero 2018 con un teléfono móvil que no graba la fecha, pero al no estar operativas las cámaras sino hasta después, el aviso no era necesario. Cuando se conectaron y comenzaron a operar las cámaras, el instalador advirtió que el cartel no era adecuado, sustituyéndolo por la foto que fue aportada el 17/09/2018, siendo el cartel sustituido sobre el 20, 22 de abril, aunque no pueden demostrarlo fehacientemente. 1) El documento “consentimiento” firmado por los empleados y que se remitió a la AEPD se entregó a todos los empleados en activo en la empresa, incluyendo al reclamante, que se negó a firmar, siendo testigo otro empleado (pueden aportar testimonio con su declaración). Manifiesta que si bien en el establecimiento de Ramblas 66 no hay cámaras de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/20 videovigilancia, se entregó el documento a todos los empleados, ya que a veces empleados de esta se desplazan al restaurante la Oliva. 1) La base jurídica para la implantación del sistema era la seguridad de instalaciones y bienes y control laboral considerando de aplicación el artículo 20.3 del Estatuto de los Trabajadores. NOVENO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes hechos probados: 1) La reclamada tiene como objeto social la explotación de bares y restaurantes, disponiendo en Barcelona de dos establecimientos. El reclamante, camarero presta servicios en el bar La Oliva, de c Rambla de Santa Mónica, 22 de Barcelona”, y manifiesta que ha sido objeto de una sanción disciplinaria utilizando “al parecer” unas imágenes de videos, sin que se le hubiera informado. 1) En la carta de sanción que aporta el reclamante y que le entregó la reclamada el 30/04/2018, se le comunica que “ha decidido sancionarle por la comisión de diferentes hechos que constituyen infracciones sobre sus obligaciones” “El pasado 23/04 fue comunicado por parte del personal del local a la dirección de la empresa la comisión de una serie de hechos…”Primero: Video de 9/02/2018 alrededor de las 12 h en el que se encuentra hablando por teléfono móvil organizando documentos ajenos a la empresa. Segundo: Video de 14/02/2018 sobre las 12,30 en el que se encuentra fuera de su lugar de trabajo, realizando en plena calle y delante de la puerta del local tareas de reparación y/o modificación del retrovisor de una motocicleta…” La carta en los puntos tercero a séptimo (alcanza hasta 22/02/2018) continúa analizando videos, relacionándolos con la posición en la que se encuentra el empleado, indicando que está fuera de su lugar de trabajo, o en la terraza siendo su puesto de trabajo en el salón, que transporta bebidas a otro local que no es donde está trabajando, o que está comiendo en la terraza, en un horario que no está autorizado para disfrutar del descanso. La carta comunica la imposición de una sanción de 45 días de suspensión de empleo y sueldo, con efectos desde 30/04 a 13/06/2018. 1) Como primera respuesta que la reclamada dio a la AEPD, el 30/07/2018, aporta: -Fotografía de información de zona videovigilancia en la que figura Zona videovigilada LOPD, puede ejercer los derechos ante “La Rambla 22”, y un CIF. La foto está en la puerta de entrada del bar llamado “La oliva”. La imagen no lleva fecha. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/20 -Imagen recogida con cámara 3, del interior del establecimiento en la que en forma panorámica recoge el comedor donde se sitúan las mesas. La imagen lleva fecha de 7/05/2018, fecha en la que ya funcionaba el sistema de videovigilancia en el bar, que según la reclamada se puso en marcha el 9/04/2018. 1) Solicitada a la reclamada que acreditara haber informado del sistema de imágenes utilizado para la sanción al reclamante, con fecha 17/09/2018, la reclamada aporta documentos de información denominado“ consentimiento para el tratamiento de datos” “Videovigilancia y/o control laboral” en el que a 9/04/2018 (posterior a las fechas de las imágenes que constan en la carta de sanción) constan en hojas individualizadas, firmados por empleados

(18)entre ellos no está el reclamante comunicados de información sobre el sistema instalado en el bar la oliva de rambla 22. En los impresos se indican: “SANTI 3000 es el responsable del tratamiento de datos personales del interesado y se facilita la siguiente información del tratamiento de imágenes obtenidas por el sistema de videograbación implantando en la organización. Fines del tratamiento: control de actividad interna por motivos de seguridad y/o control laboral. Derechos que le asisten “Puede ejercer los derechos de acceso, rectificación, portabilidad y supresión de datos y los de limitación y oposición”, indicando la dirección Rambla 66. Si considera que el tratamiento no se ajusta a la normativa vigente podrá presentar una reclamación ante la autoridad de control. “Al firmar la presente cláusula informativa la persona abajo firmante se considera informada y presta su consentimiento para el citado tratamiento en los términos expuestos” los empleados que firman el documento suelen prestar servicios en ambos locales de la reclamada, en Rambla de Santa Mónica 22, Restaurante la Oliva, o en el de Ramblas 66. También el 17/09/2018 la reclamada aporta: Foto de cámara 1 (rte. la Oliva) que recoge imagen de 30/08/2018, espacio interior, de la cocina. Foto de cámara 2 (rte. la Oliva) que recoge imagen de 30/08/2018 , espacio interior de tránsito de empleados. Foto de cámara 3 (rte. la Oliva) que recoge la imagen del espacio interior, del público, mesas en zona común comedor existente nada más entrar al establecimiento. Foto cartel (rte. la Oliva) distinta a la aportada anteriormente. Ahora consta SANTI SL, Rambla 66, y alusión al nuevo RGPD para la finalidad de la protección de las instalaciones así como de las personas que se encuentran en ellas, sede ante la que ejercer los derechos: Rambla 66, y la disponibilidad de la hoja informativa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/20 1) La reclamada alega al acuerdo de inicio que en la fecha en que se indica en la carta de sanción, y en las que se relacionan la obtención de las imágenes, de 9 a 22/02/2018. las cámaras estaban montadas en la misma ubicación actual del bar, pero no estaban instaladas, no captaban imagen alguna, instalándose y poniéndose en funcionamiento según certificado del técnico instalador el 9/04/2018. 1) La reclamada informa en alegaciones al acuerdo que las grabaciones a que hace referencia el reclamante y que figuran en la carta de sanción disciplinaria, no fueron realizadas por las cámaras de videovigilancia del bar que en 2/2018 no funcionaban, sino con el teléfono móvil particular de un empleado que las entrega a la reclamada. Adjunta copia de documento de 2/04/208 del citado empleado en el que se indica que pone a disposición de la empresa las grabaciones efectuadas con su móvil. La reclamada indica que estas son las “usadas por SANTI 3000 como fundamento de la sanción laboral impuesta al reclamante”, y se envían a título de ejemplo las grabaciones 1, 2 y 3 en un CD. En dicho CD se contienen cuatro archivos. Las tres imágenes aportadas-a título de ejemplo, por no aportar más- se corresponden con las que se relatan en la carta de sanción. Se reproduce el primer archivo, y se observa en imagen en forma apaisada, puede que obtenida con un móvil, ya que se mueve un poco, se visiona a una persona vestida como un camarero en la puerta del bar, en el exterior, manipulando, desmontando el retrovisor de una motocicleta con una herramienta, y entrando dentro, momento en que conforme se va acercando el dispositivo se mueve más y deja de captar la imagen. En la segunda imagen obtenida desde el mismo lugar y también posiblemente con un móvil, se ve a la misma persona cargada con latas de bebidas pasar de largo por delante de la puerta del bar, sin entrar. En la tercera, en la parte de la cocina en una esquina esta la misma persona que aparece en el archivo 1, anotando en una libreta y hablando por el móvil. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27/04/2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD); reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/20 II Para la instalación de un sistema de videovigilancia con finalidad de control del cumplimiento de las obligaciones laborales no es necesario el consentimiento de los empleados ni constituye per se una base jurídica legitima para el mismo. La base jurídica para la monitorización del cumplimiento de las obligaciones encomendadas a los empleados a través de dicho sistema no es la del consentimiento, toda vez que este no se obtiene ni se presta libremente, ni se puede retirar libremente sin consecuencia negativa alguna, dado el ámbito de sujeción y vinculación de los empleados. Los trabajadores casi nunca están en condiciones de dar, denegar o revocar el consentimiento libremente, habida cuenta de la dependencia que resulta de la relación empresario/trabajador. Dado el desequilibrio de poder, los trabajadores solo pueden dar su libre consentimiento en circunstancias excepcionales, cuando la aceptación o el rechazo de una oferta no tiene consecuencias. El artículo 20.3 del Estatuto de los trabajadores dispone: “El empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad humana y teniendo en cuenta la capacidad real de los trabajadores disminuidos.” La instalación para dichas finalidades ha de ser proporcional en cuanto a la ponderación del poder de dirección y control de la actividad empresarial, con el derecho a la intimidad y el derecho a saber y conocer por parte de su titular, el uso que de sus datos se van a hacer en la relación laboral, así como predeterminarse el uso y finalidad de los datos y la sede ante la que ejercer los derechos derivados de dicha recogida. En el presente supuesto se observa que a la fecha en que aconteció el relato de los hechos expuestos en la carta de sanción, 9 a 22/02/2018, no se había ofrecido al reclamante información sobre el uso y finalidad de recogida de datos obtenidos a través del sistema de videovigilancia o similar ( en este caso dado que se emplea un teléfono móvil y a título individual, solo imágenes captadas del reclamante.) que han derivado en un perjuicio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/20 al reclamante, le ha producido el efecto de la sanción impuesta. Asimismo, la carta de sanción detalla que se han captado imágenes del exterior del establecimiento, vía pública por donde ha circulado el reclamante, al detallar en varios días y varias horas del día los movimientos del reclamante que objetivaban la sanción. Si bien se puede decir que las imágenes que objetivan la sanción disciplinaria no se obtuvieron con el sistema de videovigilancia, que no estaba implantado, si se aprecia que proceden de un teléfono móvil, del que el reclamante no sabía su origen, pues indica en la reclamación que le han captado “parece ser con cámaras que tienen instaladas” en el bar, debido a que a partir de 9/04/2018 comenzaron a operar y la carta se le entregan después de esa fecha, en ese mes. La Constitución Española señala en su artículo 18.1 y 4: “1. Se garantiza el derecho al honor, a la intimidad personal y familiar y a la propia imagen. 4. La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos.” La doctrina del Tribunal Constitucional, sostiene que la celebración del contrato de trabajo no implica en modo alguno la privación para una de las partes, el trabajador, de los derechos que la Constitución le reconoce como ciudadano, por más que el ejercicio de tales derechos en el seno de la organización productiva pueda admitir ciertas modulaciones o restricciones, siempre que esas modulaciones estén fundadas en razones de necesidad estricta debidamente justificadas por el empresario, y sin que haya razón suficiente para excluir «a priori» que puedan producirse eventuales lesiones del derecho a la intimidad de los trabajadores en los lugares donde se realiza la actividad laboral propiamente dicha. Para nuestra jurisprudencia constitucional, si el derecho a la intimidad actúa como barrera frente a injerencias o intromisiones de otros ( STC 142/1993, de 22 de abril ), el derecho a la protección de datos «consiste en un poder de disposición y de control sobre los datos personales» (SSTC 290 y 292/2000, de 30 de noviembre ); si el derecho a la intimidad veda el conocimiento por parte de terceros de ciertos aspectos de la persona (aspectos íntimos o relativos a su vida privada y familiar), el derecho a la protección de datos proporciona garantías de disposición y control respecto de datos personales que pueden pertenecer o no al ámbito de la intimidad y que pueden ser objeto de conocimiento y manejo por parte de otros; si el derecho a la intimidad es derecho de abstención de otros respecto de nuestra esfera personal, el derecho a la protección de datos implica sobre todo autodeterminación sobre nuestros datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/20 En cuanto a si el sistema de imágenes utilizadas por la reclamada constituye tratamiento de datos, y en cuanto a si la responsabilidad es imputable a la reclamada, se debe señalar: A la fecha en que acontecen los hechos, la instrucción 1/2006 especifica el ámbito de aplicación de la normativa señala en su artículo 1: “1. La presente Instrucción se aplica al tratamiento de datos personales de imágenes de personas físicas identificadas o identificables, con fines de vigilancia a través de sistemas de cámaras y videocámaras. El tratamiento objeto de esta Instrucción comprende la grabación, captación, transmisión, conservación, y almacenamiento de imágenes, incluida su reproducción o emisión en tiempo real, así como el tratamiento que resulte de los datos personales relacionados con aquéllas. Se considerará identificable una persona cuando su identidad pueda determinarse mediante los tratamientos a los que se refiere la presente Instrucción, sin que ello requiera plazos o actividades desproporcionados. Las referencias contenidas en esta Instrucción a videocámaras y cámaras se entenderán hechas también a cualquier medio técnico análogo y, en general, a cualquier sistema que permita los tratamientos previstos en la misma.” Por otro lado, si no se trata de instalación de sistema alguno, pero la finalidad es el control laboral, a través de recogida de datos con otro sistema similar, como las obtenidas con un dispositivo móvil, resulta de aplicación la normativa de protección de datos, pues se destinan a surtir efectos en la relación reclamada-reclamante. El artículo 1 del RGPD señala: 1. El presente Reglamento establece las normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de los datos personales y las normas relativas a la libre circulación de tales datos. 2. El presente Reglamento protege los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales. El artículo 4 define: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/20 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;” Una grabación de móvil que recoge imágenes de una persona a las que se puede identificar entra de dentro de dicho ámbito. La reclamada decide sobre la finalidad y uso de esas imágenes obtenidas por un empleado, ha efectuado tratamiento de datos del que es responsable al haber utilizado los mismos, los ha recibido, los ha guardado y usado sin saber ni esperar el reclamante que estaba siendo objeto de seguimientos día a día en varios momentos de cada día. Si esas imágenes son utilizadas por la reclamada en este caso, para producir efectos jurídicos en el seno de un control laboral, con sanción disciplinaria, la normativa de protección de datos y sus garantías son plenamente aplicables, considerando además que ni informó de la recogida de datos ni de los derechos asociados a dicha recogida. En el presente supuesto, las imágenes obtenidas y usadas reprodujeron la imagen del reclamante y permitieron el control de sus acciones a través de su imagen, que constituye un dato de carácter personal, y se emplearon para el seguimiento del cumplimiento de su contrato. De los hechos probados se desprende que la persona jurídica titular del establecimiento donde presta servicios el reclamante fue quien utilizó al fin descrito las grabaciones, siendo la responsable del tratamiento de los datos sin haber informado al trabajador sobre esa utilidad de supervisión laboral asociada a las capturas de su imagen. Vulneró, de esa manera, el art. 18.4 de la Constitución, y en concreto su artículo 5.1 a del RGPD 1. Los datos personales serán:

1. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/20 lealtad y transparencia»); En el caso que nos ocupa de uso de los videos cedidos por un empleado, no aparece en origen justificado el seguimiento diario por parte de otro empleado de los movimientos en el lugar de trabajo de otro trabajador. La manifestación de parte del empleado de que “estaba harto de su comportamiento“ y por eso obtenía las imágenes y las puso a disposición de la empleadora supone un seguimiento individualizado, personalizado, diario y dirigido a grabarle cuando aparentemente no está trabajando, cuando está en el exterior o haciendo otras actividades que es desproporcionado y arbitrario. No es ese otro empleado el que debe decidir a quien realiza videos o no, para ponerlos en poder de la reclamada, pues aparte de suponer una intromisión en su intimidad e imagen, no se considera un medio idóneo al acreditarse que la reclamada tenía preparado para su funcionamiento un sistema que había instalado, presto a funcionar y que pospuso, y que se hubiera aplicado no solo al reclamante sino a todos los empleados. En el presente supuesto, la falta de información previa sobre uso de imágenes, el uso de estas obtenidas de un empleado que realiza el seguimiento casi diario en febrero de 2018, la voluntad de uso y destino de las imágenes de video expresadas en la carta de sanción entregada al empleado supone que no se disponía en aquellos momentos de base legitima para el tratamiento de datos que se produjo con el tratamiento empleado. Conteniéndose en los sistemas de información de la reclamada para apoyar probatoriamente sus acciones, se concluye que sus datos personales han sido tratados sin base legitima por la reclamada, acreditándose la comisión de una inflación del artículo 5.1 a del RGPD También es aplicable para la finalidad de uso de control laboral, el artículo 13 del RGPD sobre información a proporcionar al interesado si los datos se obtienen del mismo, como en este caso que tiene fines de control laboral en el establecimiento de desempeño de las funciones, y ello aunque no se precise el consentimiento del trabajador. Diversas sentencias del orden de lo social sobre uso de videovigilancia o control de posicionamiento relacionado con el desempeño y control de funciones laborales han indicado que esos sistemas pueden ser empleados si existe proporcionalidad y se garantizan los derechos de los empleados, comenzando con una información expresa, clara y detallada del uso, fines del sistema y ejercicio de derechos a los empleados. El artículo 72 de la LOPDGDD indica:”Infracciones consideradas muy graves 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
2. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/20 El artículo 58. 2d) y 2.
3. i)del RGPD indica: 2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
4. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;
5. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; El artículo 83.5
6. a)del RGPD, considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, con multas administrativas de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía” III El artículo 83 del RGPD indica: “Condiciones generales para la imposición de multas administrativas: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
7. a)a
8. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
9. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido; Se valora en este caso que afecta solo a un empleado, el reclamante que fue objeto de las grabaciones, de modo diferenciado al resto de los empleados que no fueron objeto de grabación alguna, procediendo las grabaciones de un empleado, durante varios días, siendo el nivel de daños el equivalente a la sanción de 45 días de empleo y sueldo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/20
10. a)la intencionalidad o negligencia en la infracción;
11. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
12. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
13. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
14. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
15. g)las categorías de los datos de carácter personal afectados por la infracción;
16. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
17. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
18. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
19. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” La LOPDGDD indica en su artículo 76:”Sanciones y medidas correctivas 1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
20. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
21. a)El carácter continuado de la infracción.
22. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
23. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/20
24. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
25. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
26. f)La afectación a los derechos de los menores.
27. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
28. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” Usualmente, la finalidad del sistema de vigilancia con control laboral es que al estar operativo pueda emplearse para ello. En este caso, la reclamada reconoce que no lo estaba y aun así utilizó una imágenes obtenidas por un empleado para sancionar a otro empleado. Estos elementos que eran desconocidos al inicio han de valorarse en su justo termino en estos momentos. Se ha de tener en cuenta: -Afecta solo a un empleado, el reclamante, que fue objeto de las grabaciones, de modo diferenciado al resto de los empleados que no fueron objeto de grabación alguna, procediendo las grabaciones de un empleado, durante varios días, siendo el nivel de daños el equivalente a la sanción de 45 días de empleo y sueldo. El reclamante ha sido sancionado sin conocer el uso del sistema, ni previamente a su uso, la finalidad a que se destinaban los datos recogidos, su expectativas razonables de uso de imágenes o captación no existían, viéndose lesionado con una carta de sanción que se basa exclusivamente en las imágenes, siendo un daño considerable derivado de 45 días sin sueldo, si bien la naturaleza y el alcance del tratamiento es admitido en derecho previa la información específica a los afectados (83.2.a). -Se ha de considerar que el uso de imágenes para una sanción procedente de una actuación cuyo objetivo era una persona individualizada y cuyas imágenes fueron recogidas por un empleado deberían haber planteado cuestiones de uso a la recamada, por lo que concurre una falta de diligencia cualificada. (83.2.c). -La reclamada, es una PYME, con 31 empleados. -Por la actividad de la reclamada, no se daba una especial vinculación o una vinculación directa por el tipo de actividad con el tratamiento de datos de carácter personal de forma habitual, sistemática o profesional, y continuada. Con la instalación ahora del sistema que tiene también finalidad de control laboral, tiene que implementar mecanismos adecuados y proporcionados al tratamiento que no consta haya utilizado con el reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/20 Se propone por las razones expuestas una sanción de 12.000 euros. A la vista de lo expuesto se procede a emitir la siguiente PROPUESTA DE RESOLUCIÓN Que por la Directora de la Agencia Española de Protección de Datos se sancione a SANTI 3000, S.L. (RESTAURANTE LA OLIVA), con NIF B63354682, por una infracción del aartículo 5.1.
29. a)del RGPD, tipificada en el artículo 83.5 del RGPD, con una multa de 12.000,00 € (DOCE MIL euros). Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma (2.400,00 euros). Con la aplicación de esta reducción, la sanción quedaría establecida en 9.600,00 euros y su pago implicará la terminación del procedimiento. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/20 en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 en relación con el art. 73.1 de la LPACAP). R.R.R. INSPECTOR/INSTRUCTOR >> SEGUNDO: En fecha 13 de agosto de 2019, SANTI 3000, S.L. (RESTAURANTE LA OLIVA) ha procedido al pago de la sanción en la cuantía de 9600 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción, en relación con los hechos a los que se refiere la propuesta de resolución. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para sancionar las infracciones que se cometan contra dicho Reglamento; las infracciones del artículo 48 de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (en lo sucesivo LGT), de conformidad con lo dispuesto en el artículo 84.3 de la LGT, y las infracciones tipificadas en los artículos 38.3 c),
30. d)e
31. i)y 38.4 d),
32. g)y
33. h)de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en lo sucesivo LSSI), según dispone el artículo 43.1 de dicha Ley. II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/20 la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento PS/00401/2018, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a SANTI 3000, S.L. (RESTAURANTE LA OLIVA). De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
34. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es