PS-00405-2015

1/20 Procedimiento Nº PS/00405/2015 RESOLUCIÓN: R/00014/2016 En el procedimiento sancionador PS/00405/2015, instruido por la Agencia Española de Protección de Datos a la entidad ABANCA CORPORACIÓN BANCARIA, SA, vista la denuncia presentada por D. A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 4 de septiembre de 2014 tiene entrada en esta Agencia escrito de D. A.A.A. (en adelante el denunciante) comunicando la posible infracción a la Ley Orgánica 15/1999 motivada por las cámaras de videovigilancia cuyo titular es la entidad ABANCA CORPORACIÓN BANCARIA, S.A. (en adelante el denunciado) instaladas en la oficina de la entidad situada en la (C/....1), Pontevedra. El denunciante manifiesta que la entidad denunciada tiene instaladas cámaras de videovigilancia orientadas a la vía pública. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 20 de enero de 2015 se solicita información al responsable del establecimiento teniendo entrada en esta Agencia con fecha 13 de febrero de 2015 escrito del mismo en el que manifiesta: - La instalación de las cámaras de videovigilancia de seguridad responde, conforme a la finalidad prevista en los artículos 1, 2 y 4 de la Ley 5/2014, de 4 de abril, de Seguridad Privada (en adelante, LSP), a la necesidad de garantizar adecuadamente la protección de la seguridad de las personas y de los bienes, habida cuenta de la naturaleza de dicha Oficina y de la actividad que en la misma se desarrolla. En efecto, constituye actividad típica y habitual de las entidades de crédito, y de ella resulta la mencionada necesidad de garantizar adecuadamente la protección de la seguridad de las personas y de los bienes, la de "recibir del público depósitos u otros fondos reembolsables y conceder créditos por cuenta propia" (cfr. Artículo 1.1 de la ley 10/2014, de 26 de junio, de Ordenación, Supervisión y Solvencia de entidades de crédito). Aportan recortes de prensa que hacen referencia a diversos atentados cometidos contra distintas oficinas de CAIXA GALICIA (actualmente ABANCA). - La empresa de seguridad que realiza las laboras de mantenimiento y control y actúa como central receptora de alarmas del sistema de cámaras de videovigilancia en la Oficina es BOSCH Seguridad y Control, S.L (en adelante, BOSCH). - ABANCA y BOSCH han suscrito, en fecha 1 de Enero de 2014, dos contratos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/20 prestación de servicios de seguridad para la red comercial presente y futura de aquélla, el contrato de mantenimiento de los sistemas de seguridad y el contrato de conexión a la central receptora de alarmas. Aportan copia de los contratos. - Aportan Oficio emitido por la Subdelegación del Gobierno de Pontevedra, en fecha 25 de Agosto de 2011, que determina que el sistema de seguridad cumple con los requerimientos exigidos en el Reglamento de Seguridad Privada. - Aportan reportaje fotográfico de los carteles donde se informa de la existencia de cámaras de videovigilancia de seguridad, ubicados en distintas zonas de acceso de la Oficina, donde se informa de la existencia de una zona videovigilada y se identifica al responsable ante el que pueden ejercitarse los derechos de protección de datos de carácter personal. - Aportan copia del modelo del formulario informativo que debe estar a disposición de los ciudadanos, según se recoge en el artículo 3.b de la Instrucción 1/2006. - La Oficina dispone de cincuenta y dos cámaras de videovigilancia de seguridad en total, ubicadas doce cámaras en el exterior, de las cuales seis manifiestan que se encuentran fuera de servicio, y cuarenta cámaras de seguridad interiores. Todas las cámaras de videovigilancia de seguridad son fijas y no disponen de zoom. - En cuanto a la solicitud de aportar información de la ubicación concreta de las cámaras de seguridad instaladas en el interior de la Oficina y las fotografías tanto de dichas cámaras como de las imágenes captadas por éstas y un plano de la Oficina en el que se indique la ubicación de cámaras instaladas, manifiestan que la aportación de la citada información y/o documentación podría poner en evidente situación de peligro la protección efectiva de la seguridad del personal, de los usuarios y de los bienes de la Oficina. El eventual acceso a la referida información y/o documentación por parte de terceros daría a conocer el plan y estrategia de seguridad seguidos en la Oficina, lo que pondría en evidente peligro no solamente a la entidad bancaria, sino también a sus empleados, clientes y resto de ciudadanos al servicio de cuya protección están precisamente los sistemas de seguridad de las oficinas de las entidades crediticias. - respecto a las doce cámaras de seguridad exteriores de las que dispone la Oficina, aportan las fotografías de las mismas y sus correlativos fotogramas, para el caso de las cámaras que se encuentren operativas, de lo que se desprende lo siguiente: - La cámara ubicada en la calle (C/....3) recoge imágenes de parte de la vía pública. - La cámara ubicada en puerta de garaje VIP ((C/....2)) recoge imágenes de parte de la vía pública. - La cámara ubicada en la esquina de las calles (C/....2) y (C/....3) recoge un amplio espacio de la vía pública. - La empresa de seguridad BOSCH a la que ABANCA ha encomendado la prestación de los servicios de conexión a la central receptora de alarmas, dispone de monitores que permiten visualizar las imágenes captadas por las cámaras de videovigilancia como respuesta a la transmisión de una alarma de seguridad. Dichos monitores se hallan ubicados en las instalaciones que dicha empresa de seguridad ocupa en el Polígono de Bergondo, A Coruña. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/20 - Los circuitos cerrados de televisión (CCTV) de las instalaciones de videovigilancia disponen, de manera individual y por centro, de un grabador digital. El acceso a este grabador digital, cuyo contenido es estrictamente reservado y confidencial, y por tanto, a las imágenes captadas, se puede realizar desde la Central Receptora de Alarmas, siendo los operadores de la empresa ce seguridad BOSCH, a la que se ha encomendado la explotación de la Central de Alarmas, los que pueden acceder a las referidas imágenes como respuesta a la gestión de una alarma o atendiendo a la solicitud de requerimiento emitido por las Fuerzas y Cuerpos de Seguridad del Estado o Autoridad Judicial competente. - Las imágenes captadas por el conjunto de CCTV se visualizan por los vigilantes de seguridad que ocupan el Puesto de control de acceso de la Oficina, a través de una serie de monitores ubicados en dicho puesto de control y únicamente accesibles para dichos vigilantes. - También puede tener acceso a las imágenes el Director de Seguridad de ABANCA (que es personal propio de la entidad de crédito). - Las imágenes se conservan durante quince días, desde la fecha de grabación; plazo en el que dichos soportes se encuentran a disposición, exclusivamente, de las Autoridades Judiciales y de las dependencias de las Fuerzas y Cuerpos de Seguridad. - ABANCA notificó la creación del fichero de Videovigilancia a la Agencia española de Protección de Datos de Carácter Personal, habiendo sido inscrito el mismo en el Registro General de Protección de Datos bajo la denominación "SEGURIDAD FÍSICA" con la siguiente descripción de la finalidad "GESTIÓN Y CONTROL DE ACCESO FÍSICO A EDIFICIOS Y CÁMARAS DE VIDEOVIGILANCIA". - El sistema de cámaras de videovigilancia está conectado a una central de alarmas. A este respecto, informan de los siguientes extremos: • La empresa de seguridad que realiza el mantenimiento y control y actúa como central receptora de alarmas del sistema de las cámaras de videovigilancia en la Oficina es BOSCH. Aportan copia de los contratos de prestación de servicios. • Aportan documentación acreditativa de que BOSCH está autorizada como empresa de seguridad privada por el órgano administrativo competente del Ministerio del Interior así como del número de acreditación ****. TERCERO: Con fecha 24 de agosto de 2015, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad ABANCA CORPORACIÓN BANCARIA, SA, por la presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. b)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la entidad ABANCA CORPORACIÓN C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/20 BANCARIA, SA formuló alegaciones, significando, que: “…la finalidad del sistema de videovigilancia instalado en la Oficina de referencia se encuentra plenamente justificada en la medida en que se limita únicamente a garantizar la protección y prevención de la Entidad de crédito contra el robo y la intrusión en sus instalaciones así como contra cualquier tipo de acción vandálica o criminal. (…) se habría de tener muy en cuenta por la Administración actuante que, en este caso, concurren razones de seguridad específicas, como es la de origen terrorista, que incluso justificarían que se llevase a cabo una vigilancia de mayor intensidad que aquélla que ampara la normativa específica y genérica sobre videovigilancia (…) se aportó —como Anexo IV al escrito de 6 de febrero de 2015- oficio emitido por la Subdelegación de Gobierno en Pontevedra, en fecha 25 de Agosto de 2011, documento en el que se acredita que la instalación del sistema de videovigilancia de seguridad en la Oficina objeto del presente escrito es conforme a lo dispuesto en el Reglamento de Seguridad Privada. (…) CÁMARA CALLE COLON. (…) Así las cosas. teniendo en cuenta que la cámara de videovigilancia es fija y no dispone de zoom, que está inclinada y orientada directamente hacia la zona de acceso, que se capta una proporción imprescindible e inevitable de vía pública, y que residualmente se recogen imágenes en las que resulta imposible la identificación de las personas, consideramos que se realiza un tratamiento proporcional de las imágenes en relación con el ámbito y la finalidad que justifican la recogida de las mismas, resultando por ende, la instalación y funcionamiento de la Cámara Calle (C/....3), conforme con la normativa sobre protección de datos. CÁMARA PUERTA GARAJE VIP ((C/....2)) (…) Por Io tanto, las imágenes captadas por la Cámara puerta Garaje VIP se limitan exclusivamente a Ia zona de entrada al garaje, captando la parte de la vía pública que da acceso a las instalaciones, no siendo posible evitar captar esta zona sin desvirtuar la finalidad de seguridad y protección para la cual se ha instalado dicha Cámara. (…) En consecuencia, del conjunto de hechos acreditados que se acaba de exponer y conforme al principio de proporcionalidad, esta parte considera que la captación de las imágenes por las cámaras de videovigilancia examinadas a lo largo del cuerpo del presente escrito no constituye la infracción administrativa que se le podría proponer imputar, y ello teniendo en cuenta que las cámaras, de carácter filo, sin zoom y sin posibilidad de movimiento, están orientadas de tal modo que su objeto de vigilancia principal es el acceso a la oficina, el acceso a las instalaciones a través del garaje y las fachadas de los laterales del edificio, siendo la captación de imágenes de parte de la vía pública la mínima imprescindible o inevitable por razón de la finalidad o ubicación necesaria de las cámaras.” Concluye el escrito de alegaciones solicitando que se acuerde el sobreseimiento del procedimiento y el archivo de las actuaciones porque los hechos que se imputan no son constitutivos de infracción alguna. QUINTO: Con fecha 7 de octubre de 2015 se inició el período de práctica de pruebas, acordándose practicar las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/20 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por D. A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante ABANCA CORPORACIÓN BANCARIA, SA, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/00229/2015. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00405/2015 presentadas por ABANCA CORPORACIÓN BANCARIA, SA, y la documentación que a ellas acompaña. SEXTO: Con fecha 29 de diciembre de 2015 se formuló propuesta de resolución, proponiendo la imposición de una sanción de 40.001 € a la entidad ABANCA CORPORACIÓN BANCARIA, SA, por la comisión de una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
2. b)de dicha Ley. SÉPTIMO: Con fecha 24 de septiembre de 2015 tiene entrada en el Registro de esta Agencia un escrito de la Subdelegación de Gobierno en Pontevedra con el que traslada la denuncia de D. A.A.A. por si pudiera ser constitutivo de infracción a la legislación de protección de Datos. En este escrito se denuncia, ante la Subdelegación de Gobierno, el sistema de videovigilancia instalado en la oficina de la Avenida (C/....1), de Vigo de la entidad Abanca, por la presunta infracción de la Ley de Seguridad Privada. OCTAVO: Notificada la propuesta de resolución la entidad denunciada presenta escrito de alegaciones en el que se insiste en que razones de seguridad de origen terrorista facultan a la entidad a que intensifique la videovigilancia de accesos y fachadas, pudiendo captar imágenes de personas en espacios contiguos a los accesos y fachadas que abarquen mayor proporción de vía pública. Reiteran que disponen de habilitación gubernativa por la autorización de la Subdelegación de Gobierno de 2011, en la que se resuelve autorizar a la entidad la exención de medidas de seguridad en la reforma de la oficina principal calle (C/....1) 1 de Vigo ya que dispone de vigilante de seguridad con arma las 24 horas del día. Manifiestan en sus alegaciones que la policía de Vigo constata la adecuación de las medidas de seguridad a la normativa aplicable. Que la cámara situada entre las calles (C/....2) y (C/....3) capta el reflejo de la vía pública en la fachada acristalada lo que hace que no sean identificables las personas así captadas. Que no es coherente ni razonable que no se haya puesto en entredicho lo captado por la cámara ubicada en la calle (C/....3), lado (C/....1) porque, al igual que en la anterior cámara, se capta el reflejo de la vía pública. No se aporta en el escrito de alegaciones, constancia de la imagen a la que se alude. Se expone la identidad con el caso examinado en otro procedimiento de esta Agencia respecto de otra oficina de la entidad. Sobre esta cámara, (C/....2) y (C/....3), se expone que no se puede reorientar, no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/20 se puede reubicar y no se puede retirar. Sobre la cámara en la entrada de servicio calle (C/....3) se expone que el 15 de enero de 2016 se ha reorientado limitando su captación a un espacio muy reducido de la vía pública. Se aporta constancia de lo captado tras la reorientación. Sobre la cámara en el garaje VIP calle (C/....2) se expone que el 15 de enero de 2016 se ha reorientado limitando su captación a un espacio muy reducido de la vía pública. Se aporta constancia de lo captado tras la reorientación. Concluye el escrito solicitando que se acuerde el sobreseimiento del procedimiento con archivo de las actuaciones por no ser constitutivos los hechos imputados de infracción alguna. HECHOS PROBADOS PRIMERO: La entidad ABANCA CORPORACIÓN BANCARIA, S.A. dispone de un sistema de videovigilancia instalado en la oficina de la entidad situada en la (C/....1), Pontevedra. La entidad responsable manifiesta que la oficina dispone de cincuenta y dos cámaras de videovigilancia, doce de ellas instaladas en el exterior, de las cuales seis manifiestan que se encuentran fuera de servicio, y cuarenta cámaras de seguridad en el interior. Todas las cámaras son fijas y no disponen de zoom La entidad responsable manifiesta que la instalación de las cámaras de videovigilancia responde, conforme a la finalidad prevista en los artículos 1, 2 y 4 de la Ley 5/2014, de 4 de abril, de Seguridad Privada, a la necesidad de garantizar la seguridad de las personas y de los bienes, habida cuenta de la naturaleza de dicha oficina y de la actividad que en la misma se desarrolla. Aportan recortes de prensa que hacen referencia a diversos atentados cometidos contra distintas oficinas de CAIXA GALICIA, actualmente ABANCA. SEGUNDO: La entidad responsable ha aportado imágenes de las 12 cámaras exteriores y de lo que captan las 6 que están en funcionamiento. Examinadas las imágenes por la Inspección de Datos de esta Agencia se valora lo siguiente: - La cámara ubicada en la entrada de servicio de la calle (C/....3) recoge imágenes de parte de la vía pública. - La cámara ubicada en la puerta de garaje VIP, (C/....2), recoge imágenes de parte de la vía pública. - La cámara ubicada en la esquina de las calles (C/....2) y (C/....3) recoge un amplio espacio de la vía pública. TERCERO: Respecto del cumplimiento del deber de información, la entidad responsable aporta reportaje fotográfico de los carteles donde se informa de la existencia de cámaras de videovigilancia, situados en distintas zonas de acceso de la oficina, donde se informa de la existencia de una zona videovigilada y se identifica al responsable ante el que pueden ejercitarse los derechos de protección de datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/20 Aportan también copia del modelo del formulario informativo que debe estar a disposición de los ciudadanos, según se recoge en el artículo 3.b de la Instrucción 1/2006. CUARTO: Respecto de la visualización y grabación de las imágenes captadas, la entidad responsable manifiesta que las imágenes captadas se visualizan por los vigilantes de seguridad que ocupan el Puesto de control de acceso de la Oficina, a través de monitores. También puede tener acceso a las imágenes el Director de Seguridad de ABANCA, que es personal propio de la entidad de crédito. Las imágenes se conservan durante quince días, desde la fecha de grabación; plazo en el que dichos soportes se encuentran a disposición, exclusivamente, de las Autoridades Judiciales y de las dependencias de las Fuerzas y Cuerpos de Seguridad. ABANCA notificó la creación del fichero de Videovigilancia a la Agencia española de Protección de Datos, y lo inscribió en el Registro General de Protección de Datos bajo la denominación "SEGURIDAD FÍSICA" con la finalidad de "GESTIÓN Y CONTROL DE ACCESO FÍSICO A EDIFICIOS Y CÁMARAS DE VIDEOVIGILANCIA". FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II Con carácter previo, debe señalarse que el artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. La LOPD, viene a regular el derecho fundamental a la protección de datos de las personas físicas, esto es, el derecho a disponer de sus propios datos sin que puedan ser utilizados, tratados o cedidos sin su consentimiento, con la salvedad de las excepciones legalmente previstas. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el apartado
4. a)del artículo 3 de la LOPD, como “Cualquier información concerniente a personas físicas identificadas o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/20 identificables”. En lo que respecta al concepto de “fichero” el artículo 3.
5. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
6. d)de la LOPD define al responsable del fichero o tratamiento como la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” El artículo 3 de la LOPD define en su letra
7. c)el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. La garantía del derecho a la protección de datos, conferida por la normativa de referencia, requiere que exista una actuación que constituya un tratamiento de datos personales en el sentido expresado. En otro caso las mencionadas disposiciones no serán de aplicación. El artículo 5.1.
8. f)del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, define los datos de carácter personal como: “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2.
9. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, según el cual, a efectos de dicha Directiva, se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. De lo anteriormente expuesto se desprende que el concepto de dato personal, según la definición de la LOPD, requiere la concurrencia de un doble elemento: por una parte, la existencia de una información o dato y, por otra, que dicho dato pueda vincularse a una persona física identificada o identificable. Así, de conformidad con la normativa expuesta, el denunciado dispone de datos personales y los utiliza, lo que constituye un tratamiento de datos personales del que es responsable, toda vez que es quien decide sobre la finalidad, contenido y uso del citado tratamiento. III Se imputa a la entidad ABANCA CORPORACIÓN BANCARIA, S.A., como responsable del sistema de videovigilancia instalado en la oficina situada en la (C/....1), Pontevedra, la comisión de una infracción del artículo 6.1 de la LOPD, que dispone lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/20 siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado”. Respecto a la legitimación en el tratamiento de las imágenes, la respuesta se encuentra en el artículo 2 de la Instrucción 1/2006, que establece que: “1. Sólo será posible el tratamiento de los datos objeto de la presente instrucción, cuando se encuentre amparado por lo dispuesto en el artículo 6.1 y 2 y el artículo 11.1 y 2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. 2. Sin perjuicio de lo establecido en el apartado anterior la instalación de cámaras y videocámaras deberá respetar en todo caso los requisitos exigidos por la legislación vigente en la materia”. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. En el presente expediente, cabe apreciar que las cámaras instaladas captan C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/20 imágenes de personas, de conformidad con lo anteriormente expuesto. Dichas imágenes, incorporan datos personales de las personas que se introducen dentro de su campo de visión y, por lo tanto, los datos personales captados están sometidos al consentimiento de sus titulares, de conformidad con lo que determina la LOPD. IV Partiendo de lo anterior, no hay que olvidar que las instalaciones de videovigilancia utilizadas en Bancos, Cajas de Ahorro y demás entidades de crédito tienen unas necesidades específicas, circunstancia que la entidad imputada expone como razón de la instalación: la necesidad de garantizar la protección de la seguridad de las personas y de los bienes habida cuenta de la naturaleza de la oficina y de la actividad que en ella se desarrolla, manifiesta, según lo previsto en la Ley 5/2014, de 4 de abril, de Seguridad Privada, LSP. La Ley 5/2014, de 4 de abril, de Seguridad Privada, prevé que por razones de seguridad pública se adopten determinadas medidas. A este respecto el artículo 51 de la citada LSP regula las medidas de seguridad privada que podrán adoptarse por personas físicas o jurídicas, y expone lo siguiente: “1. Las personas físicas o jurídicas, públicas o privadas, podrán dotarse de medidas de seguridad privada dirigidas a la protección de personas y bienes y al aseguramiento del normal desarrollo de sus actividades personales o empresariales. 2. Reglamentariamente, con la finalidad de prevenir la comisión de actos delictivos contra ellos o por generar riesgos directos para terceros o ser especialmente vulnerables, se determinarán los establecimientos e instalaciones industriales, comerciales y de servicios y los eventos que resulten obligados a adoptar medidas de seguridad, así como el tipo y características de las que deban implantar en cada caso. 3. El Ministerio del Interior o, en su caso, el órgano autonómico competente podrá ordenar que los titulares de establecimientos o instalaciones industriales, comerciales y de servicios y los organizadores de eventos adopten las medidas de seguridad que reglamentariamente se establezcan. El órgano competente formulará la propuesta teniendo en cuenta, además de su finalidad preventiva de hechos delictivos y de evitación de riesgos, la naturaleza de la actividad, la localización de los establecimientos o instalaciones, la concentración de personas u otras circunstancias que la justifiquen y, previa audiencia del titular u organizador, resolverá motivadamente. Cuando se considerase necesaria la implantación de dichas medidas en órganos u organismos públicos, el órgano competente formulará la correspondiente propuesta y, previo acuerdo con el órgano administrativo o entidad de los que dependan las instalaciones o locales necesitados de protección, dictará la resolución procedente. 4. Las sedes y delegaciones de las empresas de seguridad privada vinculadas a la operativa de seguridad y los despachos de detectives privados y sus sucursales estarán obligados a adoptar las medidas de seguridad que se establezcan reglamentariamente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/20 5. La celebración de eventos y la apertura o funcionamiento de establecimientos e instalaciones y de empresas de seguridad y sus delegaciones y despachos de detectives y sus sucursales, mencionados en los apartados 2 y 3, estará condicionada a la efectiva implantación de las medidas de seguridad que resulten obligatorias en cada caso. 6. Los órganos competentes podrán eximir de la implantación de medidas de seguridad obligatorias cuando las circunstancias que concurran en el caso concreto las hicieren innecesarias o improcedentes. 7. Los titulares de los establecimientos, instalaciones y empresas de seguridad privada y sus delegaciones, así como de los despachos de detectives privados y sus sucursales y los organizadores de eventos, serán responsables de la adopción de las medidas de seguridad que resulten obligatorias en cada caso. Las empresas de seguridad encargadas de la prestación de las medidas de seguridad que les sean contratadas, serán responsables de su correcta instalación, mantenimiento y funcionamiento, sin perjuicio de la responsabilidad en que puedan incurrir sus empleados o los titulares de los establecimientos, instalaciones u organizadores obligados, si cualquier anomalía en su funcionamiento les fuera imputable. 8. Quedarán sometidos a lo establecido en esta ley y en sus disposiciones de desarrollo los usuarios que, sin estar obligados, adopten medidas de seguridad, así como quienes adopten medidas de seguridad adicionales a las obligatorias, respecto de éstas.” En consecuencia, la Ley 5/2014, de 4 de abril, de Seguridad Privada prevé que se podrá ordenar la adopción de medidas de seguridad por parte de los titulares de establecimientos o instalaciones industriales, comerciales y de servicios y los organizadores de eventos. Por otra parte en el artículo 42 sobre los “servicios de videovigilancia”, expone la citada Ley de Seguridad Privada que: “… 2. No se podrán utilizar cámaras o videocámaras con fines de seguridad privada para tomar imágenes y sonidos de vías y espacios públicos o de acceso público salvo en los supuestos y en los términos y condiciones previstos en su normativa específica, previa autorización administrativa por el órgano competente en cada caso. Su utilización en el interior de los domicilios requerirá el consentimiento del titular. 3. Las cámaras de videovigilancia que formen parte de medidas de seguridad obligatorias o de sistemas de recepción, verificación y, en su caso, respuesta y transmisión de alarmas, no requerirán autorización administrativa para su instalación, empleo o utilización. 4. Las grabaciones realizadas por los sistemas de videovigilancia no podrán destinarse a un uso distinto del de su finalidad. Cuando las mismas se encuentren relacionadas con hechos delictivos o que afecten a la seguridad ciudadana, se aportarán, de propia iniciativa o a su requerimiento, a las Fuerzas y Cuerpos de Seguridad competentes, respetando los criterios de conservación y custodia de las mismas para su válida aportación como evidencia o prueba en investigaciones policiales o judiciales. 5. La monitorización, grabación, tratamiento y registro de imágenes y sonidos por parte de los sistemas de videovigilancia estará sometida a lo previsto en la normativa en materia de protección de datos de carácter personal, y especialmente a los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/20 principios de proporcionalidad, idoneidad e intervención mínima. 6. En lo no previsto en la presente ley y en sus normas de desarrollo, se aplicará lo dispuesto en la normativa sobre videovigilancia por parte de las Fuerzas y Cuerpos de Seguridad…” Por otra parte, la Ley Orgánica 4/2015, de 30 de marzo, de protección de la seguridad ciudadana, establece en su artículo 26, respecto de los “Establecimientos e instalaciones obligados a adoptar medidas de seguridad”, lo siguiente: “Reglamentariamente, en desarrollo de lo dispuesto en esta Ley, en la legislación de seguridad privada, en la de infraestructuras críticas o en otra normativa sectorial, podrá establecerse la necesidad de adoptar medidas de seguridad en establecimientos e instalaciones industriales, comerciales y de servicios, así como en las infraestructuras críticas, con la finalidad de prevenir la comisión de actos delictivos o infracciones administrativas, o cuando generen riesgos directos para terceros o sean especialmente vulnerables”. Por lo tanto, según lo expuesto, el tratamiento de datos de carácter personal derivado de la colocación y funcionamiento de dichas cámaras de videovigilancia no precisaría del consentimiento inequívoco de cada uno de los afectados por el mismo, toda vez que dicho tratamiento contaría con la cobertura legal de la LSP y de la LOSC, siendo, en consecuencia, conforme a lo previsto en el artículo 6.1 in fine de la LOPD siempre y cuando las cámaras y videocámaras instaladas en dichas oficinas no capten imágenes de espacios públicos. V No obstante lo anterior, en el presente supuesto, se ha comprobado que en la sucursal de la entidad objeto de la presente denuncia tiene lugar un tratamiento de datos personales que excede del ámbito o entorno privado de las propias instalaciones al que debía ceñirse, habida cuenta que se recogen imágenes procedentes de la vía pública y de las personas que transitan por los espacios públicos enfocados por dichas cámaras, siendo este tipo de tratamiento, no autorizado por la normativa anteriormente citada, el que ha originado la imputación de vulneración del principio del consentimiento, ya que no cuenta con el consentimiento de los afectados ni con la legitimación derivada de la Ley Orgánica 4/1997, de 4 de agosto, por la que se regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad en lugares públicos. Para entender las especialidades derivadas del tratamiento de las imágenes en la vía pública que captan las cámaras situadas en el exterior, es preciso conocer la regulación que sobre esta materia se contempla en el artículo 1 de la Ley Orgánica 4/1997, de 4 de agosto, por la que se regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad en lugares públicos que establece: “La presente Ley regula la utilización por las Fuerzas y Cuerpos de Seguridad de videocámaras para grabar imágenes y sonidos en lugares públicos abiertos o cerrados, y su posterior tratamiento, a fin de contribuir a asegurar la convivencia ciudadana, la erradicación de la violencia y la utilización pacífica de las vías y espacios públicos, así como de prevenir la comisión de delitos, faltas e infracciones relacionados con la seguridad pública”. Este precepto es preciso ponerlo en relación con lo dispuesto en el artículo 3
10. e)C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/20 de la Ley Orgánica 15/1999, donde se prevé que: “Se regirán por sus disposiciones específicas y por lo especialmente previsto, en su caso, por esta Ley Orgánica los siguientes tratamientos de datos personales:
11. e)Los procedentes de las imágenes y sonidos obtenidos mediante la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad, de conformidad con la legislación sobre la materia”. En virtud de todo lo expuesto, podemos destacar que la instalación de videocámaras en lugares públicos es competencia exclusiva de las Fuerzas y Cuerpos de Seguridad, de ahí que la legitimación para el tratamiento de dichas imágenes se contemple en la Ley Orgánica 4/1997, y además en el mismo texto legal se regulan los criterios para instalar las cámaras y los derechos de los interesados. Asimismo, debe recordarse que el tratamiento de las imágenes deberá cumplir con el principio de proporcionalidad en el tratamiento, consagrado por el artículo 4.1 de la Ley Orgánica 15/1999, según el cual “los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido”. Así lo recuerda el artículo 4.1 de la Instrucción 1/2006, al señalar que “de conformidad con el artículo 4 de la Ley Orgánica 15/1999 de 13 de diciembre, de Protección de Datos de Carácter Personal, las imágenes sólo serán tratadas cuando sean adecuadas, pertinentes y no excesivas en relación con el ámbito y las finalidades determinadas, legítimas y explícitas, que hayan justificado la instalación de las cámaras o videocámaras”. En el presente procedimiento no ha quedado acreditado que el sistema de videovigilancia del denunciado estuviera acogido a las disposiciones de la Ley Orgánica 4/1997, de 4 de agosto, que regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad en lugares públicos, por lo que el tratamiento de los datos recogidos en la vía pública carece de habilitación legal. En este caso, las cámaras ubicadas en la sede de la entidad ABANCA CORPORACIÓN BANCARIA, S.A., como responsable del sistema de videovigilancia instalado en la oficina situada en la (C/....1), Pontevedra, graban imágenes de la vía pública sin que tengan autorización administrativa al respecto, puesto que como ya se ha establecido “ut supra”, la instalación de cámaras en la vía pública es competencia exclusiva de las Fuerzas y Cuerpos de Seguridad del Estado. Partiendo de la normativa citada, la legitimación para el uso de instalaciones de videovigilancia se ciñe a la protección de entornos privados, mientras que la prevención del delito y la garantía de la seguridad en las vías públicas corresponden en exclusiva a las Fuerzas y Cuerpos de Seguridad. Por tanto, la regla general es la prohibición de captar imágenes de vías públicas o de la calle desde instalaciones privadas, al ser competencia de los Cuerpos y Fuerzas de Seguridad, puesto que en ningún caso puede admitirse el uso de prácticas de vigilancia más allá del entorno objeto de la instalación y en particular en lo que se refiere a los espacios públicos circundantes, edificios contiguos y vehículos distintos de los que accedan al espacio vigilado. En este sentido, se pronuncia el artículo 4.3 de la Instrucción 1/2006, cuando señala que “3. Las cámaras y videocámaras instaladas en espacios privados no podrán obtener imágenes de espacios públicos salvo que resulte imprescindible para la finalidad de vigilancia que se pretende, o resulte imposible evitarlo por razón de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/20 ubicación de aquéllas. En todo caso deberá evitarse cualquier tratamiento de datos innecesario para la finalidad perseguida”. Quiere ello decir que la captación y/o grabación de imágenes en un lugar público no está permitida en ningún supuesto. Sin perjuicio de que la instalación de cámaras en cajeros exteriores, fachadas y accesos a Bancos, Cajas de Ahorro y entidades financieras pueda estar legitimada por la LOSC y la LSP, esta Agencia entiende que la garantía de la seguridad de las personas y de los bienes que se pretende con la instalación de dichos dispositivos de videovigilancia no ampara, en lo que se refiere a este supuesto, el tratamiento de la vía pública y de las personas que transitan por las mismas efectuado por Abanca Corporación Bancaria. Téngase en cuenta que, según se constata de la observación de la documentación gráfica obrante en el procedimiento, desde tres de las cámaras instaladas en la sucursal denunciada, se capta la vía pública: la cámara situada en la entrada de servicio de la calle (C/....3) y la ubicada en la puerta de garaje VIP de la calle (C/....2) recogen imágenes de parte de la vía pública y la cámara ubicada en la esquina de las calles (C/....2) y (C/....3) recoge un amplio espacio de la vía pública. En sus alegaciones, la entidad denunciada expone que la captación de imágenes de la vía pública es la mínima imprescindible o inevitable por razón de la finalidad o ubicación necesaria de las cámaras. Esta valoración no es compartida por esta Agencia vistas las imágenes que obran en el expediente, folios 55, 63 y 64 de lo captado por las tres cámaras mencionadas y en particular por la captación de la cámara situada en la calle (C/....2) con la calle (C/....3) que recoge todo el ancho de la calle. La Sentencia de la Audiencia Nacional de 11 de septiembre de 2015, en un caso similar al presente, de captación de imágenes de la vía pública por una entidad bancaria, expresa en su fundamento QUINTO: “Pues bien. la finalidad de seguridad perseguida con la instalación de dicha cámara y en concreto el control del mostrador de la entidad, no justificaba la captación de imágenes de tan amplio espacio de acera como el que se observa en la fotografía obrante al follo 43 del expediente administrativo, con la consiguiente captación de cualesquiera personas que transitaran por la misma, aunque no se dirigieran a la citada entidad bancaria, debiendo haberse instalado de forma que se cumpliera con la normativa expuesta en materia de seguridad privada y la de protección de datos, que no tienen por qué ser incompatibles. (…) En definitiva, no resulta justificada la necesidad del sacrifico al que se somete el derecho a la protección de datos de las personas, cuya imagen es captada por la citada cámara que pese a estar situada en el interior de la sucursal capta un espacio tan amplio de acera por la que transitan los viandantes que incluye un kiosco de la ONCE, para la finalidad de seguridad perseguida, resultando en suma desproporcionada la afectación en los derechos a la protección de datos de terceros”. Expone en sus alegaciones al acuerdo de inicio, la entidad denunciada que, ya en actuaciones previas, se aportó un oficio de la Subdelegación del Gobierno de Pontevedra de 25 de agosto de 2011 que, a su parecer, acredita que la instalación de videovigilancia en la Oficina es conforme a lo dispuesto en el Reglamento de Seguridad Privada (folios 45 y 46). En dicho documento, la Subdelegación de Gobierno en Pontevedra expone que la entidad NOVA CAIXA GALICIA ha solicitado la exención de medidas de seguridad, con motivo de la reforma en la oficina de la calle (C/....1) nº 1 de Vigo. En el documento la citada Subdelegación de Gobierno resuelve autorizar a la entidad la exención de medidas de seguridad en la reforma de la oficina principal, en la calle (C/....1) n° 1 de Vigo, ya que dispone de servicio de vigilante de seguridad con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/20 arma las 24 horas del día. De esta manera se observa que no puede estimarse lo alegado por la entidad denunciada, toda vez que el citado documento lo que autoriza es una exención temporal de las medidas de seguridad exigidas en el Reglamento de Seguridad Privada con motivo de una solicitud expresa por la entidad bancaria, para unas reformas en la Oficina. Se expone en las alegaciones a la propuesta de resolución, que en la autorización de la Subdelegación de Gobierno en Pontevedra, de 2011, la policía de Vigo constata la adecuación de las medidas de seguridad de la oficina a la normativa aplicable. En este documento se expone que la oficina cumple las medidas de seguridad exigidas en el RD 2364/1994 y el Subdelegado de Gobierno autoriza una exención de medidas de seguridad durante la reforma de la oficina porque se dispone de vigilante con arma las 24 horas del día. Todo ello está referido a la situación del año 2011 y al cumplimiento de la normativa de seguridad en aquel momento en que se realizó la inspección por la policía de Vigo, sin que pueda entenderse como una autorización para la instalación de cámaras y captación de la vía pública que, como ya se ha visto, es competencia de las Fuerzas y Cuerpos de Seguridad y que, como también se ha visto ya, la legitimación para el uso de instalaciones de videovigilancia se ciñe a la protección de entornos privados. En consecuencia, esta Agencia considera que el tratamiento de datos de carácter personal derivado de las imágenes captadas por dichas cámaras no resulta proporcional ni adecuado a la finalidad de prevención y vigilancia de bienes y personas que podría justificar su captación. Es preciso reducir al mínimo imprescindible el espacio de vía pública captado por las cámaras sin menoscabar las funciones de seguridad a las que obedece su instalación, consiguiéndose así un tratamiento no lesivo para los derechos de las personas que transitan por esas zonas. Es por ello que la programación de los parámetros técnicos de las cámaras para limitar el enfoque a un ámbito concreto no responde sino a la exigencia de proporcionalidad en el tratamiento de los datos personales de personas identificadas e identificables y a la adopción de medidas tendentes a no captar imágenes de la vía pública con un alcance mayor del que resulte necesario para garantizar la seguridad de las instalaciones. Sobre este particular hay que señalar que la seguridad privada no tiene por qué ser incompatible con el derecho a la protección de datos. Sin embargo, en determinadas ocasiones la instalación de un sistema de videovigilancia privada puede captar imágenes parcialmente de la vía pública. Estos casos deben ser una excepción y respetar la proporcionalidad en el tratamiento. En primer lugar, no deberá existir una posibilidad de instalación alternativa. Por otra parte, las videocámaras deberán orientarse de modo tal que su objeto de vigilancia principal sea el entorno privado y la captación de imágenes de la vía pública sea la mínima imprescindible. En este sentido, se pronuncia la Instrucción 1/2006, en el artículo 4 como ya se vio anteriormente. Para que la excepción recogida en el artículo 4.3 de la Instrucción 1/2006 resulte aplicable no deberá existir una posibilidad de instalación alternativa, sin que pueda interpretarse que dicho precepto constituye una habilitación para captar imágenes en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/20 espacios públicos, puesto que en ningún caso puede admitirse el uso de prácticas de vigilancia más allá del entorno objeto de la instalación y en particular en lo que se refiere a los espacios públicos circundantes, edificios contiguos y vehículos distintos de los que accedan al espacio vigilado. Así, de conformidad con la normativa y jurisprudencia expuesta, la captación de imágenes a través de videocámaras, como es el caso que nos ocupa, constituye un tratamiento de datos personales, cuyo responsable se identifica, en el presente caso, con el denunciado, toda vez que es éste el que decide sobre la finalidad, contenido y uso del citado tratamiento. Dicho responsable carece de legitimación para el tratamiento de las imágenes realizando un tratamiento de datos personales sin cumplir la normativa reguladora de protección de datos. En el escrito de alegaciones a la propuesta de resolución se insiste en que razones de seguridad de origen terrorista facultan a la entidad a que intensifique la videovigilancia de accesos y fachadas, pudiendo captar imágenes de personas en espacios contiguos a los accesos y fachadas que abarquen mayor proporción de vía pública. No expone la entidad denunciada en qué basa su afirmación de que se pueda captar mayor espacio de vía pública por la circunstancia alegada, cuando ya se ha expuesto que esta Agencia entiende que la garantía de la seguridad de las personas y de los bienes que se pretende con la instalación de dichos dispositivos de videovigilancia no ampara, en lo que se refiere a este supuesto, el tratamiento de la vía pública y de las personas que transitan por las mismas efectuado por Abanca Corporación Bancaria. Se expone también en el escrito de alegaciones a la propuesta de resolución que la cámara situada entre las calles (C/....2) y (C/....3) capta el reflejo en la fachada lo que hace que no se identifique a las personas que capta. A este respecto cabe considerar que la Directiva 95/46/CE en su Considerando 14 afirma: “