1/7 - Procedimiento Nº: PS/00409/2018 RESOLUCIÓN: R/00469/2019 En el procedimiento PS/00409/2018, instruido por la Agencia Española de Protección de Datos a Doña B.B.B. y Don C.C.C., vista la denuncia presentada por Don A.A.A. y en virtud de los siguientes, HECHOS PRIMERO: Con fecha 07/08/2018 tiene entrada en esta Agencia escrito de Don A.A.A. (en adelante el reclamante), en el que comunica una posible infracción del RGPD, motivada por el tratamiento de datos realizado a través de un sistema de videovigilancia en la finca sita en ***DIRECCIÓN.1, cuyos presuntos responsable son identificados como B.B.B. y C.C.C. con NIF ***NIF.1 en adelante el reclamado). En la denuncia se ponen de manifiesto los siguientes hechos que “se ha procedido a la instalación de varias cámaras de video-vigilancia por parte de los titulares de la vivienda contigua” que pudieran estar obteniendo imágenes de manera desproporcionada de su vivienda, afectando a su derecho a la intimidad. Se adjuntan los siguientes documentos: Copia Acta Notarial del Ilustre Colegio Notarial de Aragón. -Prueba documental (Anexo I): fotografías que acreditan la presencia de varias cámaras con presunta orientación hacia la vivienda (
- s)colindantes. SEGUNDO: En fecha 04/10/2018 se procede a dar traslado de la reclamación presentada a la parte denunciada, identificadas como tal por el denunciante, sin que respuesta alguna se haya realizado en tiempo y forma. TERCERO: En fecha 05/11/18 se reitera la reclamación a la parte denunciada, sin que respuesta alguna se haya realizado al respecto. CUARTO: Con fecha 30 de julio de 2019, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento PS/00409/2018. Dicho acuerdo fue notificado al denunciado. QUINTO: Consultada la base de datos de este organismo (15/09/19) no consta alegación alguna en relación a los hechos objeto de denuncia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 HECHOS PROBADOS Primero. En fecha 07/08/18 tiene entrada en esta Agencia reclamación del denunciante por medio de la cual traslada como hecho principal el siguiente: “se ha procedido a la instalación de varias cámaras de video-vigilancia por parte de los titulares de la vivienda contigua” que pudieran estar obteniendo imágenes de manera desproporcionada de su vivienda, afectando a su derecho a la intimidad. Segundo. La parte denunciante identifica como principal responsable a los vecinos del inmueble: C.C.C. y B.B.B. Tercero. El sistema denunciado carece de cartel informativo indicando que se trata de una zona video-vigilada. Cuarto. No consta que las partes denunciadas hayan realizado manifestación alguna al respecto en relación a los hechos trasladados por esta Agencia. Quinto. Consta aportada como prueba documental (Doc. nº1) Acta notarial que certifica la instalación de cuatro cámaras de video-vigilancia, las cuales podrían estar obteniendo imágenes de espacio público y propiedad colindante sin causa justificada. Las imágenes aportadas solo permiten constatar la instalación de las cámaras, pero no que las mismas afecten a espacio público y/o privativo del denunciante, para lo que se necesitaría visionar lo que se obtiene con las mismas. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II En el presente caso, se procede a examinar la reclamación de fecha 07/08/18 en la que se ponen de manifiesto los siguientes hechos que “se ha procedido a la instalación de varias cámaras de video-vigilancia por parte de los titulares de la vivienda contigua” que pudieran estar obteniendo imágenes de manera desproporcionada de su vivienda, afectando a su derecho a la intimidad. Se adjuntan los siguientes documentos: Copia Acta Notarial del Ilustre Colegio Notarial de Aragón. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 Los “hechos” anteriores pueden suponer una afectación al contenido del art. 5.1
- c)RGPD, que dispone: “Los datos personales serán: “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»); Cabe indicar que el responsable de la instalación debe poder acreditar ante esta Agencia que el mismo se ajusta a la legalidad vigente, sin que se afecte a la intimidad de terceros. III En segundo lugar y a título meramente informativo, cabe recordar algunos de los requisitos que debe cumplir el tratamiento de imágenes a través de un sistema de videovigilancia para ser acorde con la normativa vigente: - Respetar el principio de minimización de datos. - Las videocámaras no podrán captar imágenes de las personas que se encuentren fuera del espacio privado en donde esté instalado el sistema de videovigilancia, ya que el tratamiento de imágenes en lugares públicos sólo puede ser realizado, salvo que concurra autorización gubernativa, por las Fuerzas y Cuerpos de Seguridad. Tampoco pueden grabarse espacios propiedad de terceros sin el consentimiento de sus titulares. - Deberá cumplirse el deber de informar a los afectados en el modo previsto en el artículo 12 del RGPD en relación con los artículos 13 y 14 del Reglamento, y el artículo 3 de la Instrucción 1/2006, de 8 de noviembre de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras (Instrucción 1/2006) al no contradecir las disposiciones del citado reglamento. En concreto habrá que: Colocar en las zonas videovigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados. De acuerdo con lo dispuesto en los artículos 13 y 14 del RGPD, en este distintivo deberá concretarse, al menos, la existencia de un tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos reconocidos en el RGPD. Mantener a disposición de los afectados, impresos en los que se detalle la información a la que se alude en el párrafo anterior. - El responsable deberá llevar un Registro de Actividades de los tratamientos efectuados bajo su responsabilidad en el que se incluya la información a la que hace referencia el artículo 30.1 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 V Del examen de los hechos recogidos en el expediente se puede derivar una infracción del artículo 5.1.
- c)del RGPD relativo a los principios del tratamiento, que dispone lo siguiente: “Los datos personales serán:
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados (“minimización de datos”).” Este artículo consagra el principio de minimización de datos en el tratamiento de los datos personales que supone que el tratamiento de los datos sea ajustado y proporcional a la finalidad a la que se dirige el mismo, debiendo restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. La pertinencia en el tratamiento de los datos debe producirse tanto en el ámbito de la recogida de los datos como en el posterior tratamiento que se realice de los mismos. Además, hay que tener en cuenta que la finalidad del tratamiento debe presidir el mismo, de tal forma que no es aceptable que se traten datos excesivos en relación con la misma. Por esta razón, el tratamiento de datos personales llevado a cabo a través de la visualización en el monitor de las imágenes captadas por las cámaras del sistema denunciado, debe limitarse a la finalidad de control de la seguridad del establecimiento donde está instalado. En este caso concreto, el tratamiento de las imágenes descrito anteriormente puede suponer un tratamiento de datos excesivos ya que las imágenes sólo deben visualizarse por las personas autorizadas para ello y legitimadas para llevar a cabo su tratamiento. En materia de video-vigilancia, cabe la aplicación de lo dispuesto en la Instrucción 1/2006, ya que no se opone a lo establecido en el RGPD, en su artículo 4 hace mención al principio de minimización de datos en los siguientes términos: 1.- Las imágenes sólo serán tratadas cuando sean adecuadas, pertinentes y no excesivas en relación con el ámbito y las finalidades determinadas, legítimas y explícitas, que hayan justificado la instalación de las cámaras o videocámaras. .- Sólo se considerará admisible la instalación de cámaras o videocámaras cuando la finalidad de vigilancia no pueda obtenerse mediante otros medios que, sin exigir esfuerzos desproporcionados, resulten menos intrusivos para la intimidad de las personas y para su derecho a la protección de datos de carácter personal. .- Las cámaras y videocámaras instaladas en espacios privados no podrán obtener imágenes de espacios públicos salvo que resulte imprescindible para la finalidad de vigilancia que se pretende, o resulte imposible evitarlo por razón de la ubicación de aquéllas. En todo caso deberá evitarse cualquier tratamiento de datos innecesario para la finalidad perseguida.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 VI El artículo 58.2 del RGPD establece cuales son los poderes correctivos de la Autoridad de Control, en el caso de que se dé una infracción de sus preceptos. Este artículo dispone lo siguiente: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
- b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
- i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; Teniendo en cuenta lo anterior, la infracción del artículo 5.1.
- c)del RGPD, podrá sancionarse con la imposición de una falta administrativa tal y como se establece en el artículo 83.5 del propio Reglamento que dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, y 7 9…” En el presente caso, se tiene en cuenta que la instalación de las cámaras se limita a un ámbito concreto de poco alcance, así como al hecho de desconocer si las mismas están operativas, no obteniendo “lucro” alguno por la instalación de las mismas, de manera que se considera acertado Apercibir a los denunciados. V De acuerdo con lo expuesto, dada la falta de colaboración de los denunciados ante los requerimientos de este organismo, se considera acertado APERCIBIR a los mismos, de manera que deberán acreditar la legalidad del sistema o en su defecto asumir las consecuencias legales de sus actos, en caso de recibir “nueva” Denuncia. En todo caso, se recuerda a la parte denunciada el deber de colocar un cartel informativo indicando el responsable de las mismas o bien orientarlas de manera que no intimiden a los vecinos, debiendo estar orientadas preferentemente hacia su espacio privativo, no estando permitido la obtención de imágenes de espacio público o reservado a la intimidad de terceros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 Si se trata de cámaras “falsas” se deberá acreditar documentalmente tal carácter (vgr. aportación Acta Notarial, factura de compra, fotografías del interior de las mismas, etc). Transcurrido el plazo marcado, la parte denunciante puede trasladar los “hechos” a las Fuerzas y Cuerpos de Seguridad del Estado, para que confeccionen la correspondiente Acta (denuncia) realizando in situ las indagaciones oportunas, remitiéndola en caso de ser necesario a esta Agencia. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (PS/00409/2018) a Doña. B.B.B.y Don C.C.C. por la infracción del contenido del art. 5.1
- c)RGPD, al disponer de un sistema de cámaras sin informar, que pudiera afectar a espacio público/privativo de tercero sin causa justificada, infracción tipificad en el art. 83.5
- a)RGPD, siendo sancionable de conformidad con el art. 58.2 RGPD. 2.- REQUERIR a los denunciados Doña B.B.B.y Don C.C.C. para que en el plazo de un mes desde este acto de notificación: -Acredite la disponibilidad de cartel informativo en zona visible, indicando que se trata de una zona video-vigilada. -Aportar impresión de pantalla (fecha/hora) que acredite que el espacio que se capta con las cámaras se circunscribe a su ámbito personal o privado. 3.- NOTIFICAR el presente Acuerdo a Doña B.B.B. y Don C.C.C. e INFORMAR a la parte denunciante Don A.A.A. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es