1/16 Expediente N.º: EXP202307477 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 24 de mayo de 2023 A.A.A. (en adelante, la parte reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra SNOW INK SIERRA NEVADA, S.L. con NIF B72273535 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que la parte reclamada es responsable de un establecimiento que cuenta en su fachada con cámaras de videovigilancia orientadas a la vía pública. Junto a la notificación se aporta imágenes de ubicación de las cámaras SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó el 2 de junio de 2023 conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 13 de junio de 2023, como consta en el certificado que obra en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo el 13 de junio de 2023 se envió una copia por correo postal que fue notificada fehacientemente en fecha 27 de junio de 2023. En dicha notificación, se le recordaba su obligación de relacionarse electrónicamente con la Administración, y se le informaban de los medios de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios electrónicos. Se ha recibido respuesta a este escrito de traslado el 21 de julio de 2023 donde la parte reclamada manifiesta que tiene contrato con la empresa ***EMPRESA.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 El sistema se compone de 4 cámaras exteriores que según indican sólo captan la porción de vía pública imprescindible para la finalidad de seguridad. Indican que tienen carteles informativos expuestos. Las imágenes se visualizan a través de una aplicación en el móvil del responsable. No especifican el tiempo de conservación de las imágenes grabadas ni aportan imágenes del campo de visión de las cámaras. Facilitan fotografías de las cámaras junto a las que se aprecian carteles informativos y copia del contrato firmado con la empresa ***EMPRESA.1. TERCERO: Con fecha 24 de agosto de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad SNOW INK SIERRA NEVADA, S.L. (…). QUINTO: Con fecha 23 de octubre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.
- c)del RGPD, tipificada en el Artículo 83.5 del RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: “En respuesta al acuerdo de inicio de procedimiento sancionador recibido en fecha 24 de octubre de 2024, se adjunta certificado expedido por la empresa contratada para gestionar la videovigilancia del establecimiento, así como contrato de prestación de servicios, certificado de instalación y correo electrónico por parte de la empresa donde se especifica el tipo de sistema instalado, que los detectores volumétricos con cámara únicamente registran imágenes en caso de intrusión, borrándose automáticamente la misma transcurridos 30 días. Adicionalmente, la cláusula 18 del contrato de prestación de servicios regula los deberes y obligaciones de las partes en materia de protección de datos personales, incluido el plazo de conservación de las imágenes, lo cual puede aportar valor al expediente.” Junto a su escrito de alegaciones al acuerdo de inicio, presentó: - Certificado de instalación de 13 de junio de 2021 por el que ***EMPRESA.1, certifica haber realizado la instalación de un sistema de seguridad a la parte reclamada. - Contrato del sistema de seguridad suscrito entre ***EMPRESA.1, y la parte reclamada de 26 de mayo de 2021. SÉPTIMO: Con fecha 10 de diciembre de 2024 se propone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 Que por la Directora de la Agencia Española de Protección de Datos se sancione a SNOW INK SIERRA NEVADA, S.L., con NIF B72273535, por una infracción del Artículo 5.1.
- c)del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 4000€ (cuatro mil euros). Que por la Directora de la Agencia Española de Protección de Datos se ordene a SNOW INK SIERRA NEVADA, S.L., con NIF B72273535, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo de un mes, acredite haber procedido a la retirada del sistema de cámaras o videocámaras del lugar actual o bien a su reorientación, de tal manera que el visionado de las imágenes que se observan evidencie que no se capta la vía pública. OCTAVO: El 24 de diciembre de 2024, la parte reclamada remite a la AEPD las siguientes manifestaciones en respuesta a la propuesta de resolución: “PRIMERO. – Descripción de los hechos ocurridos. Datos relevantes para tener en cuenta. (…) SEGUNDO. – Decisión adoptada a propósito de esta reclamación. (…) TERCERO. – Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares. (…) CUARTA. CRITERIOS DE GRADUACIÓN A LA VISTA DE LOS HECHOS ENJUICIADOS. (…) . Tales afirmaciones van acompañadas de los documentos mencionados en ellas: Modelos de ejercicio de derechos de Acceso, Rectificación, Supresión, Limitación, Portabilidad y Oposición, con instrucciones para el ejercicio de tales derechos. Certificado de instalación de 13 de junio de 2021 y Contrato del sistema de seguridad suscrito con ***EMPRESA.1 de 26 de mayo de 2021. Correo electrónico de (…) (***EMAIL.1) de 6 de noviembre de 2024 dirigido a la parte reclamada en el que señala: “(…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 Consulta de 19 de diciembre de 2024 descriptiva y gráfica de datos catastrales del bien inmueble con referencia catastral ***REFERENCIA.1 situado en ***DIRECCIÓN.1. En el documento se indica: “este documento no es una certificación catastral, pero sus datos pueden ser verificados a través del “acceso a datos catastrales no protegidos de la SEC”. Imágenes de las cámaras y su ubicación. Documento con título “Informe de instalación CCTV” firmado por la empresa ***EMPRESA.2 por el que se certifica lo siguiente: “(…)”. El certificado no se encuentra fechado, si bien las imágenes que se incluyen en el mismo datan de 23 de diciembre de 2024. El nuevo cartel informativo en el que consta la identidad del responsable, su domicilio, la identificación del encargado del tratamiento, la dirección postal y la electrónica en la que ejercitar los derechos en materia de protección de datos, así como el plazo de conservación de las imágenes, entre otros aspectos. Comunicación remitida a los empleados de la empresa el 23 de diciembre de 2024 con motivo de la concienciación en materia de protección de datos. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: En la fachada de la entidad reclamada se encuentran cámaras de videovigilancia orientadas a la vía pública. SEGUNDO: La parte reclamada aporta contrato de servicios y certificado de instalación de ***EMPRESA.1 certificando: Que antes de iniciar la instalación se ha elaborado un proyecto, de acuerdo con criterios técnicos acordes a la Norma UNE-CLC/TS 50131 Que la ejecución material de la instalación ha sido realizada acorde a las normas de aplicación La entidad reclamada afirma que el tipo de sistema de videovigilancia instalado consta de unos detectores volumétricos con cámara que únicamente registran imágenes en caso de intrusión, borrándose automáticamente la misma transcurridos 30 días. TERCERO: El 24 de diciembre de 2024, junto con las alegaciones a la propuesta de resolución y, por tanto, durante la tramitación de este procedimiento sancionador, acredita haber implementado máscaras de privacidad en las cámaras de videovigilancia orientadas a la vía pública. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 CUARTO: La implementación de máscaras de privacidad en cámaras de videovigilancia se utiliza para evitar la captación excesiva de determinados espacios, como puede ser la vía pública. QUINTO: El responsable del tratamiento es SNOW INK SIERRA NEVADA, S.L. con NIF B72273535, parte reclamada. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Respuesta a las alegaciones En el presente caso se inicia el correspondiente procedimiento sancionador contra la parte reclamante porque en sus instalaciones se encuentran instaladas cámaras de videovigilancia que captan la vía pública. En respuesta a la propuesta de resolución, la parte reclamada manifiesta que la parte reclamante nunca se puso en contacto con ella cuando este contacto previo a la interposición de una reclamación ante la AEPD es obligatorio según figura en la página web de esta Agencia. Al respecto se señala que, el fragmento que reproduce la parte reclamada hace referencia a reclamaciones en materia del ejercicio derechos, en tanto que es necesario para garantizar el cumplimiento del 12.3 RGPD. En cualquier caso, se subraya que, tal y como se recoge en el antecedente de hecho segundo, con carácter previo a la admisión a trámite de la reclamación y, por ende, a la apertura de este procedimiento sancionador, en cumplimiento del artículo 65.4 de la LOPDGDD, se realizó el traslado de la reclamación a la parte reclamada para que expresara y acreditara cuantas cuestiones considerara oportunas. Respecto al asunto relativo a que las cámaras no fueron instaladas de forma particular, sino por ***EMPRESA.1 empresa reputada, ha de indicarse que el artículo 4 del RGPD define del siguiente modo al «responsable del tratamiento» o «responsable»: la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; Atendiendo a la definición anterior, la parte reclamada es responsable del sistema de videovigilancia obrante en sus instalaciones en tanto que es quien determina los medios y fines del tratamiento de datos personales, y debe asegurarse que el mismo sea acorde a la normativa de protección de datos. En este sentido, las Directrices del Comité Europeo de Protección de Datos (CEPD) 07/2020 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD señalan: “20. (…) El responsable del tratamiento es quien decide determinados aspectos esenciales del tratamiento de los datos. La responsabilidad del tratamiento puede establecerse en la normativa o deducirse de un análisis de los hechos o las circunstancias del caso. Es necesario dirigir la atención a las actividades de tratamiento concretas de que se trate y comprender quién las determina. Para ello, primero deben examinarse las siguientes cuestiones: «¿por qué tiene lugar el tratamiento?» y «¿quién ha decidido que debe llevarse a cabo el tratamiento para un fin concreto?».” En relación con que no se pretenden capturar imágenes de la vía pública sino que se pretende, mediante el sistema de videovigilancia, controlar los accesos a la nave, ha de indicarse que de conformidad con el artículo 5 del RGPD, no es posible grabar espacio público sin causa justificada debidamente acreditada, ya que las cámaras y videocámaras instaladas con fines de seguridad no podrán obtener imágenes de la vía pública salvo que resulte imprescindible para dicho fin, o resulte imposible evitarlo por razón de la ubicación de aquéllas. Y, en tal caso extraordinario, las cámaras sólo podrán captar la porción mínima necesaria para preservar la seguridad de las personas y bienes, así como de sus instalaciones. De manera que en ningún caso se admitirá el uso de prácticas de vigilancia más allá del entorno objeto de la instalación y, en particular, no pudiendo afectar a los espacios públicos circundantes, edificios contiguos y vehículos distintos de los que accedan al espacio vigilado. Respecto a la ubicación de las cámaras en un polígono industrial, lo que, de acuerdo con la parte reclamada supone un menor número de potenciales personas cuyos derechos puedan verse afectados y que las cámaras son fijas, lo que implica una menor disrupción que si fueran móviles, ha de indicarse que la aplicación del principio de minimización de datos en materia de videovigilancia comporta que no puedan captarse imágenes de la vía pública, siendo indiferente para el tipo infractor que la ubicación de la vía pública captada. Además, se enfatiza que, la grabación de imágenes de la vía pública sólo puede ser realizado por las Fuerzas y Cuerpos de Seguridad previa autorización gubernativa. En su segunda alegación, la parte reclamada señala que ha existido colaboración con la AEPD y que se ha recabado información relevante de las empresas instaladoras, lo que demostraría una actitud adecuada. Además, asegura que durante la tramitación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 del procedimiento sancionador se han adoptado medidas para adecuar su actuación a la normativa de protección de datos (implementación de máscaras de privacidad ante la imposibilidad de reorientar las cámaras y adaptación de los carteles informativos). En este sentido, conviene señalar que el artículo 31 del RGPD establece, entre las obligaciones del responsable del tratamiento, que: “el responsable y el encargado del tratamiento y, en su caso, sus representantes cooperarán con la autoridad de control que lo solicite en el desempeño de sus funciones.”. En consecuencia, la parte reclamada ha prestado la cooperación debida exigida por la normativa vigente. Además, uno de los pilares fundamentales del RGPD radica en el concepto de responsabilidad proactiva del responsable, que debe adoptar todas las medidas técnicas y organizativas apropiadas a fin de garantizar que el tratamiento es conforme a la normativa en materia de protección de datos personales, pero también ha de ser capaz de demostrarlo. Así, el artículo 24.1 del RGPD establece: “Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario”. Asimismo, entre las obligaciones del responsable del tratamiento destaca la protección de datos desde el diseño, recogida en el artículo 25.1 del RGPD que señala: “Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados”. En consecuencia, las actuaciones de cooperación y de adopción de medidas llevadas a cabo por la parte reclamada, necesarias para adaptarse a la normativa vigente, forman parte de las obligaciones que el RGPD establece para los responsables de los tratamientos de datos. Por otra parte, conviene señalar que las medidas ahora indicadas han sido adoptadas, como indica y acredita la propia parte reclamada, durante la tramitación de este procedimiento sancionador. En concreto, la adopción de medidas máscaras de privacidad, de acuerdo con el informe de la empresa de seguridad aportado, no se realizó con anterioridad al 23 de diciembre de 2024; por su parte el correo electrónico de concienciación a los empleados fue remitido el 23 de diciembre de 2024; y la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 modificación de los carteles informativos con posterioridad a la notificación de la propuesta de resolución. Esto implica que, a fecha de notificación del acuerdo de inicio del presente procedimiento sancionador, los hechos que se imputan se habían producido. Además, la acreditación de las medidas adoptadas no se ha realizado ante esta Agencia hasta el 24 de diciembre de 2024, junto con las alegaciones a la propuesta de resolución. En ese sentido, se destaca que el hecho de que una vez iniciado el procedimiento sancionador y notificado el acuerdo de inicio el 24 de octubre de 2024, el 24 de diciembre de 2024 se aporten documentos por los que se acredita la adopción de máscaras de privacidad el 23 de diciembre, no supone que no se haya cometido una infracción que haya de ser sancionada. La adopción de las medidas, especialmente las relativas a la instalación de máscaras de privacidad tendría como único efecto que no sea necesario ordenar una medida correctiva para asegurar el adecuado cumplimiento de la normativa de protección de datos. En la tercera alegación, que lleva por título “Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares”, se enumeran por la parte reclamada, las actuaciones llevadas a cabo por la empresa a raíz de la apertura del procedimiento sancionador, tales como, la revisión y sustitución de carteles informativos, la evaluación llevada a cabo por parte de una empresa especializada para garantizar el cumplimiento artículo 5.1 c ) del RGPD, la adopción de protocolos de actuación en caso de ejercicio de derechos por afectados y concienciando sobre la importancia de protección de datos o el análisis de la adaptación de la empresa a la normativa de protección de datos. En este sentido se reitera que tales medidas se han adoptado una vez dictado el acuerdo de inicio del presente procedimiento sancionador. En su cuarta alegación, la parte reclamada expone los criterios de graduación que, según ella, a la vista de los hechos “enjuiciados”, deben tenerse en cuenta. En particular destaca la ausencia de intencionalidad, el hecho de que se hubieran adoptado medidas si reclamante se hubiera dirigido previamente a la reclamada o el que no existe infracción previa de la reclamada. Además, considera que deben operar circunstancias agravantes porque “no ha habido perjuicios causados y si los ha habido son mínimos”. Asimismo, destaca la rapidez en la adopción de medidas y asegura que es el encargado del tratamiento quien ha incumplido su contrato, si bien no lo acredita. En respuesta a ello, hay que señalar que es la autoridad de control, es decir, la AEPD a quien corresponde, en el ejercicio de sus competencias previstas, entre otros en los artículos 57 y 58 del RGPD, valorar la gravedad de los hechos, declarar la infracción cometida y fijar el importe de la multa de conformidad con la normativa vigente y atendiendo a las Directrices 04/2022, sobre el cálculo de las multas administrativas contempladas en el RGPD, del CEPD, adoptadas el 24 de mayo de 2023. En relación al importe de la multa propuesto (4.000 euros), ha de tenerse en cuenta que estamos hablando de una infracción del artículo 5.1.
- c)del RGPD, esto es, de uno de los principios del tratamiento, por lo que de conformidad con el artículo 83.5 del RGPD, las multas administrativas a imponer por dicha infracción pueden llegar a veinte millones de euros como máximo o, tratándose de una empresa, de una cuantía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía. Por ello la AEPD, considera que imponer una sanción de 4.000 euros a la parte reclamada, que cuenta con un volumen de negocios de (…), se encuentra dentro de los parámetros establecidos por la normativa de protección de datos, en la medida en que supone el (…) de su volumen de negocios. III La imagen es un dato personal La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. En el artículo 4.2 del RGPD se define el concepto de “tratamiento” de datos personales, indicando: “«tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” Las imágenes generadas por un sistema de cámaras o videocámaras son datos de carácter personal, por lo que su tratamiento está sujeto a la normativa de protección de datos. Es, por tanto, pertinente analizar si el tratamiento de datos personales (imagen de las personas físicas) llevado a cabo a través del sistema de videovigilancia denunciado es acorde con lo establecido en el RGPD. IV Normativa sobre protección de datos El art. 5.1
- c)RGPD dispone que los datos personales serán: “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»)”. En cuanto al tratamiento con fines de videovigilancia, el artículo 22 de la LOPDGDD establece que las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. El tratamiento de datos personales está sometido al resto de los principios del tratamiento contenidos en el artículo 5 del RGPD. Destacaremos el principio de minimización de datos contenido en el artículo 5.1.
- c)del RGPD que dispone que los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 datos personales serán “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados”. Esto significa que en un tratamiento concreto sólo pueden tratarse los datos personales oportunos, que vengan al caso y que sean los estrictamente necesarios para cumplir la finalidad para la que son tratados. El tratamiento debe ser ajustado y proporcional a la finalidad a la que se dirige. La pertinencia en el tratamiento de los datos debe producirse tanto en el momento de la recogida de los datos como en el posterior tratamiento que se realice de los mismos. Conforme a lo antedicho, debe restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. La aplicación del principio de minimización de datos en materia de videovigilancia comporta que no puedan captarse imágenes de la vía pública, puesto que el tratamiento de imágenes en lugares públicos sólo puede ser realizado por las Fuerzas y Cuerpos de Seguridad previa autorización gubernativa. En algunas ocasiones, para la protección de espacios privados, donde se hayan instalado cámaras en fachadas o en el interior, puede ser necesario para garantizar la finalidad de seguridad la grabación de una porción de la vía pública. Es decir, las cámaras y videocámaras instaladas con fines de seguridad no podrán obtener imágenes de la vía pública salvo que resulte imprescindible para dicho fin, o resulte imposible evitarlo por razón de la ubicación de aquéllas. Y, en tal caso extraordinario, las cámaras sólo podrán captar la porción mínima necesaria para preservar la seguridad de las personas y bienes, así como de sus instalaciones. En ningún caso se admitirá el uso de prácticas de vigilancia más allá del entorno objeto de la instalación y, en particular, no pudiendo afectar a los espacios públicos circundantes, edificios contiguos y vehículos distintos de los que accedan al espacio vigilado. Las cámaras instaladas no pueden obtener imágenes de espacio privativo de tercero y/o espacio público sin causa justificada debidamente acreditada, ni pueden afectar a la intimidad de transeúntes que transiten libremente por la zona. No está permitida, por tanto, la colocación de cámaras hacia la propiedad privada de vecinos con la finalidad de intimidarlos o afectar a su ámbito privado sin causa justificada. Tampoco pueden captarse ni grabarse imágenes en espacios propiedad de terceros sin el consentimiento de sus titulares, o, en su caso, de las personas que en ellos se encuentren, al contravenir el artículo 5 del RGPD, anteriormente indicado. V Obligaciones en materia de videovigilancia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 De conformidad con lo expuesto, el tratamiento de imágenes a través de un sistema de videovigilancia, para ser conforme con la normativa vigente, debe cumplir los requisitos siguientes: 1.- La personas físicas o jurídicas, públicas o privadas, pueden establecer un sistema de videovigilancia con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. Se ha de valorar si la finalidad pretendida puede lograrse de otra forma menos intrusiva para los derechos y libertades de los ciudadanos. Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios, considerando 39 del RGPD. “Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios”, 2.- Las imágenes obtenidas no puedan utilizarse para una finalidad ulterior incompatible con la que motivó la instalación del sistema de videovigilancia. 3.- El tratamiento de las imágenes mediante la instalación de sistemas de cámaras o videocámaras deberá ser lícito y ajustarse al principio de proporcionalidad y al de minimización de datos, en los términos ya señalados. 4.- Las imágenes podrán conservarse por un plazo máximo de un mes, salvo en aquellos supuestos en que se deban conservar para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En este segundo supuesto, deberán ser puestas a disposición de la autoridad competente en un plazo máximo de 72 horas desde que se tuviera conocimiento de la existencia de la grabación. 5.- Cuando el sistema esté conectado a una central de alarma, únicamente podrá ser instalado por una empresa de seguridad privada que reúna los requisitos contemplados en el artículo 5 de la Ley 5/2014 de Seguridad Privada, de 4 de abril. La Agencia Española de Protección de Datos ofrece a través de su página web [https://www.aepd.es] acceso a: la legislación en materia de protección de datos personales, incluyendo el RGPD y la LOPDGDD (apartado “Informes y resoluciones” / “normativa”), la Guía sobre el uso de videocámaras para seguridad y otras finalidades, la Guía para el cumplimiento del deber de informar (ambas disponibles en el apartado “Guías y herramientas”). También resulta de interés, en caso de realizar tratamientos de datos de bajo riesgo, la herramienta gratuita Facilita (en el apartado “Guías y herramientas”), que, mediante unas preguntas concretas, permite valorar la situación del responsable respecto del tratamiento de datos personales que lleva a cabo, y en su caso, generar diversos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16 documentos, cláusulas informativas y contractuales, así como un anexo con medidas de seguridad orientativas consideradas mínimas. VI Infracción administrativa El principio de minimización de datos contenido en el artículo 5.1.
- c)del RGPD dispone que los datos personales serán “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados”. Esto significa que en un tratamiento concreto sólo pueden tratarse los datos personales oportunos, que vengan al caso y que sean los estrictamente necesarios para cumplir la finalidad para la que son tratados. El tratamiento debe ser ajustado y proporcional a la finalidad a la que se dirige. La pertinencia en el tratamiento de los datos debe producirse tanto en el momento de la recogida de los datos como en el posterior tratamiento que se realice de los mismos. Conforme a lo antedicho, debe restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. En el presente caso, el sistema de videovigilancia de la parte reclamada se encuentra en un edificio de grandes dimensiones situado en un polígono industrial, con acceso por varias calles. El edificio cuenta, al menos con cuatro cámaras que realizan grabación de los accesos exteriores al mismo. No obstante, la orientación de las cámaras permite la captación excesiva de la vía pública, incluyendo a los vehículos estacionados en la calzada, debido al tamaño reducido de la acera, así como de transeúntes. Por tanto, se considera que los hechos expuestos vulneran lo establecido en el artículo 5.1.
- c)del RGPD, por lo que suponen la comisión de una infracción tipificada en el artículo 83.5 del RGPD, que dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)”. A efectos del plazo de prescripción de las infracciones, la infracción señalada en el párrafo anterior se considera muy grave conforme al artículo 72.1 de la LOPDGDD, que establece que: “En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16 una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…).” VII Sanción En relación con las condiciones generales para la imposición de multas administrativas, el artículo 83 del RGPD, en su apartado primero establece lo siguiente: “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” Asimismo, el artículo 83 del RGPD en su apartado segundo establece que: “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
- b)la intencionalidad o negligencia en la infracción;
- c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
- d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
- f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
- g)las categorías de los datos de carácter personal afectados por la infracción;
- h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/16
- i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
- j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
- k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Por lo tanto, la multa deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Por tanto, procede graduar la sanción a imponer de acuerdo con los criterios que establece el artículo 83.5 del RGPD, y con lo dispuesto en el artículo 76 de la LOPDGDD, respecto al apartado
- k)del citado artículo 83.2 RGPD. En el caso que nos ocupa sería de aplicación el agravante del artículo 83.2
- a)del RGPD, relativo a “la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido”, ya que a través de las imágenes facilitadas sobre la ubicación de las cámaras, se desprende que estas están ubicadas en un polígono industrial y que las mismas están enfocadas hacia la intersección de dos calles, con una línea de fachada de muchos metros. Además, la acera que recorre la fachada es de una medida reducida, encontrándose muy próxima la zona dedicada al estacionamiento de vehículos, por lo que el sistema de videovigilancia tiene una gran afectación. Por todo ello, se considera que la sanción que corresponde es de multa administrativa por importe de 4.000 euros. Hay que recordar que el pago voluntario de las cuantías propuestas no exime de acreditar la regularización del sistema de videovigilancia de conformidad con la normativa en vigor. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a SNOW INK SIERRA NEVADA, S.L., con NIF B72273535, por una infracción del Artículo 5.1.
- c)del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 4000 euros (CUATRO MIL euros). SEGUNDO: NOTIFICAR la presente resolución a SNOW INK SIERRA NEVADA, S.L.. TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16 Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-101224 Olga Pérez Sanjuán C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es