PS-00413-2019

1/6  Procedimiento Nº: PS/00413/2019 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 26 de julio de 2019, tuvo entrada en esta Agencia Española de Protección de Datos un escrito presentado por A.A.A. (en lo sucesivo, el reclamante), mediante el que formula reclamación contra B.B.B. con NIF ***NIF.1 (en adelante, el reclamado), por la instalación de un sistema de videovigilancia en su parcela de ***DIRECCION.1, respecto al que existen indicios de un posible incumplimiento de lo dispuesto en la normativa de protección de datos. El citado sistema estaría orientado hacia la propiedad del reclamante y hacia el camino público que sirve de acceso a aquella y además no contaría con cartel informativo. El reclamante adjunta reportaje fotográfico. SEGUNDO: Con carácter previo a la admisión a trámite de esta reclamación, se trasladó al reclamado, de conformidad con lo establecido en el artículo 65.4 la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). La citada reclamación se devolvió por "ausente reparto" el día 01/10/2019, reiterándose el traslado en fecha 09/10/2019, reiteración nuevamente devuelta por "ausente reparto" el día 25/10/2019. TERCERO: La reclamación fue admitida a trámite mediante resolución de 14 de noviembre de 2019. CUARTO: Con fecha 18 de febrero de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por las presuntas infracciones de los artículos 5.1.

1. c)y 13 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), tipificadas en el artículo 83.5 del de la citada norma. QUINTO: Al haber resultado infructuosa la notificación del acuerdo de inicio, se procedió a publicar un anuncio de notificación en el Tablón Edictal Único del Boletín Oficial del Estado en fecha 5 de junio de 2020, de acuerdo con lo establecido en el artículo 44 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP). SEXTO: Con fecha 31 de julio de 2020, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, requiriendo al Ayuntamiento de Aspe para que, previo traslado al lugar de los hechos de la Policía Local emitiera el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 correspondiente informe donde se constatase la dirección efectiva del reclamado, la existencia del sistema de videovigilancia, la orientación de las cámaras y zona de captación de éstas con la delimitación oportuna del carácter público o privado de la mencionada zona de captación así como de la existencia o no de cartel informativo. El Ayuntamiento de Aspe no ha atendido el requerimiento efectuado. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PRIMERO: En las fotografías aportadas por el reclamante junto a su escrito de 26 de julio de 2019, se observan unos dispositivos con forma de cámara que se encuentran ubicados en la finca situada en ***DIRECCION.1 con orientación hacia el exterior de la finca. SEGUNDO: El reclamado no ha presentado alegaciones. TERCERO: El Ayuntamiento de Aspe no ha emitido el informe solicitado en el período de práctica de pruebas. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Se imputa al reclamado la comisión de una infracción por vulneración del artículo 5.1.
2. c)del RGPD, que señala los datos personales serán “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados (“minimización de datos”).” Este artículo consagra el principio de minimización de datos en el tratamiento de los datos personales. Supone que dicho tratamiento sea ajustado y proporcional a la finalidad a la que se dirige, debiendo restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. Asimismo, se imputa la comisión por vulneración del artículo 13 del RGPD, relativo a la información que deberá facilitarse cuando los datos se obtengan del interesado, que establece que: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6
3. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
4. b)los datos de contacto del delegado de protección de datos, en su caso;
5. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
6. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
7. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
8. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
9. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
10. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
11. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
12. d)el derecho a presentar una reclamación ante una autoridad de control;
13. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
14. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 3.Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4.Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.” La pertinencia en el tratamiento de los datos debe producirse tanto en el ámbito de la recogida de los datos como en el posterior tratamiento que se realice de los mismos. Las infracciones se tipifican en el artículo 83.5 del RGPD, que dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
15. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
16. b)los derechos de los interesados a tenor de los artículos 12 a 22; […].” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 III En el presente caso corresponde analizar la presunta ilicitud de la instalación de un sistema de videovigilancia compuesto por varias cámaras orientadas hacia el exterior de la finca situada en ***DIRECCION.1. Los hechos del presente procedimiento sancionador ponen de manifiesto la existencia de unos dispositivos con apariencia de cámaras orientados hacia el exterior de la finca que pudieran responder a fines de seguridad. Respecto a la posibilidad de disponer de cámaras de videovigilancia, el artículo 22 de la LOPDGDD, relativo a tratamientos con fines de videovigilancia, dispone que, con la finalidad de garantizar la seguridad de personas y bienes, podrán captarse imágenes de vía pública «en la medida en que resulte imprescindible», en correspondencia con el principio de minimización de datos establecido en el artículo 5.1.
17. c)del RGPD. Teniendo en cuenta lo anterior, en el supuesto de que se trate de garantizar la seguridad de una zona de acceso a un bien o su perímetro, la zona de vía pública captada habrá de reducirse al mínimo. Esto significa que, para garantizar la seguridad del acceso a la finca, las imágenes pueden alcanzar a una parte o porción de vía pública, pero no se consideraría proporcionado captar ni la totalidad de un camino de acceso ni la afectación de propiedades colindantes. Por otra parte, en lo eferente al cumplimiento del deber de información recogido en el artículo 12 del RGPD, el artículo 13 del mismo texto legal dispone la información que ha de proporcionarse cuando los datos personales se obtengan del interesado, situación que se produce en los supuestos de captación de imagen por un sistema de videovigilancia. En este sentido, el artículo 22.4 de la LOPGDD establece que «El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información.” No obstante lo señalado en los párrafos anteriores, en el presente procedimiento no ha podido acreditarse que los dispositivos señalados se encuentren en funcionamiento ni su campo de grabación, por lo que debe entrar en juego el principio del derecho a la presunción de inocencia, reconocido como derecho subjetivo fundamental en el artículo 24 de la Constitución Española. El derecho mencionado a la presunción de inocencia se recoge asimismo de manera expresa en el artículo 53.2.
18. b)de la LPACAP, que establece que: “2. Además de los derechos previstos en el apartado anterior, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables tendrán los siguientes derechos: […]
19. b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Este derecho impide imponer una sanción administrativa cuando no se haya obtenido y constatado una prueba de cargo acreditativa de los hechos que motivan la imputación o de la intervención en los mismos del presunto infractor. En este sentido, el Tribunal Constitucional en su Sentencia 76/1990, de 26 de abril, considera que el derecho a la presunción de inocencia comporta: “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio.” IV De acuerdo con lo expuesto, en el presente caso no ha sido posible determinar la realización de conducta infractora alguna en el marco de la materia que nos ocupa, motivo por el que procede ordenar el Archivo del presente procedimiento. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ORDENAR el ARCHIVO del presente procedimiento al no quedar acreditada infracción administrativa alguna. SEGUNDO: NOTIFICAR la presente resolución a B.B.B. con NIF ***NIF.1 e INFORMAR del resultado de las actuaciones A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 938-300320 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es