1/7 Procedimiento Nº: PS/00419/2019 938-090320 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 19 de junio de 2019, tuvo entrada en esta Agencia Española de Protección de Datos un escrito presentado por Doña A.A.A. (en lo sucesivo, el reclamante), mediante el que formula reclamación contra Don B.B.B. con NIF ***NIF.1 (en adelante, el reclamado), por la instalación de un sistema de videovigilancia instalado en la cervecería en la que trabajaba, porque señala que no ha informado a los trabajadores de la existencia de las cámaras y de su utilización. Aporta imágenes de la cámara en el local (no parece que haya carteles) y un pantallazo de whatsapp en el que, según ella, el propietario habla con la encargada del seguimiento que hace a través de las cámaras, existiendo indicios de un posible incumplimiento de lo dispuesto en la normativa de protección de datos. Junto a la reclamación acompaña fotografías con la ubicación de las cámaras en el interior del local; así como una conversación de whatsapp sobre lo que ocurre con un trabajador. SEGUNDO: Con carácter previo a la admisión a trámite de esta reclamación, se trasladó al reclamado, de conformidad con lo establecido en el artículo 65.4 la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). No fue contestado el requerimiento de información. TERCERO: La reclamación fue admitida a trámite mediante resolución de fecha 19 de septiembre de 2019. CUARTO: Con fecha 7 de enero de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 del RGPD. QUINTO: Con fecha 12 de marzo de 2020, se recibieron alegaciones al acuerdo de inicio, en las que, en síntesis, se indica lo siguiente: La reclamante fue despedida días antes de presentar la reclamación, tratando de ser readmitida por diferentes vías, sin que hayan prosperado dada la legalidad del despido. Las cámaras fueron instaladas por Securitas y existen carteles de la propia compañía y un cartel informativo de su instalación y las finalidades de las vídeo cámaras. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 Todos los empleados fueron informados de su instalación y de los motivos de la misma. El bar tiene contratado al Grupo Adaptalia para adecuar todos los tratamientos a las obligaciones en materia de protección de datos. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PRIMERO: La reclamante presentó reclamación contra la ***ESTABLECIMIENTO.1 por la instalación de un sistema de videovigilancia sin que se haya informado a los trabajadores de la existencia de las cámaras y de su utilización. Aporta imágenes de la cámara en el local (no parece que haya carteles) y un pantallazo de whatsapp en el que, según ella, el propietario habla con la encargada del seguimiento que hace a través de las cámaras. Junto a la reclamación acompaña fotografías con la ubicación de las cámaras en el interior del local. . SEGUNDO: El responsable de la ***ESTABLECIMIENTO.1 presentó fotografías en las que se ve que junto a cada cámara hay un cartel de Securitas y una hoja informativa sobre el tratamiento de los datos. Añade que se informó de la grabación y las finalidades a todos los trabajadores. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. En el artículo 4.2 del RGPD se define el concepto de “tratamiento” de datos personales. Es, por tanto, pertinente analizar si el tratamiento de datos personales (imagen de las personas físicas) llevado a cabo a través del sistema de videovigilancia denunciado es acorde con lo establecido en el RGPD. III El artículo 6.1 del RGPD establece los supuestos que permiten considerar lícito el tratamiento de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 Por su parte, el artículo 5.1.
- c)del RGPD, relativo a los principios del tratamiento, dispone que los datos personales serán “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados (“minimización de datos”).” Este artículo consagra el principio de minimización de datos en el tratamiento de los datos personales. Supone que dicho tratamiento sea ajustado y proporcional a la finalidad a la que se dirige, debiendo restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. La pertinencia en el tratamiento de los datos debe producirse tanto en el ámbito de la recogida de los datos como en el posterior tratamiento que se realice de los mismos. El artículo 13, apartados 1 y 2, del RGPD, establece la información que debe facilitarse al interesado en el momento de la recogida de sus datos. En el caso de tratamientos de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras, el deber de información puede cumplirse mediante la colocación, en las zonas videovigiladas, de un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados, y sirviéndose de impresos en los que se detalle la información prevista, que el responsable deberá poner a disposición de los interesados. Conforme a lo establecido en el artículo 22 de la LOPDGDD, referido específicamente a los “Tratamientos con fines de videovigilancia”, establece lo siguiente: <<1. Las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. 2. Solo podrán captarse imágenes de la vía pública en la medida en que resulte imprescindible para la finalidad mencionada en el apartado anterior. No obstante, será posible la captación de la vía pública en una extensión superior cuando fuese necesario para garantizar la seguridad de bienes o instalaciones estratégicos o de infraestructuras vinculadas al transporte, sin que en ningún caso pueda suponer la captación de imágenes del interior de un domicilio privado. 3. Los datos serán suprimidos en el plazo máximo de un mes desde su captación, salvo cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En tal caso, las imágenes deberán ser puestas a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación. No será de aplicación a estos tratamientos la obligación de bloqueo prevista en el artículo 32 de esta ley orgánica. 4. El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispoC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 sitivo informativo un código de conexión o dirección de internet a esta información. En todo caso, el responsable del tratamiento deberá mantener a disposición de los afectados la información a la que se refiere el citado reglamento. 5. Al amparo del artículo 2.2.
- c)del Reglamento (UE) 2016/679, se considera excluido de su ámbito de aplicación el tratamiento por una persona física de imágenes que solamente capten el interior de su propio domicilio. Esta exclusión no abarca el tratamiento realizado por una entidad de seguridad privada que hubiera sido contratada para la vigilancia de un domicilio y tuviese acceso a las imágenes. 6. El tratamiento de los datos personales procedentes de las imágenes y sonidos obtenidos mediante la utilización de cámaras y videocámaras por las Fuerzas y Cuerpos de Seguridad y por los órganos competentes para la vigilancia y control en los centros penitenciarios y para el control, regulación, vigilancia y disciplina del tráfico, se regirá por la legislación de transposición de la Directiva (UE) 2016/680, cuando el tratamiento tenga fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluidas la protección y la prevención frente a las amenazas contra la seguridad pública. Fuera de estos supuestos, dicho tratamiento se regirá por su legislación específica y supletoriamente por el Reglamento (UE) 2016/679 y la presente ley orgánica. 7. Lo regulado en el presente artículo se entiende sin perjuicio de lo previsto en la Ley 5/2014, de 4 de abril, de Seguridad Privada y sus disposiciones de desarrollo. 8. El tratamiento por el empleador de datos obtenidos a través de sistemas de cámaras o videocámaras se somete a lo dispuesto en el artículo 89 de esta ley orgánica.>> Y el artículo 89 de la LOPDGDD indica, acerca del Derecho a la intimidad frente al uso de dispositivos de videovigilancia y de grabación de sonidos en el lugar de trabajo, lo siguiente: <<1. Los empleadores podrán tratar las imágenes obtenidas a través de sistemas de cámaras o videocámaras para el ejercicio de las funciones de control de los trabajadores o los empleados públicos previstas, respectivamente, en el artículo 20.3 del Estatuto de los Trabajadores y en la legislación de función pública, siempre que estas funciones se ejerzan dentro de su marco legal y con los límites inherentes al mismo. Los empleadores habrán de informar con carácter previo, y de forma expresa, clara y concisa, a los trabajadores o los empleados públicos y, en su caso, a sus representantes, acerca de esta medida. En el supuesto de que se haya captado la comisión flagrante de un acto ilícito por los trabajadores o los empleados públicos se entenderá cumplido el deber de informar cuando existiese al menos el dispositivo al que se refiere el artículo 22.4 de esta ley orgánica. 2. En ningún caso se admitirá la instalación de sistemas de grabación de sonidos ni de videovigilancia en lugares destinados al descanso o esparcimiento de los trabajadores o los empleados públicos, tales como vestuarios, aseos, comedores y análogos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 3. La utilización de sistemas similares a los referidos en los apartados anteriores para la grabación de sonidos en el lugar de trabajo se admitirá únicamente cuando resulten relevantes los riesgos para la seguridad de las instalaciones, bienes y personas derivados de la actividad que se desarrolle en el centro de trabajo y siempre respetando el principio de proporcionalidad, el de intervención mínima y las garantías previstas en los apartados anteriores. La supresión de los sonidos conservados por estos sistemas de grabación se realizará atendiendo a lo dispuesto en el apartado 3 del artículo 22 de esta ley. En algunas ocasiones la protección de los espacios privados sólo es posible si las cámaras se ubican en espacios como las fachadas. A veces también resulta necesario captar los accesos, puertas o entradas, de modo que, aunque la cámara se encuentre en el interior del edificio, resulta imposible no registrar una parte mínima e imprescindible de la vía pública, que inevitablemente se capta. Para que esta excepción sobre la protección de espacios privados resulte aplicable, no deberá existir una posibilidad de instalación alternativa. En estos casos, el responsable del tratamiento realizado a través de cámaras adecuará el uso de la instalación, de modo que el impacto en los derechos de terceros (viandantes) sea el mínimo posible. En ningún caso se admitirá el uso de prácticas de vigilancia más allá del entorno objeto de la instalación, no pudiendo afectar a los espacios públicos circundantes, edificios contiguos y vehículos distintos de los que accedan al espacio vigilado. IV La reclamación se basa en la presunta ilicitud de la instalación por parte del reclamado de un sistema de videovigilancia, compuesto por 4 de cámaras ubicadas en el la ***ESTABLECIMIENTO.1, sito en ***DIRECCION.1; una de las cámaras capta imágenes en la cocina y graba audio; no han sido informados los trabajadores de ello ni de la finalidad de las grabaciones. Además, el reclamante advierte que el inmueble reseñado no dispone de cartel en el que se informe sobre la presencia de las cámaras y sobre la identidad del responsable del tratamiento de los datos, para que las personas interesadas puedan ejercitar los derechos previstos en los arts. 15 a 22 del RGPD. Como prueba de estas manifestaciones, la reclamante aportó las evidencias señaladas en el apartado de “Hechos”, primer punto, de este acuerdo. El responsable de la Cervecería denunciada ha presentado alegaciones, acompañada de fotografías en las que se incluyen carteles de zona videovigilada e información sobre el tratamiento de los datos y la posibilidad de ejercer los derechos previstos en el RGPD. V La presunción de inocencia debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el Tribunal Constitucional en su Sentencia 76/1990, de 26/04, considera que el derecho a la presunción de inocencia comporta: “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio. La presunción de inocencia rige sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualquier sanción, ya sea penal o administrativa (TCo 13/1981), pues el ejercicio del derecho sancionador en cualquiera de sus manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. Conforme a este principio, no puede imponerse sanción alguna en razón de la culpabilidad del imputado si no existe una actividad probatoria de cargo, que en la apreciación de las autoridades u órganos llamados a resolver, destruya esta presunción (TCo Auto 3-12-81). VI De acuerdo con las argumentaciones expuestas y una vez analizadas las pruebas aportadas, cabe concluir que las cámaras instaladas en el interior de la Cervecería se ajustan a la legalidad vigente al captar un espacio proporcionado a la finalidad pretendida y estar informados los trabajadores. De manera que procede ordenar el archivo del presente procedimiento por los motivos expuestos. La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ORDENAR el ARCHIVO del presente procedimiento al no quedar acreditada la comisión de infracción administrativa alguna. SEGUNDO: NOTIFICAR la presente resolución a Don B.B.B.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 guiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es