PS-00419-2023

1/8  Expediente N.º: EXP202307331 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (*en adelante, la parte reclamante) con fecha 11 de mayo de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra la entidad DIAMOND FERVA, S.L. con NIF B90007832 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que la parte reclamada es responsable de un local que cuenta con una cámara de videovigilancia en los soportales del edificio donde se ubica el referido local, estando dicha cámara orientada a zonas de paso al edificio, sin contar con autorización previa de la Comunidad de Propietarios. Aporta imágenes de ubicación de la cámara y plano de la zona afectada (Anexo I). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada en fecha 31/05/23, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado de los hechos se reiteró por parte de esta AEPD en fecha 04/08/23 constando como entregado según acredita el Servicio Oficial de Correos en la dirección indicada a tal efecto, sin que respuesta o aclaración alguna se haya producido en tiempo y forma. TERCERO: Con fecha 11 de agosto de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 4 de octubre de 2024, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/8 Administraciones Públicas (en adelante, LPACAP) y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. SEXTO. Con fecha 02/12/24 el instructor del procedimiento requirió colaboración a las Fuerzas y Cuerpos de Seguridad (Comisaría Local ***POBLACIÓN.1) para que desplazados al lugar de los hechos, constatasen lo requerido por esta Agencia. SEPTIMO: En fecha 11/04/25 se recibe Acta de Inspección emitida por la Policía Nacional (***POBLACIÓN.1) en el que desplazados al lugar de los hechos se constata lo siguiente: “En fecha 05 de febrero de 2025 a las 13:40 horas se personan en calle ***DIRECCIÓN.1 los Policías Nacionales, Subinspector con carné profesional (...) y Policía Nacional con carné profesional (…), observando lo siguiente (…) Se quiere hacer constar que el edificio ***EDIFICIO.1 sito en calle ***DIRECCIÓN.1 se corresponde con un edificio exclusivamente para oficinas. En los fotogramas anteriores se puede observar la cámara, color negro situada sobre la fachada próxima al portal del edificio ***EDIFICIO.1 así como el cartel informativo que se encuentra debajo de la misma. Como indica dicho cartel dicha cámara de video -vigilancia pertenece al edificio ***EDIFICIO.1 y no al establecimiento DIAMOND. En las fotografías desde la 13 a las 19 e puede observar el acceso a la terraza de uso privativo establecimiento DIAMOND próximo al portal del edificio ***EDIFICIO.1 así como la ubicación de la cámara de video-vigilancia que dicho establecimiento tiene instalada en dicha terraza. Que igualmente se quiere hacer indicar que el único cartel informativo que se observa es el que se remarca en la fotografía 15, perteneciente a SECURITAS DIRECT. OCTAVO: En fecha 16/04/25 se emite <Propuesta de Resolución> por medio de la cual se acuerda proponer una sanción administrativa cifrada en la cuantía de 1000€ al no contar el establecimiento objeto de reclamación con la debida información sobre el sistema de video-vigilancia instalado, incumpliendo el artículo 13 RGPD. Consta en el sistema como notificada electrónicamente con la referencia <expirada> por caducidad en el acceso al contenido de la misma. NOVENO: En fecha 28/05/25 se procede a notificar vía B.O.E la propuesta de Resolución a los efectos legales oportunos, según acredita el sistema informativo de este organismo. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/8 Primero. Los hechos traen causa de la reclamación de fecha 11/05/23 por medio de la cual se traslada la presencia de cámara (

1. s)en zona de soportales, que pudiera estar mal orientada afectando a zona de tránsito de terceros sin causa justificada. Segundo. Consta identificado como principal responsable la entidad Diamond Ferva S.L con B90007832, quien no ha realizado manifestación alguna sobre los hechos descritos. Tercero. Consta acreditado que el establecimiento Diamond Ferva dispone de un sistema de cámaras de video-vigilancia, orientado hacia la zona de velador del mismo. Cuarto. Consta acreditado según Acta de Inspección de las Fuerzas y Cuerpos de Seguridad que el único cartel informativo pertenece a la Compañía de Seguridad SECURITAS DIRECT (fotografía nº 18 Informe Policía Nacional). FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. En el artículo 4.2 del RGPD se define el concepto de “tratamiento” de datos personales. “«tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” Las imágenes captadas por un sistema de cámaras o videocámaras son datos de carácter personal, por lo que su tratamiento está sujeto a la normativa de protección de datos, a salvo de que se trate de un tratamiento doméstico. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/8 Es, por tanto, pertinente analizar si el tratamiento de datos personales (imagen de las personas físicas) llevado a cabo a través del sistema de videovigilancia denunciado es acorde con lo establecido en el RGPD. III En el presente caso se procedió a examinar la reclamación de fecha 11/05/23 por medio de la cual se trasladaba “instalación de cámara de seguridad por establecimiento hostelero” sin contar con la autorización de la Comunidad de propietarios. Al margen de cuestiones civiles, incardinadas en la normativa de Propiedad horizontal, la cuestión de presencia de cámara de video-vigilancia, que afecta a derechos de terceros, sin constar con el respaldo legal necesario entra dentro del marco competencial de esta Agencia. La posibilidad de instalar estas cámaras de videovigilancia viene permitida siempre y cuando el acuerdo de la Junta de propietario sea adoptado por la mayoría exigida legalmente y además se dé cumplimiento a lo dispuesto en la Ley Orgánica 3/2018 de 5 de diciembre de Protección de Datos Personales (LOPDP) y del Reglamento 2016/679 de 27 de Abril relativo a la Protección de las personas físicas en lo que respecta al tratamiento de datos personales, que sirve de marco normativo a toda la Unión Europea. El artículo 17.3 de la Ley de Propiedad Horizontal (LPH) establece: «El establecimiento o supresión de los servicios de portería, conserjería, vigilancia u otros servicios comunes de interés general, supongan o no modificación del título constitutivo o de los estatutos, requerirán el voto favorable de las tres quintas partes del total de los propietarios que, a su vez, representen las tres quintas partes de las cuotas de participación.» (*la negrita pertenece a esta Agencia). Por tanto, para la validez del acuerdo que apruebe instalar en la comunidad de propietarios un sistema de cámaras de seguridad se requiere el voto favorable de los 3/5 del total de propietarios que además representen los 3/5 de las cuotas de participación. El RGPD mantiene el principio de que todo tratamiento de datos necesita apoyarse en una base que lo legitime. Las bases legitimadoras son un listado de situaciones o supuestos concretos, establecidos por ley, en los que es posible tratar datos personales. El artículo 6 RGPD dispone: “El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
2. f)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/8 IV Tipificación y calificación actual de la infracción De conformidad con las pruebas aportadas por las Fuerzas y Cuerpos de Seguridad del estado desplazadas al lugar de los hechos, se constata que la cámara objeto de reclamación instalada en la fachada del inmueble no entra en la responsabilidad de la reclamada, al ser ajena al establecimiento en cuestión. Como indica dicho cartel dicha cámara de video -vigilancia pertenece al edificio ***EDIFICIO.1 y no al establecimiento DIAMOND (página 4 Informe Policía Nacional). Con motivo del desplazamiento, se procede, igualmente, a examinar el sistema de cámaras de la reclamada -DIAMOND—poniendo de relieve la insuficiencia de cartel informativo, indicando que se trata de <zona video-vigilada>, así como del responsable y finalidad del tratamiento de los datos. Que igualmente se quiere hacer indicar que el único cartel informativo que se observa es el que se remarca en la fotografía 15, perteneciente a SECURITAS DIRECT (página 15 Informe Policía Nacional). El artículo 77 apartado 5º de la Ley 39/2015 (1 de octubre), dispone: “Los documentos formalizados por los funcionarios a los que se reconoce la condición de autoridad y en los que, observándose los requisitos legales correspondientes se recojan los hechos constatados por aquéllos harán prueba de éstos salvo que se acredite lo contrario” Los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada del artículo 13 RGPD, al incumplir el cartel instalado la legalidad vigente. El artículo 13 RGPD “Información que deberá facilitarse cuando los datos personales se obtengan del interesado” 1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
3. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
4. b)los datos de contacto del delegado de protección de datos, en su caso;
5. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento (…). Asimismo, el artículo 22 apartado 4º LOPDGDD dispone: 4. El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/8 En todo caso, el responsable del tratamiento deberá mantener a disposición de los afectados la información a la que se refiere el citado reglamento” El artículo 72 LOPDGDD “Infracciones muy graves”. “En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes
6. h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica V El art. 83.5 RGPD dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
7. b)los derechos de los interesados a tenor de los artículos 12 a 22; El Tribunal Supremo y el Tribunal Constitucional –STC 76/1990– declaran que el principio de culpabilidad debe regir también en el ámbito administrativo, pues la sanción de la infracción administrativa es una de las manifestaciones del ius puniendi del Estado. En el caso que nos ocupa, la conducta descrita se considera como negligencia <grave> al no haber tenido en cuenta la afectación de derechos de terceros, adoptando las cautelas precisas en estos casos. VI Adopción de medidas En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. Este organismo establece como medida <correctora> la colocación de cartel (
8. es)informativo ajustado a la legalidad vigente, así como disponer de formulario (
9. s)informativo a disposición de los clientes/as del mismo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/8 Se advierte que no atender la orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a DIAMOND FERVA, S.L., con NIF B90007832, por una infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 1000€ (Mil euros). SEGUNDO: ORDENAR a DIAMOND FERVA, S.L., con NIF B90007832, que en virtud del artículo 58.2.
10. d)del RGPD, en el plazo de UN MES desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de la siguiente medida: -Acredite la colocación de cartel en zona visible informando que se trata de zona video-vigilada-Disponer de formulario (
11. s)informativo a disposición de los clientes que deseen ejercitar los derechos en el marco de la normativa de protección de datos. TERCERO: NOTIFICAR la presente resolución a la entidad DIAMOND FERVA, S.L.. CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
12. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/8 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
13. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-100325 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es