1/8 Procedimiento Nº PS/00425/2016 RESOLUCIÓN: R/00758/2017 En el procedimiento sancionador PS/00425/2016, instruido por la Agencia Española de Protección de Datos a la entidad CAIXABANK, S.A., vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 1/10/2015 tiene entrada en esta Agencia escrito de D. A.A.A. (en adelante el denunciante) comunicando posible infracción a la Ley Orgánica 15/1999 motivada por cámaras de videovigilancia cuyo titular es la entidad CAIXA D'ESTALVIS I PENSIONS DE BARCELONA (en adelante el denunciado) instaladas en la oficina sita en Marqués de Riestra 5 - Pontevedra. El denunciante manifiesta que la Oficina de la entidad denunciada dispone de un sistema de videovigilancia con cámaras que recogen imágenes de la vía pública. Aporta dos fotografías en las que se aprecia la Oficina y que en su fachada hay dos cámaras. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad CAIXABANK, S.A., sobre el sistema instalado en la Oficina referida, teniendo conocimiento el 21/03/2016 de: 1) - La instalación del sistema de videovigilancia ha sido realizado por la empresa TECHCO SEGURIDAD, S.L.U. - Las cámaras forman parte de la instalación de seguridad de la sucursal número 2188, Marques de Riestra 5, Pontevedra, con el objeto de dar cumplimiento a lo previsto en la Ley de Seguridad privada, en concreto lo establecido en el art. 120 del RD 2364/1994 por el que se aprueba el Reglamento de Seguridad Privada. - Aportan fotografía del cartel informativo de la existencia de una zona videovigilada, el cual se encuentra ubicado en la puerta de acceso y en las paredes próximas al cajero. - Aportan copia del modelo del formulario informativo a disposición de los ciudadanos según se recoge en el artículo 3.b de la Instrucción 1/2006. - Aportan plano de la ubicación de las cámaras y reportaje fotográfico de las imágenes que capta cada una de ellas, de lo que se desprende que el sistema cuenta con 5 cámaras de videovigilancia, ninguna colocada en la fachada exterior. Se aprecia que dos cámaras colocadas en el interior y que enfocan a dos accesos distintos, captan en exceso vía pública tratándose de las identificadas como acceso 1 y acceso 2. - Aportan copia de la Resolución del Subdelegado de Gobierno de Pontevedra de fecha 5/03/2002 autorizando la apertura de la Oficina Bancaria. - No se utilizan monitores en la oficina para visualizar las imágenes captadas. - Según lo previsto en el art. 120 del RD 2364/1994 por el que se aprueba el Reglamento de Seguridad Privada (el "Reglamento de Seguridad Privada"), las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 imágenes están exclusivamente a disposición de las autoridades judiciales y de las fuerzas y cuerpos de seguridad. Las imágenes se graban en local, de acuerdo con lo previsto en el Art. 120
- a)del Reglamento de Seguridad Privada, y son borradas automáticamente a los 15 días, en consonancia con lo estipulado en el mismo artículo. El sistema de videovigilancia está conectado a una Central de Alarmas propia de la entidad CAIXABANK, S.A. - El código de inscripción del fichero de videovigilancia es el ***CÓD.1. TERCERO: Con fecha 26/09/2016 se acuerda por la Directora de la Agencia Española de Protección de Datos iniciar procedimiento sancionador a CAIXABANK, S.A., por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- b)de dicha norma. CUARTO: Notificado el acuerdo de inicio, no se recibieron alegaciones. QUINTO: Con fecha 6/02/2017 se emitió propuesta de resolución con el literal: “Que por la Directora de la Agencia Española de Protección de Datos se sancione a CAIXABANK, S.A. con multa de 40.001 €, por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.b), de conformidad con el artículo 45.2) y 4) de dicha norma.” Con fecha 13/03/2017, se recibe por correo electrónico alegaciones en las que manifiesta la denunciada: 1) Tan solo se recoge imágenes de los enfoques frontales de las cámaras. Han quitado las cámaras que existían en la fachada. 2) Por la posición y el ángulo en que se sitúan las cámaras, lo que pretenden es captar las imágenes de las personas que están en el interior de las oficinas. 3) Un transeúnte que pasara por la puerta no podría ser identificado pues las condiciones de luminosidad y de reflejos, añadido a la cartelería de la puerta y cristales harían defectuosa y difícil la identificación de una persona. 4) Se sigue el protocolo elaborado por el Grupo de Trabajo de identificación fisionómica de la red de laboratorios forenses oficial de España, preparado para identificar a eventuales autores de hechos delictivos. Aporta copia en anexo 3 y señala que en la página 4 del dichas recomendaciones se puede observar cómo se recomienda que “las cámaras destinadas a la identificación de personas deben estar orientadas a los rostros de las personas que transitan por las zonas de paso obligado (espacios en que toda persona debe pasar para-acceder, salir desplazarse, como por ejemplo puertas de entrada y salida, pasillos, escaleras, etc.) 5) Su entidad se limita a establecer los dispositivos de videovigilancia previstos en la norma que están a disposición de la Policía. No se consideran responsables del tratamiento. 6) La AEPD no ha efectuado prueba alguna para determinar con rotundidad que se recogen imágenes de la vía pública o desproporcionadas a la finalidad de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 su instalación. HECHOS PROBADOS 1) CAIXABANK dispone en la oficina 2188 sita en c/ Marqués de Riestra 5 Pontevedra de 5 cámaras de videovigilancia, fijas, sin zoom instaladas en el interior de la entidad, siendo la citada entidad responsable de dicho sistema, con objeto de dar cumplimiento a lo previsto en el art. 120 del RD 2364/1994 por el que se aprueba el Reglamento de Seguridad Privada. (6, 13,14, 21 a 23). 2) En la puerta de acceso existe cartel informativo que advierte de la existencia de una zona videovigilada. 3) De acuerdo con el reportaje fotográfico y el croquis que aporta la denunciada en actuaciones previas, se aprecia que la cámara 1 situada en el interior de la Oficina, en parte alta de la pared, enfoque frontal hacia la puerta de acceso 1, captando la vía pública de forma excesiva, visualizándose la anchura total de la acera, el vial por el que circulan vehículos y la acera de enfrente
(22). Se aprecia que la entidad tiene otra entrada por la calle posterior según croquis (folio 22) en c/ Arquitecto A de la Sota. Situada en dicha entrada, frente a la puerta de su acceso, está la cámara 2, colocada en el techo del interior, enfocando hacia afuera capta en su toma la puerta de acceso, la acera y matrículas de vehículos aparcados junto a la acera. Por el lugar en el que están colocadas las cámaras, podrían moverse y colocarse en otro sitio para no captar vía pública pudiendo recogerse las imágenes de las personas una vez hubieran accedido a la Oficina. 4) Manifiesta la denunciada que las imágenes se graban en local, y son borradas automáticamente a los 15 días. Disponen de un fichero inscrito en la AEPD denominado VIDEOVIGILANCIA (16. 31 a 34). 5) Tras recibir la propuesta, la denunciada no corrigió el enfoque de las dos cámaras que enfocan hacia la puerta de entrada. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II La seguridad y la vigilancia, elementos presentes en la sociedad actual, no son incompatibles con el derecho fundamental a la protección de la imagen como dato personal, lo que exige respetar la normativa existente en materia de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 Las imágenes se consideran un dato de carácter personal. El concepto de dato de carácter personal se define en el artículo 3.
- a)de la citada LOPD como “Cualquier información concerniente a personas físicas identificadas o identificables” y en el artículo 1.4 del, como “toda información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, susceptible de recogida, registro, tratamiento o transmisión concerniente a una persona física identificada o identificable”. En este mismo sentido se pronuncia el artículo 2.
- a)de la Directiva 95/46/CE, del Parlamento y del Consejo, de 24/10/1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, según el cual se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Asimismo, el Considerando 26 de la citada Directiva se refiere a esta cuestión señalando que, para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona para identificar a aquélla. De lo anteriormente expuesto se desprende que el concepto de dato personal, según la definición de la LOPD, requiere la concurrencia de un doble elemento: por una parte, la existencia de una información o dato y, por otra, que dicho dato pueda vincularse a una persona física identificada o identificable, por lo que la imagen de una persona física identificada o identificable constituye un dato de carácter personal. III Respecto a la legitimación en el tratamiento de las imágenes, la respuesta se encuentra en el artículo 2 de la Instrucción 1/2006, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras,que establece que: “1. Sólo será posible el tratamiento de los datos objeto de la presente instrucción, cuando se encuentre amparado por lo dispuesto en el artículo 6.1 y 2 y el artículo 11.1 y 2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. 2. Sin perjuicio de lo establecido en el apartado anterior la instalación de cámaras y videocámaras deberá respectar en todo caso los requisitos exigidos por la legislación vigente en la materia”. Debe tenerse en cuenta que las instalaciones de videovigilancia utilizadas en entidades financieras están sujetas a reglas específicas. Así la Ley Orgánica 1/92 de Seguridad Ciudadana prevé que por razones de seguridad pública se adopten determinadas medidas entre ellas la exigencia de instalación de cámaras y videocámaras en dichos establecimientos. Dichas instalaciones de sistemas de videovigilancia son de titularidad privada siendo estas entidades las responsables de la misma. El artículo 120 del citado Reglamento de Seguridad Privada ha definido una serie de peculiaridades de su régimen jurídico, entre ellas: - Que las imágenes estarán exclusivamente a disposición de las autoridades judiciales y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 de las dependencias de las Fuerzas y Cuerpos de Seguridad. - El contenido de los soportes será estrictamente reservado, y las imágenes grabadas únicamente serán utilizadas como medio de identificación de los autores de delitos contra las personas y contra la propiedad. - En principio las imágenes sólo podrán ser visualizadas por las Fuerzas y Cuerpos de seguridad, los Jueces y Tribunales. Sobre la alegación de la denunciada que no se califica como responsable del fichero en el que se almacenan los datos recogidos, se debe indicar que la misma es la que configura el número de cámaras en el interior de la Oficina, su alcance y localización. El hecho de que las mismas se pongan a disposición de las Fuerzas y Cuerpos de Seguridad no impide su consideración de responsable de las mismas y de las imágenes que son recabadas. IV En relación a las dos cámaras colocadas en el interior del establecimiento, frente a las zonas de acceso, recogen imágenes en exceso de la vía pública. A este respecto, es preciso conocer la regulación que sobre esta materia se contempla en el artículo 1 de la Ley Orgánica 4/1997, de 4/08, por la que se regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad en lugares públicos que establece: “La presente regula la utilización por las Fuerzas y Cuerpos de Seguridad de videocámaras para grabar imágenes y sonidos en lugares públicos abiertos o cerrados, y su posterior tratamiento, a fin de contribuir a asegurar la convivencia ciudadana, la erradicación de la violencia y la utilización pacífica de las vías y espacios públicos, así como de prevenir la comisión de delitos, faltas e infracciones relacionados con la seguridad pública”. Además, hay que tener en cuenta lo dispuesto en el artículo 4.3 de la instrucción 1/2006 que establece: “Las cámaras y videocámaras instaladas en espacios privados no podrán obtener imágenes de espacios públicos salvo que resulte imprescindible para la finalidad de vigilancia que se pretende, o resulte imposible evitarlo por razón de la ubicación de aquellas. En todo caso deberá evitarse cualquier tratamiento de datos innecesario para la finalidad perseguida” La legitimación para el uso de instalaciones de videovigilancia se ciñe a la protección de entornos privados. La prevención del delito y la garantía de la seguridad en las vías públicas corresponden en exclusiva a las Fuerzas y Cuerpos de Seguridad del Estado. Por tanto la regla general es la prohibición de captar imágenes de la calle desde instalaciones privadas. En consecuencia, sí las cámaras graban la vía pública o parte excesiva de la misma, el responsable de las mismas está excediéndose de la legitimación originaria que dispone. Es necesario analizar si opera la excepción establecida en el art. 4.3 de la Instrucción 1/2006, en definitiva, si existe un tratamiento proporcional al fin pretendido. La Instrucción 1/2006 hace especial referencia a la necesidad de ponderar los bienes jurídicos protegidos. Así, viene a señalar expresamente que la instalación de este tipo de dispositivos se deberá respetar el principio de proporcionalidad, valorando así la posibilidad de adoptar otros medios menos intrusivos a la intimidad de las personas, con el fin de prevenir interferencias injustificadas en los derechos y libertades fundamentales. Esta Instrucción no se refiere a la vigilancia de espacios públicos y solo la permite cuando sea imprescindible para la vigilancia previamente autorizada como es la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 impuesta para los bancos y entidades de crédito, atendiendo la finalidad de las mismas En cuanto a la proporcionalidad, tal y como señala la propia Instrucción, la Sentencia del Tribunal Constitucional 207/1996 determina que se trata de “una exigencia a común y constante para la constitucionalidad de cualquier medida restrictiva de derechos fundamentales, entre ellas las que supongan una injerencia en los derechos a la integridad física y a la intimidad, y más en derechos a la integridad física y a la intimidad, y más en particular de las medidas restrictivas de derechos fundamentales adoptadas en el curso de un proceso penal viene determinada por la estricta observancia del principio de proporcionalidad” Por consiguiente si la finalidad de la instalación de cámaras de videovigilancia tiene como objetivo controlar por ejemplo, determinados actos de vandalismo, robos o acciones violentas que vienen siendo habituales en la finca, en principio, la medida podría considerarse idónea, necesaria y proporcional, siempre y cuando se limitase estrictamente a esa finalidad Pues bien en este caso, de los hechos relatados en el expediente se deduce que según constó en el periodo de actuaciones previas de investigación y en base a las imágenes remitidas por la propia entidad denunciada, dos de las cámaras están instaladas en el interior de la oficina, en puntos altos a una cierta distancia de la puerta. Según foto del monitor de enfoque de la cámara 1, en el espacio que abarca, puede verse como transitan las personas delante de la puerta de acceso 1, viéndose también la calzada de circulación y la otra acera siendo nítida la visión de estas partes, que para la seguridad de la Oficina no resultan necesarias ni imprescindibles. La foto del monitor de imagen de cámara 2 alcanza al final de la acera próxima y a los vehículos aparcados. La circunstancia de recoger imágenes de las vías públicas, no de la parte privativa de la entidad, sino de vías públicas, supone que la denunciada comete la infracción del artículo 6.1 de la LOPD que indica: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa.” Las cámaras que recogen parte de las vías públicas referidas permiten identificar a cualquier persona que en dicho espacio transite, mas allá de espacio de vía pública que estrictamente se necesita. En el presente caso, las cámaras interiores no sólo captan la zona de acceso a la entidad bancaria, sino los espacios adyacentes de toda la acera de delante, de la calzada que sigue y de la otra acera, por donde transitan personas que pueden ser identificadas o identificables, resultando ilustrativas las fotos aportadas por la denunciada y el croquis. V El artículo 44.3.
- b)de la LOPD tipifica como infracción grave: “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en la presente Ley o con incumplimiento de los preceptos de protección que impongan las disposiciones reglamentarias de desarrollo, cuando no constituya infracción muy grave”. VI El artículo 45 de la LOPD, en sus aparatados 2 a 5, establece, según también la nueva redacción dada por la Ley 2/2011, que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 «2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siéndola infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» En este caso, a efectos de valorar la sanción, se debe tener presente que la entidad denunciada no ha aportado documentación gráfica de la que se deduzca que se ha procedido a delimitar y reducir las áreas de vía pública captadas por las cámaras, pudiendo entender que se continua con la infracción, (45.4.a), que la captación afecta a dos cámaras y recoge varios y distintos espacios de vía pública (45.4 b), siendo una entidad que habitualmente trata datos personales 45.4 c), imponiéndose una sanción de 40.001 €. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad CAIXABANK, S.A., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de la LOPD, una multa de 40.001 euros, de conformidad con lo establecido en el artículo 45.2 y 4 a),
- b)y
- c)de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a CAIXABANK, S.A., y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29/07, en relación con el art. 62 de la Ley 58/2003, de 17/12, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es