1/7 Procedimiento Nº: PS/00427/2018 938-0419 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (*en adelante, el reclamante) con fecha 19 de septiembre de 2018 interpuso reclamación ante la Agencia Española de Protección de Datos, motivada por el tratamiento de datos realizado a través de cámaras de un sistema de videovigilancia cuyo titular es identificado como CAFETERÍA NAGASAKI (*en adelante el reclamado) instaladas en ***DIRECCIÓN.1-Langreo-Asturias. Los motivos en que basa la reclamación son “colocación de cámaras en el exterior del establecimiento Nagasaki obteniendo imágenes de espacio público” (folio nº 1). Junto a la reclamación aporta prueba documental (fotografías Anexo I). SEGUNDO: A la vista de los hechos denunciados, de conformidad con las evidencias de que se dispone, la Inspección de Datos de esta Agencia Española de Protección de Datos considera que el tratamiento de los datos personales que se realiza por el denunciado a través de las cámaras a las que se refiere la denuncia, no cumple las condiciones que impone la normativa sobre protección de datos, por lo que procede la apertura del presente procedimiento sancionador. TERCERO: En fecha 08/10/18 se procedió al TRASLADO a la entidad denunciada, par que alegra lo que en derecho estimara oportuno, constando como “Notificado” en el sistema informático de esta Agencia. CUARTO: En fecha 13/11/18 se recibe en esta Agencia escrito de alegaciones de la entidad denunciada, en relación a los “hechos” objeto de denuncia. QUINTO: Con fecha 30 de julio de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del Artículo 5.1.
- c)del RGPD, tipificada en el Artículo 83.5 del RGPD. SEXTO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de alegaciones en el que, en síntesis, manifiesta lo siguiente: “Que en fecha 13 de julio del 2018 se recibe notificación de sanción por presunta infracción del contenido del art. 5.1c) RGPD, al dispones de imágenes de la acera pública de manera desproporcionada, no hallándome conforme con el contenido de dicha notificación, se procede en tiempo y forma a formalizar el presente ESCRITO DE ALEGACIONES, en base a las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 En el presente procedimiento, tras haber recibido una única notificación, que es la que aquí se recurre, no siendo facilitada la prueba documental (Anexo I), limitándose a indicar que existía la misma a instancias de la reclamante la COMUNIDAD DE PROPIETARIOS DE LA CALLE JOSE LAREDO APARICIO Nº1 provocando a esta parte una clara INDEFENSIÓN, en virtud de lo establecido en el art. 24 de la Constitución Española”. “Que, teniendo por presentado por este escrito, se sirva para admitirlo, y de conformidad con el mismo, procede la anulabilidad del acto y que se retrotraigan las actuaciones a la fecha de la supuesta infracción cometida por no seguir el procedimiento legalmente establecido, otorgando un plazo a esta parte para la presentación de alegaciones y para proceder a la identificación del conductor”. SÉPTIMO: En fecha 23/09/19 se formula “propuesta de Resolución” contra la entidad Cafetería Nagasaki, proponiendo una sanción de 1.500€ (Mil Quinientos Euros) por la obtención de imágenes de la acera pública de manera desproporcionada, al quedar acreditada la infracción del art. 5.1
- c)RGPD. OCTAVO: De las actuaciones practicadas han quedado acreditados los siguientes hechos probados: Primero. En fecha 19/09/18 se recibe en esta Agencia reclamación de la parte denunciante, por medio de la cual se traslada como hecho principal: “colocación de cámaras en el exterior del establecimiento Nagasaki obteniendo imágenes de espacio público” (folio nº 1). Segundo. Consta identificada como principal responsable el establecimiento cafetería Nagasaki (denunciado). Tercero. El establecimiento denunciado reconoce disponer de un sistema de cámaras de video-vigilancia compuesto de cuatro cámaras por motivos de “seguridad” ante diversos ataques producidos. Cuarto. El establecimiento dispone del preceptivo cartel informativo en zona visible, si bien no se puede constatar que el mismo se adapte a la normativa en vigor, dada la distancia de la fotografía tomada. Quinto. Consta acreditado la captación de acera pública, de tal manera que se obtienen imágenes de los viandantes y de los vehículos aparcados en la zona próxima al establecimiento. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, es competente para iniciar este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con el artículo 12.2, apartados
- i)y
- j)del Real Decreto 428/1993, de 26 de marzo, por el que se aprueba el Estatuto de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 Agencia de Protección de Datos (en adelante, RD 428/1993). II Antes de entrar en el fondo del asunto, es necesario analizar la solicitud de “nulidad” de las actuaciones esgrimidas por la parte denunciada, considerando la misma que se le ha producido “una clara indefensión”. A lo anterior cabe matizar, que no puede alegar desconocimiento de los “hechos”, puesto que los mismos están entrecomillados en el acuerdo de Inicio, instalación de un sistema de cámaras de video-vigilancia en el establecimiento Cafetería Nagasaki, con “orientación hacia espacio público”. Con motivo de las presentes alegaciones, la parte denunciada no aporta prueba documental alguna en relación al sistema de video-vigilancia denunciado, siendo esta la primera vez que solicita copia de la documentación obrante en el expediente. De manera que dada la claridad de los “hechos” objeto de imputación, así como que se había producido previamente el traslado de la reclamación (08/10/18) a efectos de alegar sobre la misma, no puede hablarse de indefensión por desconocimiento de los hechos. El denunciado no puede "quejarse de indefensión alguna porque ha tenido, en todo momento, la posibilidad de hacer valer sus derechos con plenitud.", pudiendo realizar las alegaciones oportunas y aportar toda aquella documentación precisa para verificar la legalidad del sistema instalado. De acuerdo con lo expuesto, no se considera afectado su derecho ni a la presunción de inocencia, ni el derecho a la defensa, ante los hechos objeto de imputación, motivo por el que procede desestimar su pretensión, continuando la tramitación del procedimiento a los efectos legales oportunos. III En el presente caso, se procede a examinar la reclamación de fecha 19/09/18 por medio de la cual se traslada como hecho principal el siguiente: “colocación de cámaras en el exterior del establecimiento Nagasaki obteniendo imágenes de espacio público” (folio nº 1). Los “hechos” anteriormente descritos suponen una afectación del contenido del art. 5.1
- c)RGPD, al disponer de cámaras de video-vigilancia que obtienen imágenes de la acera, afectando al derecho de los transeúntes que caminan libremente por la zona. “Los datos personales serán: adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 El tratamiento de imágenes en lugares públicos sólo puede ser realizado -en su caso y previo el cumplimiento de los requisitos legalmente exigibles-, por las Fuerzas y Cuerpos de Seguridad, a menos que opere la excepción establecida en el artículo 4.3 de la Instrucción 1/2006, de 8 de noviembre, de esta Agencia, que establece: “las cámaras y videocámaras instaladas en espacios privados no podrán obtener imágenes de espacios públicos salvo que resulte imprescindible para la finalidad de vigilancia que se pretende, o resulte imposible evitarlo por razón de la ubicación de aquellas. En todo caso deberá evitarse cualquier tratamiento de datos innecesario para la finalidad perseguida”. En ningún caso se admitirá el uso de prácticas de vigilancia más allá del entorno objeto de la instalación y en particular, no pudiendo afectar a los espacios públicos circundantes, edificios contiguos y vehículos distintos de los que accedan al espacio vigilado. IV El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 5 de junio de 1998 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables”. Aplicando la anterior doctrina, la Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos debe ser especialmente diligente y cuidadoso a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril y 18 de mayo de 2005). La mera comisión de una infracción administrativa—tipo objetivo—no es suficiente a la hora de proceder a imponer una sanción administrativa. La culpabilidad como reprochabilidad al sujeto activo de la lesión del bien jurídico protegido, resulta evidente cuando el sujeto realiza voluntariamente la conducta típica dirigida intencionalmente a la obtención del resultado antijurídico, que es procurado y querido Habrá de concurrir, pues, una conducta dolosa o negligente, ya sea negligencia grave o leve o simple, según en grado de desatención. Y no existe negligencia, ni por tanto infracción culpable y punible, "cuando se haya puesto la diligencia necesaria en el cumplimiento de las obligaciones exigibles en materia de LOPD". C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 V De conformidad con las pruebas de las que se dispone en el presente procedimiento sancionador, se considera que el reclamado dispone de una cámara exterior que obtienen imágenes de la acera pública y espacio colindante sin causa justificada y de manera desproporcionada. Con este dispositivo se obtienen imágenes de la acera pública colindante a su establecimiento de manera desproporcionada, existiendo medios menos lesivos para los derechos de los viandantes y habiendo podido reorientar la cámara exterior exclusivamente hacia su propiedad particular. Los hechos conocidos podrían ser constitutivos de una infracción, imputable al reclamado, por vulneración del art. 5.1
- c)anteriormente transcrito. El art. 83.5 RGPD dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; La cámara instalada capta de manera desproporcionada espacio público, de manera que existen medios menos lesivos a los derechos de terceros de instalar la misma. A la hora de motivar la sanción, se tiene en cuenta que se trata de una pequeña cafetería, con volumen de ingresos no elevado para este tipo de establecimientos, que se ha visto afectada por diversos “ataques” a la misma obedeciendo la instalación a una finalidad legítima como es la protección de la misma. -A través de la misma se obtienen imágenes de los viandantes que transitan por la acera pública sin causa justificada, pues la misma finalidad se consigue con una orientación exclusiva hacia la fachada del local a proteger (art. 83.2
- a)RGPD). -Se debió prever tras la denuncia presentada, que la cámara estaba mal orientada, por lo que la conducta se considera negligente en grado leve (art. 83.2
- b)RGPD). Por tanto, procede ordenar imponer una sanción situada en la escala más baja para este tipo de infracciones por los motivos expuestos, valorando la colaboración previa con este organismo de la denunciada, cifrando la misma en la cuantía de 1.500€ (Mil Quinientos Euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 Todo ello sin perjuicio de proceder a reorientar la cámara en cuestión de manera que esté orientada de manera preferente hacia la fachada o se reubique para cumplir con su finalidad, pero respetando los derechos afectados. la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad denunciada CAFETERÍA NAGASAKI, con NIF B74274168, por una infracción del Artículo 5.1.
- c)del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 1.500€ (mil Quinientos Euros), de conformidad con lo establecido en el art. 58.2 RGPD. SEGUNDO: ORDENAR la reorientación de la cámara exterior hacia la zona exclusiva de su propiedad particular (fachada del establecimiento), acreditando tal extremo a esta Agencia mediante prueba fehaciente al respecto. TERCERO: NOTIFICAR la presente resolución a la entidad CAFETERÍA NAGASAKI e INFORMAR del resultado de las actuaciones a la parte denunciante A.A.A. CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es