PS-00439-2019

1/6 Procedimiento Nº: PS/00439/2019 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 21/12/18 tuvo entrada en esta Agencia Española de Protección de Datos un escrito presentado por Don A.A.A. (en lo sucesivo, el reclamante), mediante el que formula reclamación contra AYUNTAMIENTO DE MAHÍDE con NIF P4911700E (*en adelante, el reclamado), por la instalación de un sistema de videovigilancia instalado en AYUNTAMIENTO DE MAHÍDE, CALLE LA PEÑA 47, MAHÍDE, ZAMORA, existiendo indicios de un posible incumplimiento de lo dispuesto en el art. 5.1

1. c)RGPD. Los motivos que fundamentan la reclamación son los siguientes: “Con fecha 04/12/18 me dirijo a las dependencias municipales del ayuntamiento para presentar un escrito (…) y veo que en el salón de Plenos nada más entrar se han instalado dos cámaras junto con una especie de centralita y un altavoz. Una de las cámaras se encuentra sobre una urna enfocando directamente hacia la puerta de entrada (…) Accedo a la Oficina de la Secretaría del Ayuntamiento para registrar el documento y observo que a la espalada del funcionario municipal a cierta altura hay colocada otra cámara (…). Como Concejal del Ayuntamiento no tengo conocimiento de que se haya aprobado o tramitado expediente alguno en elación con el procedimiento para la instalación de cámaras de vigilancia en el Edificio municipal”. “No existe Ordenanza que regule la protección de datos y la creación de los ficheros correspondientes de acuerdo con el art. 20 LOPD. No me consta la tramitación de procedimiento (expediente) alguno” Aporta prueba documental de un aparato colocado que se corresponde con las características de un dispositivo con posibilidad de obtención de imágenes. SEGUNDO: Con carácter previo a la admisión a trámite de esta reclamación, se trasladó al reclamado, de conformidad con lo establecido en el artículo 65.4 la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). El resultado de esta actuación se describe a continuación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 “No se ha recibido contestación alguna en relación a los hechos objeto de traslado” TERCERO: La reclamación fue admitida a trámite mediante resolución de fecha 25/03/19. CUARTO: Con fecha 4 de diciembre de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del Artículo 5.1.
2. c)del RGPD, tipificada en el Artículo 83.5 del RGPD. HECHOS PROBADOS Primero. En fecha 21/12/18 tiene entrada reclamación en esta Agencia por los siguientes hechos: “Con fecha 04/12/18 me dirijo a las dependencias municipales del ayuntamiento para presentar un escrito (…) y veo que en el salón de Plenos nada más entrar se han instalado dos cámaras junto con una especie de centralita y un altavoz. Una de las cámaras se encuentra sobre una urna enfocando directamente hacia la puerta de entrada (…) Accedo a la Oficina de la Secretaría del Ayuntamiento para registrar el documento y observo que a la espalada del funcionario municipal a cierta altura hay colocada otra cámara (…). Como Concejal del Ayuntamiento no tengo conocimiento de que se haya aprobado o tramitado expediente alguno en elación con el procedimiento para la instalación de cámaras de vigilancia en el Edificio municipal”. Segundo. Consta acreditada la instalación de un dispositivo de video-vigilancia, sobre el que la parte denunciada no realiza alegación alguna. Tercero. Consta identificado como principal responsable la entidad Ayuntamiento de Mahide. Cuarto. No consta acreditado que el sistema disponga de cartel informativo, ni la causa/motivo del tratamiento de las imágenes. Quinto. No consta acreditado que se haya informado en legal forma al conjunto de los empleados sobre la instalación del sistema de video-vigilancia. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), reconoce a cada Autoridad de Control, y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y resolver este procedimiento. II En fecha 21/12/18 se recibe en esta Agencia reclamación del denunciante, trasladando la “instalación de una cámara de video-vigilancia” sin causa justificada en el salón de Plenos del Ayuntamiento. (Hecho nº 1). Los hechos anteriormente descritos pueden suponer una afectación al contenido del art.5.1
3. c)RGPD. “Los datos personales serán: c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»). Todo sistema instalado en el interior del Ayuntamiento, debe contar con el preceptivo cartel informativo adaptado a la normativa en vigor, indicando el responsable, la finalidad del tratamiento y el modo de ejercitar los derechos reconocidos en los artículo 15-22 RGPD. En el caso de cámaras interiores se debe informar a los representantes de los empleados públicos de la presencia de las mismas, debiendo evitar que las mismas estén permanentemente orientadas hacia la zona de trabajo de los mismos o zonas de ocio de estos (vgr. vestuarios, zona de vending, comedor, etc). El tratamiento de las imágenes debe contar con el correspondiente protocolo de acceso en su caso a las grabaciones efectuadas, debiendo el mismo estar documentado a los efectos legales oportunos. Si las cámaras están instaladas por motivo de seguridad de las instalaciones deben estar orientadas preferentemente hacia los puntos estratégicos del Edificio, evitando la orientación directa hacia las ventanas colindantes. El artículo 13, apartados 1 y 2, del RGPD, establece la información que debe facilitarse al interesado en el momento de la recogida de sus datos. En el caso de tratamientos de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras, el deber de información puede cumplirse mediante la colocación, en las zonas videovigiladas, de un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados, y sirviéndose de impresos en los que se detalle la información prevista, que el responsable deberá poner a disposición de los interesados. El contenido y el diseño del distintivo informativo debe ajustarse a lo previsto en el Anexo de la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras. Por otra parte, conforme a lo establecido en el artículo 22 de la LOPDGDD, referido específicamente a los “Tratamientos con fines de videovigilancia”, el tratamiento de imágenes en lugares públicos sólo puede ser realizado -en su caso y previo el cumpliC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 miento de los requisitos legalmente exigibles-, por las Fuerzas y Cuerpos de Seguridad, a menos que opere la excepción establecida en el citado artículo 22 de la LOPDGDD para las personas físicas o jurídicas, públicas o privadas, respetando las condiciones exigidas en dicho artículo. III El artículo 77 LOPDGDD (LO 3/2018, 5 diciembre)” Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento”. 1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
4. a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
5. b)Los órganos jurisdiccionales.
6. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
7. d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.
8. e)Las autoridades administrativas independientes.
9. f)El Banco de España.
10. g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
11. h)Las fundaciones del sector público.
12. i)Las Universidades Públicas.
13. j)Los consorcios.
14. k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica. IV La reclamación se basa en la presunta ilicitud de la instalación sin que en principio se haya informado sobre la presencia de las mismas, careciendo de cartel informativo en la zona de acceso a las dependencias de la Casa Consistorial, siendo responsable la entidad pública –Ayuntamiento de Mahíde--. Además, el reclamante advierte que el inmueble reseñado no dispone de cartel en el que se informe sobre la presencia de las cámaras y sobre la identidad del responsable del tratamiento de los datos, para que las personas interesadas puedan ejercitar los derechos previstos en los arts. 15 a 22 del RGPD. El art. 58 apartado 2º RGPD dispone: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
15. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; En el presente caso, se tiene en cuenta que no se han concretado los “hechos” mediante la contradicción de la parte denunciada, desconociendo este organismo si fue un hecho puntual o las circunstancias concretas del caso. En todo caso, las pruebas aportadas por el denunciante, se consideran suficientes para acreditar desvirtuada la presunción de inocencia, al acreditar la presencia de al menos una cámara de video-vigilancia sin causa justificada, careciendo la misma de dispositivo informativo alguno Por la entidad denunciada, se deberá proceder a explicar si dispone o no de un sistema de cámaras, la finalidad del tratamiento, la presencia de dispositivo informativo en zona visible y las medidas adoptadas para ponerlo en conocimiento de los empleados del Ayuntamiento, acompañando el correspondiente Informe que corrobore todo lo manifestado. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a AYUNTAMIENTO DE MAHÍDE, con NIF P4911700E, por una infracción del Artículo 5.1.
16. c)del RGPD, tipificada en el artículo 83.5 del RGPD, una sanción de APERCIBIMIENTO, debiendo en el plazo de un mes desde la notificación del presente acto, proceder a: -Aclarar las circunstancias del caso o bien acreditar la legalidad del sistema de video-vigilancia instalado, aportando la documentación necesaria para ello o en su defecto, que no existe dispositivo de video-vigilancia. SEGUNDO: NOTIFICAR la presente resolución a la entidad AYUNTAMIENTO DE MAHÍDE e INFORMAR del resultado de las actuaciones al denunciante Don A.A.A.. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es