← España

PS-00439-2024

1/33  Expediente N.º: EXP202305156 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: En fecha 15 de noviembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a AXARQUIA VELEZ DENTAL, S.L., con NIF B93418267. Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, en fecha 8 de octubre de 2025, se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: EXP202305156 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: En fecha 29 de marzo de 2023, se presentó reclamación con número de registro de entrada REGAGE23e00021187464, ante la Agencia Española de Protección de Datos, contra AXARQUIA VELEZ DENTAL, S.L. con NIF B93418267 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que la parte reclamada es responsable de un local que cuenta con un sistema de videovigilancia en su interior que no se encuentra debidamente señalizado mediante los preceptivos carteles informativos de zona videovigilada. Expone que 2 cámaras están ubicadas en pasillos, 1 cámara en sala de espera, 1 cámara en el despacho del coordinador/director de la clínica, una cámara en cada uno de los 5 quirófanos/gabinetes y 2 cámaras en la recepción. Junto a la reclamación aporta imágenes de las cámaras ubicadas en el interior del local. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/33 Públicas (en adelante, LPACAP), mediante notificación electrónica, fue recibido en fecha 24 de abril de 2023, como consta en el certificado que obra en el expediente. En fecha 24 de mayo de 2023, se recibe en esta Agencia escrito de respuesta de la parte reclamada indicando que dicha mercantil dispone de dos sistemas de videovigilancia para garantizar la seguridad en el establecimiento, uno que gestionan ellos mismos, compuesto de 10 cámaras fijas colocadas en varias zonas de la clínica, con el objetivo de velar por la seguridad tanto de los pacientes y empleados, como de sus bienes e instalaciones. El otro, un sistema de alarma gestionado por la empresa Securitas Direct. Por tanto, asegura, el único y exclusivo fin de estas es la seguridad en el establecimiento. Expone que la empresa que les instaló el sistema de videovigilancia es TECNOVELIS SLNE, con CIF B92928720, domicilio en C/ Arroyo Hondo nº 40 b, en Vélez Málaga, 29700, Málaga. Se aporta como bloque documental 1, las 10 fotografías de las cámaras internas de esta sociedad. Por otro lado, la empresa responsable del sistema de alarma y de seguridad, así como de su gestión es SECURITAS DIRECT ESPAÑA S.A.U., con CIF A26106013, y dirección de correo electrónico: ***EMAIL.1. Se aporta como documento número 2, el contrato de servicio de seguridad y como bloque documental 3, las 2 fotografías de las instalaciones de Securitas Direct. Se aporta como bloque documental 4, copia de las fotografías del monitor donde se realiza el visionado de las imágenes de las cámaras internas. Dicho monitor se encuentra en el despacho del director de la clínica, siendo ésta la única persona autorizada para acceder a dichas imágenes. Además, dicho ordenador se encuentra bloqueado con una clave de acceso para evitar que terceras personas puedan acceder a las imágenes. Se aporta como documento número 5, el cartel que advierte de la existencia de una zona videovigilada, así como una fotografía en la que se puede comprobar que está colocado en un lugar visible. De la misma manera, informa que el plazo de conservación de las imágenes y grabaciones es de 7 días naturales, transcurridos los cuales, se eliminan dichos archivos automáticamente. Finalmente se comunica la dirección de correo electrónico de esa mercantil a los efectos de que le sea remitido el aviso de puesta a disposición de la notificación que en su caso proceda. TERCERO: En fecha 29 de mayo de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/33 CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: El 28 de junio de 2023, como parte de las actuaciones de investigación, se requiere a la parte reclamada: 1. Detalle del número de cámaras instaladas y lugares donde se encuentran ubicadas, facilitando fotografía de instalación de cada una de ellas y los modelos de cámara. 2. Alcance de las cámaras, acreditando mediante fotografía las imágenes captadas por las cámaras, tal y como se visualizan en el monitor o sistema equivalente. En su respuesta de 24 de mayo de 2023 no han incluido las imágenes de las cámaras: PASILLO, CAM 9x, CAM 11x, CAM 13x, CAM 15x Y CAM 16x. 3. Especificar si las imágenes son grabadas, si contienen sonido y en su caso, indicar el tiempo de conservación, las personas que tienen acceso al dispositivo de grabación y almacenamiento. 4. En caso de que la visualización y/o grabación de las imágenes se haya encargado a un tercero, contrato de servicio firmado por las partes. 5. Si las cámaras captan vía pública, aunque sea mínimamente, también deberán aportar fotografías del cartel o carteles que avisen de la existencia de una zona videovigilada, en las que se aprecie de forma clara la información que contiene el cartel, (responsable, dirección...), así como la ubicación de éste. 6. Registro de las actividades de tratamiento. 7. El Análisis de Riesgos para los derechos y libertades de las personas físicas afectadas por los tratamientos de datos personales. 8. Evaluación de Impacto para la Protección de Datos Personales. 9. Informes del Delegado de Protección de Datos. 10. Medidas de seguridad implementadas. 11. Cualquier otra información que considere de interés y que pueda servir para valorar la adecuación del sistema de videovigilancia a la normativa de protección de datos. El 20 de julio de 2023 se solicita al reclamante documentación adicional como una fotografía de la fachada del establecimiento, información sobre protección de datos que le proporcionaron al formalizar el contrato, o en el propio contrato y cualquier otra que pueda complementar la información de la reclamación ya presentada. El 21 de julio de 2023, se recibe de AXARQUIA-VELEZ DENTAL S.L. respuesta al requerimiento. 1. Confirma que dispone de dos sistemas de videovigilancia para garantizar la seguridad en su establecimiento, uno propio compuesto de 10 cámaras fijas y un sistema de alarma gestionado por la empresa Securitas Direct. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/33 Aporta fotografías de las cámaras e indica que el modelo es (…). 2. Confirma el alcance de las cámaras, presenta la imagen que recoge la cámara denominada pasillo. Declara que las cámaras Cam 9x, Cam 11x, Cam 13x, Cam 15x y Cam 16x no están activas y muestra las imágenes correspondientes. 3. Comunica que las grabaciones no contienen sonido, se conservan durante 7 días, y sólo el director de la clínica tiene acceso a las mismas. 4. Reitera que la empresa responsable del sistema de alarma es SECURITAS DIRECT ESPAÑA S.A.U. y adjunta copia del contrato (fecha del contrato 25/01/2022). 5. Declara que las cámaras no graban vía pública. Envía fotografías del cartel ubicado en la recepción de la clínica y de la información que contiene. 6. Aporta como documento número 7 copia del registro de actividades de tratamiento. .1 Clínicas dentales .2 Contactos .3 Control de presencia y horario .4 Gestión contable y administración .5 Gestión de nóminas .6 Historial clínico .7 Historial dosimétrico .8 Informes médicos .9 Laboral de formación del personal .10 Prevención de riesgos laborales y medicina del trabajo .11 Selección de personal .12 TPV .13 Videovigilancia .14 Clientes y/o proveedores 1. Aporta el Análisis de riesgos para los derechos y libertades de las personas físicas afectadas por los tratamientos de datos personales. 2. Aporta la Evaluación de impacto para la protección de datos personales realizada. 3. Presenta el informe del Delegado de Protección de Datos. 4. Declara que ordenador donde se pueden visualizar las grabaciones dispone de un control de acceso Inicio de sesión usuario y contraseña. La aplicación para ver las cámaras tiene usuario y contraseña y solo tienen acceso a este ordenador el director de la clínica. Remite copias de las comunicaciones realizadas a los trabajadores, firmadas por estos, de 22 de febrero de 2022 en la que advierte de la existencia de dispositivos de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/33 videovigilancia en el lugar de trabajo, indica como finalidades: garantizar la seguridad en el lugar de trabajo y la vigilancia y control para verificar el cumplimiento de las obligaciones y deberes laborales en los siguientes términos: “Le comunicamos que Axarquia Velez Dental Sl. en calidad de responsable del tratamiento de datos, procederá a la grabación de imágenes en el interior del local situado en ***DIRECCIÓN.1, con la finalidad de garantizar la seguridad de los trabajadores, clientes, usuarios y todas aquellas personas que concurran al interior de las instalaciones de la empresa. Asimismo, se le informa que dichas grabaciones podrán ser usadas para la vigilancia y control de los trabajadores para verificar el cumplimiento de sus obligaciones y deberes laborales (…)”. Aporta como documento número 7, la copia del registro de actividades de tratamiento, en el que se recoge entre otros aspectos: “El tratamiento Videovigilancia tiene como finalidad: Preservar la seguridad de las personas y bienes, así como de sus instalaciones y Videovigilancia de las instalaciones en el entorno laboral. La Base de legitimación para el tratamiento de datos es el Interés Legítimo, Habilitación Legal Expresa, Transparencia y Licitud del tratamiento”. El Informe del Delegado de Protección de Datos describe la instalación de cámaras de videovigilancia, declara que no tienen acceso a las imágenes grabadas por Securitas Direct y que no se graba la vía pública. Declara que la finalidad de las cámaras es preservar la seguridad de personas, bienes e instalaciones y la videovigilancia de las instalaciones en el entorno laboral. Se aporta imagen de las cámaras instaladas en gabinetes con pacientes. Se aporta como documento 3 fotografía realizada al monitor. En contestación al requerimiento de información realizado en el marco de las actuaciones previas de investigación, manifiesta que no se hace ningún uso de las imágenes grabadas en los gabinetes durante el tratamiento de los pacientes y que las imágenes grabadas no contienen sonido, siendo el plazo de conservación de 7 días naturales. Expone que la única persona que tiene acceso a dichas grabaciones y almacenamiento es el director de la clínica. Las únicas finalidades de las imágenes recogidas son la de preservar la seguridad de las personas y bienes, así como de sus instalaciones, con material valioso en dichos gabinetes y control empresarial en el entorno laboral. En ningún caso se utilizan las imágenes para cualquier otra finalidad que pueda afectar a la intimidad de los pacientes de la clínica. En definitiva, de las respuestas facilitadas por la parte reclamada se concluye que se graban las intervenciones a los pacientes. Constan aportadas al expediente, el 27 de julio de 2023, 11 fotografías de las cámaras internas de la clínica. Asimismo, se aporta imagen de las cámaras instaladas en los gabinetes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/33 El espacio captado por las cámaras instaladas en los gabinetes/quirófanos incluye la zona donde los pacientes se ubican durante su tratamiento en la clínica. Se trata de un tratamiento que graba las imágenes de modo constante de los pacientes que entran al quirófano mientras transcurre su asistencia. Asimismo, el espacio captado por las cámaras instaladas en el despacho/dirección, recepción y gabinetes/quirófanos incluye la zona donde los empleados se ubican en sus puestos de trabajo. Se trata de un tratamiento que graba las imágenes de modo constante. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad AXARQUIA VELEZ DENTAL, S.L. es una microempresa, constituida en el año 2015, y con un volumen de negocios de 972.624 € en el año 2021. SEXTO: En fecha 15 de noviembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por dos presuntas infracciones del artículo 5.1.

  1. c)del RGPD, tipificadas en el artículo 83.5 del RGPD. El acuerdo de inicio fue notificado conforme a las normas establecidas en la LPACAP, mediante notificación electrónica, siendo recibido en fecha 18 de noviembre de 2024, como consta en el certificado que obra en el expediente. SÉPTIMO: Habiendo solicitado la ampliación del plazo que le fue concedido para formular alegaciones, en virtud de lo establecido en el artículo 32.1 de la LPACAP, en fecha 4 de diciembre de 2024, se acordó ampliar dicho plazo hasta un máximo de cinco días, que debían computarse a partir del día siguiente a aquel en el que finalizara el primer plazo de alegaciones. OCTAVO: Notificado el citado acuerdo de inicio, la parte reclamada presentó, en fecha 11 de diciembre de 2024, escrito de alegaciones en el que, en síntesis, viene a reconocer la responsabilidad por los hechos recogidos en el expediente de referencia, con respecto a la infracción del artículo 5.1.
  2. c)del RGPD, por la instalación de cámaras en los gabinetes/quirófanos, renunciando esa mercantil a ejercer cualquier acción o recurso en vía administrativa contra la sanción impuesta. Asimismo, viene a comunicar el pago voluntario con carácter previo a la resolución definitiva del importe de la sanción de multa impuesta por importe de 5.000 €, solicitando que se emita carta de pago o se indique el número de cuenta y concepto donde realizar el ingreso. Por otra parte, pone de manifiesto que la única sanción sobre la que se alega es la correspondiente a la supuesta infracción del artículo 5.1.
  3. c)del RGPD, en el ámbito laboral: PRIMERA. - Las cámaras colocadas para videovigilancia en el trabajo se sujetan a principios de proporcionalidad, necesidad y minimización de datos. En primer lugar, expone que las imágenes captadas por las cámaras respetan en todo momento los derechos fundamentales de los trabajadores y garantizan su dignidad en el entorno laboral. Alega que las áreas de grabación han sido cuidadosamente delimitadas, evitando captar zonas privadas o no relacionadas directamente con la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/33 actividad laboral. Es decir, aclara que no se graban espacios donde la persona trabajadora pueda cambiarse o realizar otro tipo de actuaciones sin interacción con terceros, lo que es coherente con el fin manifestado de seguridad en el entorno laboral. En segundo lugar, señala que no se ha valorado adecuadamente por parte de la AEPD que esa compañía cuenta con la debida autorización por parte de los trabajadores para captar su imagen. Es decir, afirma que no existe una grabación constante sobre un puesto de trabajo inmóvil o fijo (como pudiera ser un escritorio de una oficina al uso). Toda la plantilla debe cubrir diferentes tareas en su dinámica diaria que les hacen moverse por toda la clínica. Asimismo, señala que el sector sanitario en el que opera la mercantil AXARQUIA VELEZ DENTAL S.L., está lamentablemente expuesto a incidentes frecuentes de agresiones verbales y físicas por parte de los pacientes hacia los trabajadores, motivo por el cual son los propios trabajadores los que solicitan la grabación tanto en los gabinetes como en los espacios de trabajo para mejorar su sensación de seguridad y protección en el entorno laboral. Advierte que este extremo es de total importancia a la hora de valorar si el sistema de seguridad es proporcional o no, y si cumple su función. SEGUNDO. - Proporcionalidad de la medida. Manifiesta que la instalación de las cámaras de videovigilancia ha sido implementada respetando estrictamente los principios de proporcionalidad, necesidad y minimización de datos y que los trabajadores son plenamente conocedores de la existencia de las cámaras, su finalidad y el alcance de las grabaciones. Indica que este conocimiento ha sido documentado mediante comunicaciones específicas remitidas por la compañía, lo que demuestra la transparencia y el cumplimiento normativo en la implementación de esta medida. Señala que la legitimidad de la instalación de las cámaras queda reforzada por el hecho de que los propios trabajadores, debido a la situación de riesgo inherente al sector sanitario, solicitaron expresamente su instalación a fin de ver incrementada su seguridad frente a posibles conflictos o potenciales agresiones. Destaca que las grabaciones tienen un carácter estrictamente preventivo y no intrusivo y que, hasta la fecha, no se ha tenido que acceder a las grabaciones, ya que no se han producido incidentes que lo justifiquen. Esto pone de manifiesto que el sistema no se utiliza con fines invasivos, sino como un mecanismo de seguridad destinado a proteger a los trabajadores frente a posibles riesgos, siendo el mismo evidentemente efectivo. TERCERO. - EXISTENCIA DE CARTELERIA. Alega que tampoco se realiza valoración alguna en la parte jurídica de la existencia de múltiples carteles que avisan de estar en una zona videovigilada y los fines de esta, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/33 todo ello a los fines de valorar esa supuesta violación de la intimidad de los trabajadores. Por otra parte, solicita la práctica de la prueba a efectos de acreditar sus afirmaciones. En particular: “TESTIFICALES, de: - A.A.A., (…) y que podrá exponer perfectamente los motivos de la instalación de las cámaras, así como la necesidad de estas por lo conflictivo del sector. - B.B.B., (…), y que igualmente podrá deponer sobre la necesidad de las cámaras a fin de dotar de correcta seguridad al establecimiento, así como su propia petición a fin de dotar de mayor prevención y seguridad. Ambos testigos podrán ser citados en el establecimiento donde la mercantil AXARQUIA VELEZ DENTAL S.L., desarrolla su actividad en ***DIRECCIÓN.1 (…), y proporcionarán información relevante sobre el consentimiento prestado por parte de los trabajadores de la clínica para la captación y grabación de su imagen y la necesidad de la videovigilancia para garantizar su seguridad”. NÓVENO: En fecha 30 de mayo de 2025, el órgano instructor del procedimiento informó a la parte reclamada, de los términos y plazos relativos a la terminación de los procedimientos sancionadores, conforme a lo dispuesto en el artículo 85 de la LPACAP, con indicación del número de cuenta donde poder hacer efectivo el pago voluntario de la sanción. DÉCIMO: En fecha 3 de junio de 2025, AXARQUIA VELEZ DENTAL, S.L. con NIF B93418267, procedió al pago de la sanción en la cuantía de 3000,00 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio, lo que implica el reconocimiento de la responsabilidad en relación con los hechos recogidos en el expediente de referencia, en concreto, con respecto a la infracción del artículo 5.1.
  4. c)del RGPD, por la instalación de cámaras en los gabinetes/quirófanos, renunciando esa mercantil a ejercer cualquier acción o recurso en vía administrativa contra la sanción impuesta. ÚNDÉCIMO: En cumplimiento de lo dispuesto en el artículo 53.1.
  5. a)de la LPACAP, se remite copia completa del expediente administrativo solicitado. DUODÉCIMO: En fecha 8 de octubre de 2025, por la instrucción del procedimiento se acordó denegar de manera motivada la prueba testifical propuesta por la parte reclamada, de conformidad con el artículo 77 de la LPACAP, al entender que esta resultaba improcedente. DECIMOTERCERO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/33 HECHOS PROBADOS PRIMERO: AXARQUIA VELEZ DENTAL, S.L. con NIF B93418267, cuenta en su establecimiento ubicado en ***DIRECCIÓN.1 con un sistema de videovigilancia integrado, al menos, por 11 cámaras de seguridad en la clínica, ubicadas en los siguientes lugares: 2 en la recepción, una cámara en cada uno de los cinco gabinetes, una en el almacén, una en el laboratorio, una en el pasillo y otra en el despacho de dirección. SEGUNDO: Las cámaras de videovigilancia cuentan con una doble finalidad: la seguridad y el control de los trabajadores. Así consta tanto en la comunicación realizada a los trabajadores fechada el 2 de febrero de 2022, en el informe del DPD aportado por la parte reclamada el 21 de julio de 2023, así como en su RAT. TERCERO: El espacio captado por las cámaras instaladas en los gabinetes/quirófanos incluye la zona donde los pacientes se ubican durante su tratamiento en la clínica. Se trata de un tratamiento que graba las imágenes de modo constante de los pacientes que entran al quirófano mientras transcurre su asistencia, así como de los facultativos que le atienden. CUARTO: El espacio captadas por las cámaras ubicadas en la recepción y en el despacho de dirección captan puestos de trabajo de forma permanente. QUINTO: El 3 de junio de 2025, AXARQUIA VELEZ DENTAL, S.L. con NIF B93418267, procedió al pago de la sanción en la cuantía de 3000,00 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio, lo que implica el reconocimiento de la responsabilidad en relación con los hechos recogidos en el expediente de referencia, en concreto, con respecto a la infracción del artículo 5.1.
  6. c)del RGPD, por la instalación de cámaras en los gabinetes/quirófanos, renunciando esa mercantil a ejercer cualquier acción o recurso en vía administrativa contra la sanción impuesta. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento, la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/33 subsidiario, por las normas generales sobre los procedimientos administrativos." II La imagen es un dato personal La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. En el artículo 4.2 del RGPD se define el concepto de “tratamiento” de datos personales: “«tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” Las imágenes generadas por un sistema de cámaras o videocámaras son datos de carácter personal, por lo que su tratamiento está sujeto a la normativa de protección de datos. Es, por tanto, pertinente analizar si el tratamiento de datos personales (imagen de las personas físicas) llevado a cabo a través del sistema de videovigilancia denunciado es acorde con lo establecido en el RGPD. El artículo 22 de la LOPDGDD establece que “las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones.” El tratamiento de datos personales para que sea lícito ha de encontrarse en alguno de los supuestos del artículo 6.1 del RGPD, precepto que indica lo siguiente: El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  7. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  8. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  9. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  10. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  11. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  12. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/33 interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  13. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. Con carácter previo a su puesta en funcionamiento, ha de procederse con el registro de actividades referido a este tratamiento. Se trata de un documento interno. Puede utilizarse la herramienta FACILITA_RGPD disponible en la web de la AEPD cuando no se trate de grandes infraestructuras (estaciones de ferrocarril, centros comerciales). La Guía sobre el uso de videocámaras para seguridad y otras finalidades ofrece un modelo de registro de actividades. Se instalarán en los distintos accesos a la zona videovigilada, y en lugar visible, uno o varios carteles que informen de que se accede a una zona videovigilada. El cartel indicará de forma clara la identidad del responsable de la instalación, ante quién y dónde dirigirse para ejercer los derechos que prevé la normativa de protección de datos, y dónde obtener más información sobre el tratamiento de los datos personales. La AEPD ofrece un modelo de cartel en la Guía sobre el uso de videocámaras. Así mismo, se pondrá a disposición de los afectados la restante información que exige la legislación de protección de datos. Dicha información puede estar disponible en conserjería, recepción, oficinas, tablones de anuncios, o ser accesible a través de Internet. En el supuesto de que el sistema de cámaras llevase incorporado un sistema de grabación, este se ubicará en un lugar vigilado o de acceso restringido. A las imágenes grabadas accederá sólo el personal autorizado que deberá introducir un código de usuario y una contraseña. Las imágenes serán conservadas durante un plazo máximo de un mes desde su captación, transcurrido el cual se procederá al borrado. III Obligaciones en materia de videovigilancia De conformidad con lo expuesto, el tratamiento de imágenes a través de un sistema de videovigilancia, para ser conforme con la normativa vigente, debe cumplir los requisitos siguientes: 1.- La personas físicas o jurídicas, públicas o privadas, pueden establecer un sistema de videovigilancia con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. Se ha de valorar si la finalidad pretendida puede lograrse de otra forma menos intrusiva para los derechos y libertades de los ciudadanos. Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios, considerando 39 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/33 2.- Las imágenes obtenidas no puedan utilizarse para una finalidad ulterior incompatible con la que motivó la instalación del sistema de videovigilancia. 3.- Se deberá cumplir con el deber de informar a los afectados previsto en los artículos 12 y 13 del RGPD, y 22 de la LOPDGDD. En tal sentido, el artículo 22 de la LOPDGDD prevé en relación con la videovigilancia un sistema de “información por capas”. La primera capa ha de referirse, al menos, a la existencia del tratamiento (videovigilancia), la identidad del responsable, la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del RGPD y dónde obtener más información sobre el tratamiento de los datos personales. Esta información se contendrá en un dispositivo colocado en un lugar suficientemente visible y debe suministrarse por adelantado. La información de la segunda capa debe estar disponible en un lugar fácilmente accesible al afectado, ya sea una hoja informativa en una recepción, cajero, etc.…, colocada en un espacio público visible o en una dirección web, y ha de referirse al resto de elementos del artículo 13 del RGPD. 4.- El tratamiento de las imágenes mediante la instalación de sistemas de cámaras o videocámaras deberá ser lícito y ajustarse al principio de proporcionalidad y al de minimización de datos, en los términos ya señalados. 5.- Las imágenes podrán conservarse por un plazo máximo de un mes, salvo en aquellos supuestos en que se deban conservar para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En este segundo supuesto, deberán ser puestas a disposición de la autoridad competente en un plazo máximo de 72 horas desde que se tuviera conocimiento de la existencia de la grabación. 6.- El responsable deberá llevar un registro de actividades de los tratamientos efectuados bajo su responsabilidad en el que se incluya la información a la que hace referencia el artículo 30.1 del RGPD. 7.- El responsable deberá realizar un análisis de riesgos o, en su caso, una evaluación de impacto en la protección de datos, para detectar los derivados de la implantación del sistema de videovigilancia, valorarlos y, en su caso, adoptar las medidas de seguridad apropiadas. 8.- Cuando el sistema esté conectado a una central de alarma, únicamente podrá ser instalado por una empresa de seguridad privada que reúna los requisitos contemplados en el artículo 5 de la Ley 5/2014 de Seguridad Privada, de 4 de abril. La Agencia Española de Protección de Datos ofrece a través de su página web [https://www.aepd.es] acceso a: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/33  la legislación en materia de protección de datos personales, incluyendo el RGPD y la LOPDGDD (apartado “Informes y resoluciones” / “normativa”),  la Guía sobre el uso de videocámaras para seguridad y otras finalidades,  la Guía para el cumplimiento del deber de informar (ambas disponibles en el apartado “Guías y herramientas”). También resulta de interés, en caso de realizar tratamientos de datos de bajo riesgo, la herramienta gratuita Facilita (en el apartado “Guías y herramientas”), que, mediante unas preguntas concretas, permite valorar la situación del responsable respecto del tratamiento de datos personales que lleva a cabo, y en su caso, generar diversos documentos, cláusulas informativas y contractuales, así como un anexo con medidas de seguridad orientativas consideradas mínimas. IV Contestación a las alegaciones al Acuerdo de inicio En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: 1. En relación con la primera alegación denominada “Las cámaras colocadas para videovigilancia en el trabajo se sujetan a principios de proporcionalidad, necesidad y minimización de datos”. - Asegura la parte reclamada que las imágenes captadas por las cámaras de videovigilancia respetan en todo momento los derechos de los trabajadores y garantizan su dignidad en el entorno laboral. Manifiesta que esto se observa en la medida en que no se captan zonas privadas o de descanso. Al respecto, ha de subrayarse que el artículo 89 de la LOPDGDD que regula el derecho a la intimidad frente al uso de dispositivos de videovigilancia y de grabación de sonidos en el lugar de trabajo prohíbe en su apartado segundo la instalación de cámaras de videovigilancia en lugares de esas características en el ámbito laboral. Su incumplimiento supondría, por tanto, la inexistencia de una base de legitimación de las previstas en el artículo 6.1 del RGPD, que no es el objeto del presente procedimiento sancionador. - Por otra parte, en cuanto a la supuesta autorización con la que contaría la empresa por parte de los trabajadores para llevar a cabo las grabaciones, han de precisarse algunos aspectos: C/ Jorge Juan, 6 28001 – Madrid o En primer lugar, no puede confundirse, como hace la parte reclamada, la existencia de un consentimiento con la firma de los trabajadores a modo de “RECIBÍ” en la comunicación informativa de febrero de 2022 por la que se les informa de la existencia de un sistema de videovigilancia, así como sus fines. No puede olvidarse, además, que dicha comunicación es exigida por el artículo 89.1 de la LOPDGDD. o En segundo lugar, el consentimiento es una base de licitud de las previstas en el artículo 6 del RGPD por las que se legitima el www.aepd.es sedeaepd.gob.es 14/33 tratamiento, en concreto en el artículo 6.1
  14. a)del RGPD. Sin perjuicio de que el objeto del presente procedimiento sancionador sea el carácter excesivo del tratamiento y no su legitimación, se subraya que el consentimiento no puede operar, en el presente caso, como base legitimadora del tratamiento debido a la naturaleza de la relación entre las partes (empleador y empleados). Lo anterior significa que, aun cuando la parte reclamada contara con el consentimiento de los trabajadores, este no podría tener la consideración de válido en la medida en que existe una relación de desequilibrio entre las partes que impide que dicho consentimiento tuviera la consideración de “libre”. En este sentido, el considerando 43 del RGPD señala: “43. Para garantizar que el consentimiento se haya dado libremente, este no debe constituir un fundamento jurídico válido para el tratamiento de datos de carácter personal en un caso concreto en el que exista un desequilibro claro entre el interesado y el responsable del tratamiento (…)” Por su parte, las Directrices 5/2020 sobre el consentimiento en el sentido del Reglamento (UE) 2016/679 determinan: “21. También en el contexto del empleo se produce un desequilibrio de poder18. Dada la dependencia que resulta de la relación entre el empleador y el empleado, no es probable que el interesado pueda negar a su empleador el consentimiento para el tratamiento de datos sin experimentar temor o riesgo real de que su negativa produzca efectos perjudiciales. Parece poco probable que un empleado pudiera responder libremente a una solicitud de consentimiento de su empleador para, por ejemplo, activar sistemas de vigilancia por cámara en el lugar de trabajo o para rellenar impresos de evaluación, sin sentirse presionado a dar su consentimiento. Por tanto, el CEPD considera problemático que los empleadores realicen el tratamiento de datos personales de empleados actuales o futuros sobre la base del consentimiento, ya que no es probable que este se otorgue libremente. En el caso de la mayoría de estos tratamientos de datos en el trabajo, la base jurídica no puede y no debe ser el consentimiento de los trabajadores [artículo 6, apartado 1, letra a)] debido a la naturaleza de la relación entre empleador y empleado” Así, en el ámbito laboral la base legitimadora del tratamiento suele ser el contrato en los términos previstos en el artículo 6.1
  15. b)del RGPD. Por ora parte, en el ámbito de la videovigilancia con fines de seguridad, la base legitimadora se encuentra en el artículo 6.1
  16. e)del RGPD. - En relación con las alegaciones referentes a que “ningún trabajador permanece mucho tiempo en el puesto de trabajo” y, por tanto, “las grabaciones no se enfocan de manera constante sobre un único trabajador”, se subraya que las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/33 cámaras graban constantemente un puesto de trabajo, con independencia de quién sea el trabajador que lo ocupe. - Alega la parte reclamada que la finalidad fundamental de las cámaras es garantizar la seguridad, incluida la de los trabajadores, a cuyos efectos presenta un fragmento de un informe del Ministerio de Sanidad sobre las agresiones sufridas por el personal sanitario en general, ni siquiera dedicado específicamente al sector dental de manera específica. En cualquier caso, se subraya que el objeto de la infracción imputada y respecto a la que se presentan alegaciones, versa sobre el carácter excesivo de la grabación de los puestos de trabajo de los trabajadores (recepción, dirección y gabinetes) ligado a los fines laborales de la misma. No debe olvidarse que las cámaras tienen una doble finalidad tal y como se recoge en la comunicación realizada a los trabajadores de febrero de 2022, el informe del DPD aportado el 21 de julio de 2023 y en el propio RAT de la parte reclamada. 2. En cuanto a la segunda alegación denominada “Proporcionalidad de la medida”: - Señala la parte reclamada que la instalación de las cámaras es proporcional porque: (
  17. i)los trabajadores son plenamente conscientes de la existencia de cámaras, tal y como demuestra la comunicación efectuada al efecto, (
  18. ii)los propios trabajadores lo han solicitado para garantizar su seguridad (iii) hasta la fecha no se ha tenido que acceder a las grabaciones puesto que no se ha producido ningún incidente, (
  19. iv)las grabaciones se conservan únicamente durante 7 días, (
  20. v)no existe otra medida más adecuada para garantizar la misma finalidad y (
  21. vi)en caso de que fuera necesario acceder a las grabaciones solo accedería la persona responsable. Respecto a las manifestaciones anteriores deben hacerse varias precisiones: (
  22. i)Tal y como se ha señalado previamente, que los trabajadores tengan conocimiento de la existencia y uso de dispositivos de videovigilancia en el centro de trabajo, es una exigencia del artículo 89 de la LOPDGDD cuando se trata para fines laborales. Asimismo, el artículo 22 de la LOPDGDD exige, cuando la finalidad sea la seguridad la existencia de carteles informativos. Por tanto, la comunicación a la que hace referencia la parte reclamada no es más que el cumplimiento de las exigencias específicas de estos artículos en relación con el artículo 13 del RGPD. (
  23. ii)Se ha señalado ya que el consentimiento no puede operar en el contexto del presente caso, sin perjuicio, además, que el objeto del procedimiento sancionador es el carácter excesivo del tratamiento, no su licitud. (iii)Que no se haya tenido que acceder a las grabaciones porque no se han producido incidentes no refleja la proporcionalidad de la medida. Al contrario, podría cuestionarse la necesidad de la existencia de, al menos, 11 cámaras de videovigilancia en el interior de un establecimiento desde el año 2022 sin que se hayan producido incidentes. (
  24. iv)En relación con el plazo de conservación de las imágenes, se subraya que no es objeto del presente procedimiento sancionador una infracción del artículo 5.1
  25. e)del RGPD, sino 5.1
  26. c)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/33 (
  27. v)En cuanto a que no existe una medida más adecuada para garantizar la misma finalidad, se insiste en que el objeto del procedimiento sancionador es el carácter excesivo del tratamiento. (
  28. vi)Por último, respecto a las afirmaciones sobre que únicamente el responsable del tratamiento accede a las grabaciones, conviene recordar que lo contrario podría dar lugar a la infracción del artículo 5.1
  29. f)del RGPD, que exige contar con todas las medidas técnicas y organizativas para asegurar que no se producen accesos por terceros no autorizados a los datos personales. 3. Respecto a la existencia de cartelería: - Asegura la parte reclamada que no ha se ha tenido en cuenta la existencia de carteles que alerta sobre las cámaras. Se recuerda que su existencia es una obligación conforme al artículo 13 del RGPD en relación con el artículo 22 de la LOPDGDD, cuyo incumplimiento podría dar lugar al ejercicio de los poderes correctivos de esta autoridad de control. A la vista de lo anterior, no cabe estimar las alegaciones de la parte reclamada por las que insta al archivo de la infracción del artículo 5.1
  30. c)del RGPD por el exceso en la grabación, con fines laborales, de trabajadores en sus puestos de trabajo de forma permanente. Sin perjuicio de lo anterior, no se aprecia por esta instrucción la existencia de las circunstancias previstas en el artículo 83.2
  31. b)del RGPD, valoradas en el acuerdo de inicio. Por otra parte, se considera que debe valorarse a efectos del artículo 83.2
  32. a)del RGPD el número de afectados. Lo anterior puede suponer una minoración de la cuantía de la multa. V Primera infracción del artículo 5.1
  33. c)del RGPD. El art. 5.1
  34. c)RGPD dispone lo siguiente: Los datos personales serán: “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»)”. En cuanto al tratamiento con fines de videovigilancia, el artículo 22 de la LOPDGDD establece, como ya se ha indicado anteriormente, que las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. El tratamiento de datos personales está sometido al resto de los principios del tratamiento contenidos en el artículo 5 del RGPD. Destacaremos el principio de minimización de datos contenido en el artículo 5.1.
  35. c)del RGPD que dispone que los datos personales serán “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados”. Esto significa que en un tratamiento concreto sólo pueden tratarse los datos personales oportunos, que vengan al caso y que sean los estrictamente necesarios para cumplir la finalidad para la que son tratados. El tratamiento debe ser ajustado y proporcional a la finalidad a la que se dirige. La pertinencia en el tratamiento de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/33 datos debe producirse tanto en el momento de la recogida de los datos como en el posterior tratamiento que se realice de los mismos. Conforme a lo señalado, debe restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de estos. Por tanto, la instalación de cámaras de videovigilancia será una medida proporcional y justificada si se cumplen los siguientes requisitos: 1. Que se trate de una medida susceptible de conseguir el objetivo propuesto. 2. Que no exista otra medida más moderada para la consecución de tal propósito con igual eficacia. 3. Que la misma sea ponderada o equilibrada, por derivarse de ella más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto. Por ello, el responsable de un establecimiento que lleve a cabo un tratamiento con fines de videovigilancia en los términos anteriormente señalados podrá instalar cámaras de videovigilancia con la finalidad anteriormente descrita, solo en los lugares y en las circunstancias adecuadas, para preservar la seguridad dentro del propio establecimiento. Cuando se analiza la proporcionalidad, debe atenderse especialmente a si la medida es susceptible de conseguir el objetivo propuesto y si se pueden adoptar otros medios menos intrusivos en relación con el derecho fundamental a la protección de datos de carácter personal, a fin de preservar el poder de disposición y control de los datos personales por parte del interesado, así como para prevenir interferencias con otros derechos y libertades fundamentales, tales como la intimidad de las personas o el libre desarrollo de su personalidad. En cuanto a la proporcionalidad, la Sentencia del Tribunal Constitucional 207/1996, de 16 de diciembre, determina que se trata de “una exigencia común y constante para la constitucionalidad de cualquier medida restrictiva de derechos fundamentales, entre ellas las que supongan una injerencia en los derechos a la integridad física y a la intimidad, y más en derechos a la integridad física y a la intimidad, y más en particular de las medidas restrictivas de derechos fundamentales adoptadas en el curso de un proceso penal viene determinada por la estricta observancia del principio de proporcionalidad”. La afectación del derecho fundamental a la protección de datos de carácter personal sólo puede derivarse de la consecución de la finalidad pretendida por el tratamiento y con sujeción al principio de minimización, sin que sea suficiente su mera invocación para sacrificar el derecho fundamental, pues dada la posición preeminente de los derechos fundamentales en nuestro ordenamiento, esa modulación sólo se producirá en la medida estrictamente imprescindible para la consecución de los fines del tratamiento conforme a las reglas antedichas, lo que entraña la necesidad de proceder a una ponderación adecuada que respete la correcta definición y valoración constitucional del derecho fundamental en juego y del interés que se persiga con el tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/33 Por ello, una vez que se determine que un tratamiento con fines de videovigilancia con la finalidad de procurar la seguridad de personas, bienes e instalaciones es una medida susceptible de conseguir el objetivo propuesto, y no exista otra medida más moderada para la consecución de tal propósito con igual eficacia, habrá que valorar que la misma sea ponderada o equilibrada. En el supuesto examinado, el responsable del tratamiento ha instalado un sistema de videovigilancia con la finalidad prevista en el artículo 22 de la LOPDGDD. Así, se encuentran instaladas, al menos, de 11 cámaras de seguridad en la clínica, ubicadas en los siguientes lugares: 2 en la recepción, una cámara en cada uno de los cinco gabinetes, en almacén, en laboratorio, pasillo y en despacho. Por otro lado, hay otras dos cámaras de seguridad gestionadas por la empresa Securitas Direct, ubicadas en otro pasillo de la clínica y en la recepción, de las cuales no tienen acceso a las imágenes. Únicamente la empresa Securitas es la que tiene acceso a las mismas. En el transcurso de las actuaciones de investigación, el responsable manifiesta que las imágenes grabadas no contienen sonido y únicamente tienen acceso a las imágenes el director de clínica en el ordenador de su despacho. Dicho monitor se encuentra en el despacho del director de la clínica, siendo ésta la única persona autorizada para acceder a dichas imágenes. Además, dicho ordenador se encuentra bloqueado con una clave de acceso para evitar que terceras personas puedan acceder a las imágenes. Ahora bien, consta que el espacio captado por las cámaras instaladas en los gabinetes incluye la grabación de imágenes durante el tratamiento de los pacientes en el quirófano. Por su propia naturaleza, se trata de una ubicación en la que los afectados por el tratamiento pueden permanecer largo tiempo, y en una situación en la que pueden verse afectados otros derechos y libertades, tales como su intimidad. En este sentido, la captación permanente en los gabinetes cuando los pacientes se encuentran dentro no cumpliría con los requisitos del principio de minimización, de realizar un tratamiento de datos personales “adecuado, pertinente y limitado a lo necesario en relación con los fines para los que son tratados”. A este respecto es importante reseñar que, conforme a la información aportada por el responsable, las imágenes captadas son conservadas durante un plazo de siete días. Con ello, los datos de todos los pacientes son guardados durante ese período. La afectación al derecho fundamental a la protección de datos personales, entendido como el poder de disposición y control del que es titular el interesado, es muy superior al presunto interés que pretende conseguir el reclamado, cual es la preservación de la seguridad de las personas y bienes. En consecuencia, se considera que los hechos acreditados son constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 5.1.
  36. c)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/33 VI Tipificación y calificación a efectos de prescripción de la primera infracción del artículo 5.1.
  37. c)del RGPD La citada infracción del artículo 5.1.
  38. c)del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: 1. los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)”. A efectos del plazo de prescripción de las infracciones, la infracción señalada en el párrafo anterior se considera muy grave conforme al artículo 72.1 de la LOPDGDD, que establece que: “En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  39. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…).” VII Propuesta de sanción por la primera infracción del artículo 5.1
  40. c)del RGPD. A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  41. a)a
  42. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  43. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/33 hayan sufrido;
  44. b)la intencionalidad o negligencia en la infracción;
  45. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  46. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  47. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  48. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  49. g)las categorías de los datos de carácter personal afectados por la infracción;
  50. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  51. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  52. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42,
  53. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo con lo previsto en el artículo 83.2.
  54. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  55. a)El carácter continuado de la infracción.
  56. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  57. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  58. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  59. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  60. f)La afectación a los derechos de los menores.
  61. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  62. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción por infracción del artículo 5.1.
  63. c)del RGPD, procede graduar la multa teniendo en cuenta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/33 -la naturaleza de la infracción: al disponer de un sistema de videovigilancia orientado hacia la zona de los gabinetes/quirófanos de manera continuada, tratando datos de personas físicas (pacientes) identificables en número indeterminado, que puede, además, afectar a otros derechos y libertades de los pacientes (art. 83.2
  64. a)RGPD). -la intencionalidad o negligencia de la infracción, (art. 83.2
  65. b)RGPD), dado que no se ha realizado la ponderación de proporcionalidad previa y requerida antes de implantar el sistema de videovigilancia que iba a afectar a todos los pacientes que entren en el gabinete/quirófano. Considerando los factores expuestos, la valoración que alcanza la cuantía de la multa es de 5.000 euros por infracción del artículo 5.1.
  66. c)del RGPD. VIII Terminación del procedimiento relativo a la primera infracción del artículo 5.1
  67. c)del RGPD. El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” IX Pago voluntario y reconocimiento de responsabilidad respecto a la primera infracción del artículo 5.1
  68. c)del RGPD. De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y de realizar el pago voluntario de la sanción propuesta por el incumplimiento del artículo 5.1
  69. c)del RGPD anteriormente señalado, lo que supondría dos reducciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/33 acumulables de un 20% cada una. Con la aplicación de estas dos reducciones, la sanción quedaría establecida en 3000,00 euros y su pago implicaría la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la notificación del citado acuerdo de inicio, AXARQUIA VELEZ DENTAL, S.L. con NIF B93418267, procedió al pago de la sanción en la cuantía de 3000,00 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio, lo que implica el reconocimiento de la responsabilidad en relación con los hechos recogidos en el expediente de referencia, en concreto, con respecto a la infracción del artículo 5.1.
  70. c)del RGPD, por la instalación de cámaras en los gabinetes/quirófanos con fines de seguridad, renunciando esa mercantil a ejercer cualquier acción o recurso en vía administrativa contra la sanción impuesta. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. X Segunda infracción del artículo 5.1
  71. c)del RGPD Tal y como se ha señalado, el art. 5.1
  72. c)RGPD dispone lo siguiente: Los datos personales serán: “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»)”. Por su parte, el artículo 89 de la LOPDGG señala: “1. Los empleadores podrán tratar las imágenes obtenidas a través de sistemas de cámaras o videocámaras para el ejercicio de las funciones de control de los trabajadores o los empleados públicos previstas, respectivamente, en el artículo 20.3 del Estatuto de los Trabajadores y en la legislación de función pública, siempre que estas funciones se ejerzan dentro de su marco legal y con los límites inherentes al mismo. Los empleadores habrán de informar con carácter previo, y de forma expresa, clara y concisa, a los trabajadores o los empleados públicos y, en su caso, a sus representantes, acerca de esta medida. En el supuesto de que se haya captado la comisión flagrante de un acto ilícito por los trabajadores o los empleados públicos se entenderá cumplido el deber de informar cuando existiese al menos el dispositivo al que se refiere el artículo 22.4 de esta ley orgánica. 2. En ningún caso se admitirá la instalación de sistemas de grabación de sonidos ni de videovigilancia en lugares destinados al descanso o esparcimiento de los trabajadores o los empleados públicos, tales como vestuarios, aseos, comedores y análogos. 3. La utilización de sistemas similares a los referidos en los apartados anteriores para la grabación de sonidos en el lugar de trabajo se admitirá únicamente cuando resulten relevantes los riesgos para la seguridad de las instalaciones, bienes y personas derivados de la actividad que se desarrolle en el centro de trabajo y siempre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/33 respetando el principio de proporcionalidad, el de intervención mínima y las garantías previstas en los apartados anteriores. La supresión de los sonidos conservados por estos sistemas de grabación se realizará atendiendo a lo dispuesto en el apartado 3 del artículo 22 de esta ley”. En el ámbito laboral, la videovigilancia se ha convertido en una herramienta comúnmente utilizada por los empleadores que permite garantizar la seguridad de las instalaciones, proteger la propiedad intelectual y física de la empresa, y supervisar el cumplimiento de las obligaciones laborales a cargo de los trabajadores. Sin embargo, la utilización de sistemas de videovigilancia en el lugar de trabajo debe realizarse respetando el derecho a la privacidad de los empleados y siempre de conformidad con la normativa de protección de datos vigente. El marco normativo que regula estas prácticas incluye el RGPD, LOPDGDD, así como la Ley de Prevención de Riesgos Laborales y la jurisprudencia del Tribunal Constitucional y del Tribunal Supremo en materia de derechos fundamentales de los trabajadores. Es importante, también, la observancia de las guías publicadas por la Agencia Española de Protección de Datos (AEPD), organismo público encargado de velar por el cumplimiento de la normativa en materia de protección de datos en España. La videovigilancia en el trabajo no puede ser ilimitada y debe sujetarse a principios de proporcionalidad, necesidad y minimización de datos, asegurando que se respeten los derechos fundamentales de los trabajadores y se proteja su dignidad en el entorno laboral. Debe tener una base legal clara, como puede ser el consentimiento del interesado, el cumplimiento de una obligación legal o el interés legítimo del responsable. La LOPDGDD (art. 89) establece que los empleadores podrán tratar las imágenes obtenidas a través de sistemas de cámaras o videocámaras para el ejercicio de las funciones de control de los trabajadores o los empleados públicos previstas, respectivamente, en el artículo 20.3 ET y en la legislación de función pública, siempre que estas funciones se ejerzan dentro de su marco legal y con los límites inherentes al mismo. La AEPD establece lo siguiente al respecto: -el ET faculta al empresario para adoptar las medidas que estime más oportunas para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, que deberán guardar la consideración debida a la dignidad humana y tener en cuenta la capacidad real de los trabajadores con discapacidad; -los sistemas de videovigilancia para control empresarial sólo se adoptarán cuando exista una relación de proporcionalidad entre la finalidad perseguida y el modo en que se traten las imágenes y no haya otra medida más idónea; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/33 -y se tendrá en cuenta el derecho a la intimidad y a la propia imagen de los trabajadores. El propio RGPD (art. 22), al tratar los tratamientos con fines de videovigilancia, considera que “las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones.” En el caso que nos ocupa, consta la grabación de imágenes en el interior del local con la finalidad de garantizar la seguridad de los trabajadores, clientes, usuarios y todas aquellas personas que concurran al interior de las instalaciones de la empresa. Asimismo, se informa que dichas grabaciones podrán ser usadas para la vigilancia y control de los trabajadores para verificar el cumplimiento de sus obligaciones y deberes laborales. Dicha información se conservará durante el periodo máximo de un mes desde su captación. Sin embargo, todo lo que la empresa pudiera argumentar para justificar una restricción de los derechos fundamentales de las personas trabajadoras debe construirse sobre razones de necesidad estricta, acreditándose que no es posible otra forma de alcanzar el legítimo objetivo perseguido, porque no existe medio razonable para lograr una adecuación entre el interés de la persona trabajadora y el de la empresa donde presta sus servicios. Esto nos conduce a que el centro de trabajo es un espacio en el que no puede obviarse el derecho a la intimidad de las personas trabajadoras, de tal manera que lo que suceda en el mismo debe estar amparado por el artículo 18.1 de la CE, si bien mediante un análisis detallado y conjunto de los hechos sería posible atemperar el derecho a la intimidad de la persona trabajadora. Así, la limitación del derecho fundamental a la intimidad por parte de la empresa solo encontrará amparo en la medida en que la propia naturaleza del trabajo comprometido implique restricción del derecho o bien cuando quede acreditada una determinada necesidad o un interés empresarial, sin que sea suficiente su mera afirmación de esa necesidad o interés para sacrificar el derecho fundamental de la persona trabajadora. Por tanto, las limitaciones o modulaciones tienen que ser las estrictamente necesarias para satisfacer un interés empresarial; de modo que, si se encuentran otras vías para satisfacer el mencionado interés que afecten de manera menos agresiva al derecho fundamental en cuestión, habrá que emplearlas frente a otras más agresivas. Por tanto, en cuanto a la captación de imágenes de puestos de trabajo, (director, recepción y trabajadores durante la asistencia en los gabinetes) de forma permanente, se significa que, por su propia naturaleza, se trata de una ubicación en la que los afectados por el tratamiento pueden permanecer largo tiempo, y en una situación en la que puede verse afectado su derecho fundamental a la protección de datos de carácter personal, así como otros derechos y libertades, tales como su intimidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/33 En este sentido, la captación permanente no cumpliría con los requisitos del principio de minimización, de realizar un tratamiento de datos personales “adecuado, pertinente y limitado a lo necesario en relación con los fines para los que son tratados”. De conformidad con las evidencias de las que se dispone en el presente momento de del procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 5.1.
  73. c)del RGPD. XI Propuesta de sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  74. a)a
  75. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  76. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  77. b)la intencionalidad o negligencia en la infracción;
  78. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  79. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  80. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  81. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  82. g)las categorías de los datos de carácter personal afectados por la infracción;
  83. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  84. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  85. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42,
  86. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/33 dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo con lo previsto en el artículo 83.2.
  87. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  88. a)El carácter continuado de la infracción.
  89. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  90. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  91. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  92. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  93. f)La afectación a los derechos de los menores.
  94. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  95. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” Lo anterior implica, de acuerdo con las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD, que la cuantía de la multa para cada una de las infracciones debe tener como punto de partida, tres elementos: el volumen de negocios, la categorización de las infracciones según su propia naturaleza (es decir, si se trata de una infracción del 83.4, 83.5 u 83.6 RGPD) y el nivel de gravedad de la infracción en cada caso concreto (de acuerdo con el artículo 83.2 a),
  96. b)y g)). En cualquier caso, la multa a imponer debe ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. En este sentido, se considera, con carácter previo, el volumen de negocio de la parte reclamada de 972.624 € en el año 2021. Asimismo, debe atenderse a la categorización de la infracción. La infracción de lo previsto en el artículo 5.1
  97. c)del RGPD se encuentra tipificado en el artículo 83.5 del RGPD. En virtud del mismo, la sanción que se imponga por cada una de las infracciones anteriores podrá ser de 20.000.000 de euros, como máximo, o, tratándose de una empresa, una cuantía equivalente al 4% como máximo del volumen de negocio anual, optándose por la de mayor cuantía. El 4% del volumen de negocio de la parte reclamada es de 38.904, 96 euros. Conforme a lo anterior, en relación con el nivel de gravedad en los términos del RGPD, se estima que concurren las circunstancias siguientes: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de la que se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/33 trate, así como el número de afectados y el nivel de daños y perjuicios que hayan sufrido (artículo 83.2 a)): al disponer de un sistema de videovigilancia orientado hacia los puestos de trabajo de manera continuada, tratando datos de personas físicas identificables, que puede, además, afectar a otros derechos y libertades de los empleados (art. 83.2
  98. a)RGPD). Se subraya que el potencial número de afectados son los empleados de la parte reclamada. Por otra parte, en relación con la duración del tratamiento, este se remonta, al menos hasta el año 2022. En consecuencia, se considera que el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la segunda infracción dl artículo 5.1
  99. c)al vulnerar lo establecido en el RGPD, permite fijar una sanción de 3.000 euros (tres mil euros). XII Medidas correctivas Confirmada la infracción, puede acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  100. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. En tal caso, en la resolución que se adopte, esta Agencia podrá requerir a la entidad responsable para que, en el plazo de un mes a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas siguientes: - Redirija las cámaras de seguridad sin que pueda captar de manera continuada la zona de los gabinetes/quirófanos, lo que deberá asimismo ser acreditado ante esta Agencia. Redirija las cámaras de seguridad para evitar la captación excesiva de los puestos de trabajo de los trabajadores (recepción, dirección y gabinete/quirófano) de manera continuada. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. A la vista de lo expuesto se procede a emitir la siguiente PROPUESTA DE RESOLUCIÓN -Que por la Presidencia de la Agencia Española de Protección de Datos se resuelva DECLARAR la terminación del procedimiento con respecto a la infracción del artículo 5.1.
  101. c)del RGPD, tipificada en el artículo 83.5 del RGPD, por la instalación de cámaras C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/33 en los gabinetes/quirófanos, de conformidad con lo establecido en el artículo 85 de la LPACAP al haberse acogido la parte reclamada al pronto pago y haber reconocido su responsabilidad, mediante el abono de 3.000 euros. -Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a AXARQUIA VÉLEZ DENTAL, S.L., con NIF B93418267 por una infracción del artículo 5.1
  102. c)del RGPD, tipificado en el artículo 83.5 del RGPD, con una multa de 3.000 euros, por la captación excesiva de los puestos de trabajo de sus empleados. -Que por la Presidencia de la Agencia Española de Protección de Datos se ordene a AXARQUIA VÉLEZ DENTAL, S.L., con NIF B93418267, que en virtud del artículo 58.2.
  103. d)del RGPD, en el plazo máximo de 1 mes, desde la ejecutividad de la resolución que se dicte: o Acredite haber redirigido las cámaras de seguridad de los gabinetes/quirófanos sin que pueda captar de manera continuada la zona de los gabinetes. o Acredite haber redirigido las cámaras de seguridad para evitar la captación excesiva de los puestos de trabajo de los trabajadores (recepción, dirección y gabinete/quirófano) de manera continuada. Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de esta. Con la aplicación de esta reducción, la sanción quedaría establecida en 2.400 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. A estos efectos, en caso de acogerse a esta reducción, deberá remitir a la Subdirección General de Inspección de datos comunicación expresa del desistimiento o renuncia a cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº IBAN: ES00-0000-0000-00000000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/33 926-250625 C.C.C. INSTRUCTOR/A ANEXO Índice del expediente EXP202305156 29/03/2023 Reclamación de D.D.D. 24/04/2023 Traslado reclamación a AXARQUIA VELEZ DENTAL, S.L. 24/05/2023 Respuesta solicitud de información de AXARQUIA-VELEZ DENTAL SL 29/05/2023 Admisión a trámite a D.D.D. 28/06/2023 Requerimiento Axarquía a AXARQUIA VELEZ DENTAL, S.L. 20/07/2023 Requerimiento reclamante a D.D.D. 21/07/2023 Alegaciones de AXARQUIA-VELEZ DENTAL SL 10/08/2023 imagen fachada 1 10/08/2023 imagen fechada 2 10/08/2023 Diligencia fachada 2022 10/08/2023 web clínica 10/08/2023 Diligencia web clínica 16/08/2023 Requerimiento 2º Axarquía a AXARQUIA VELEZ DENTAL, S.L. 16/08/2023 Web grupo dental clinics 16/08/2023 Diligencia web grupo dental clinics 07/09/2023 Respuesta requerimiento de AXARQUIA-VELEZ DENTAL SL 14/09/2023 Inf. actuaciones prevs. Axarquía Velez Dental 18/11/2024 Acuerdo de inicio a AXARQUIA VÉLEZ DENTAL, S.L. 18/11/2024 Escrito a D.D.D. 27/11/2024 Alegaciones de AXARQUIA-VELEZ DENTAL SL 04/12/2024 Amp. Plazo a AXARQUIA VÉLEZ DENTAL, S.L. 11/12/2024 Alegaciones de AXARQUIA VELEZ DENTAL S.L 11/12/2024 Reconocimiento y/o pago voluntario de AXARQUIA-VELEZ DENTAL SL 30/05/2025 Escrito a AXARQUIA VÉLEZ DENTAL, S.L. 05/06/2025 Escrito de AXARQUIA-VELEZ DENTAL SL >> SEGUNDO: En fecha 23 de octubre de 2025, la parte reclamada procedió al pago de la sanción en la cuantía de 2.400 euros, haciendo uso de la reducción prevista en la Propuesta de resolución transcrita anteriormente. Asimismo, en el escrito de reconocimiento de responsabilidad presentado, AXARQUIA-VELEZ DENTAL SL solicita que se le faciliten instrucciones claras y detalladas sobre la forma correcta de aplicar las medidas ordenadas, a fin de garantizar la correcta ejecución de las medidas impuestas y su acreditación ante la AEPD. TERCERO: En la propuesta de resolución transcrita anteriormente se constataron los hechos constitutivos de infracción, y se propuso que, por la Presidencia, se impusiera al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa, de acuerdo con lo establecido en el citado artículo 58.2
  104. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/33 En dicho acto se establece por tanto cuál es la infracción cometida, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. Se advierte por tanto sobre lo dispuesto en el artículo 5.2 del RGPD, que establece el principio de responsabilidad proactiva cuando señala que “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo”. Este principio hace referencia a la obligación que recae en el responsable del tratamiento no solo de diseñar, implementar y observar las medidas jurídicas, técnicas y organizativas adecuadas para que el tratamiento de datos sea acorde con la normativa, sino de permanecer activamente atento a lo largo de todo el ciclo de vida del tratamiento para que ese cumplimiento sea correcto, siendo además capaz de demostrarlo. CUARTO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción, en relación con los hechos a los que se refiere la Propuesta de resolución. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento, la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/33 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Pago voluntario y reconocimiento de responsabilidad De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en la propuesta de resolución notificada se le permitía llevar a cabo el pago voluntario de la sanción propuesta, lo que supondría la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 2.400,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la citada propuesta de resolución, y antes de que se dictase resolución por parte de esta autoridad, la parte reclamada, en fecha 23 de octubre de 2025, procedió a realizar el pago voluntario, acogiéndose a la reducción del 20% y renunciado a cualquier acción o recurso en vía administrativa. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del alto tribunal en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva de la propuesta de resolución transcrita en la presente resolución. La suma de las citadas cuantías arroja una cantidad total de 8.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/33 Tras haber procedido AXARQUIA VELEZ DENTAL, S.L al pronto pago, con respecto a la infracción del artículo 5.1
  105. c)del RGPD, por la instalación de cámaras en los gabinetes/quirófanos, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 40% del total mencionado, lo cual supone la cantidad definitiva de 3.000 euros. Tras haber procedido AXARQUIA VELEZ DENTAL, S.L al pronto pago, con respecto a la infracción del artículo 5.1
  106. c)del RGPD, por la captación excesiva de los puestos de trabajo de sus empleados, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 20% del total mencionado, lo cual supone la cantidad definitiva de 2.400 euros. SEGUNDO: DECLARAR la terminación del procedimiento EXP202400055, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: ORDENAR a AXARQUIA VELEZ DENTAL, S.L., con NIF B9341826, para que en el plazo máximo de 1 mes desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho de la propuesta de resolución transcrita en la presente resolución. CUARTO: NOTIFICAR la presente resolución a AXARQUIA VELEZ DENTAL, S.L., con NIF B93418267. QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, por parte de la presente autoridad se acepta la renuncia expresamente manifestada por la parte reclamada, no cabiendo en consecuencia la interposición de recurso potestativo de reposición frente a la presente resolución, todo ello sin perjuicio de la posibilidad de acudir a la vía jurisdiccional contenciosoadministrativa. En consecuencia, teniendo en cuenta lo dispuesto en el artículo 90 de la LPACAP, dado que no cabe ningún recurso en vía administrativa al haber renunciado expresamente, la presente resolución será plenamente ejecutiva a partir de la notificación de la misma. No obstante, conforme a lo previsto en el artículo 90.3
  107. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/33 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. 1573-011025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.