1/9 Procedimiento Nº: PS/00444/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 27 de octubre de 2020 tuvo entrada en la Agencia Española de Protección de Datos (AEPD) un escrito remitido por el AYUNTAMIENTO de ***LOCALIDAD.1 (en lo sucesivo, el reclamante) con el que anexa el Acta de denuncia levantada por la Policía Local en fecha 09/10/2020 referente a que el sistema de videovigilancia instalado en la Cafetería-Bar “***BAR.1”, de la que es titular presuntamente D. A.A.A., con NIF ***NIF.1 (en adelante, el reclamado), incumple la normativa de protección de datos de carácter personal. En el Acta de denuncia, los funcionarios de la Policía Local actuantes hacen constar que con ocasión de la inspección de fecha 09/10/2020 a las 2:30 horas en el local de la Cafetería-bar “***BAR.1”, sito en ***DIRECCIÓN.1, ***LOCALIDAD.1, verificaron la existencia de una “Cámara de videovigilancia ubicada en una de las esquinas del habitáculo destinado al consumo de clientes y entrada del local, la cual está conectada a la red eléctrica y su objetivo dirigido a la barra del local”. Hacen constar, asimismo, “Que en la pared figura un cartel anunciando que se trata de una zona video vigilancia sin más datos”. Se acompaña al Acta de denuncia un reportaje fotográfico que incluye imágenes de la videocámara instalada en el local y del cartel ubicado en él que informa de la captación de imágenes a través del sistema de videovigilancia. SEGUNDO: En el marco del expediente E/9558/2020 y, de conformidad con lo previsto en el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantías de los Derechos Digitales (LOPDGDD), la Directora de la AEPD acordó admitir a trámite la presente reclamación en fecha 27/11/2020. El acuerdo de admisión a trámite se notificó al reclamante por medios electrónicos. El certificado emitido por la FNMT que obra en el expediente acredita que la notificación fue aceptada por el reclamante en fecha 30/11/2020. TERCERO: Con fecha 9 de febrero de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD. CUARTO: En fecha 09/05/21 se recibe escrito de alegaciones del reclamado argumentado lo siguiente en relación a los hechos objeto de traslado: “Que las cámaras instaladas en el local sito en ***LOCALIDAD.1, ***DIRECCIÓN.1, conocido comercialmente como Bar ***BAR.1 disponen de la correspondiente inscripC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 ción en el Registro General de Protección de Datos, con códigos de inscripción ***CÓDIGO.1 y ***CÓDIGO.2. Inscripción realizada en fecha 04-06-2014 por la entidad ***ENTIDAD.1 de la que soy Administrador Único y que es la titular de la actividad desarrollada, puesto que yo soy titular únicamente de un negocio de peluquería sito en un domicilio distinto según acredito con certificado de la AEAT. La denuncia fue interpuesta por error a mi nombre por la Policía Local de ***LOCALIDAD.1 porque la licencia de actividad está a mi nombre, existiendo un expediente de cambio de titularidad en el Ayuntamiento de ***LOCALIDAD.1”. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS Primero. Los hechos traen causa de la reclamación de fecha 27/10/20 por medio de la cual se traslada por la Policía Local (Ayuntamiento ***LOCALIDAD.1) que el sistema de videovigilancia instalado en la Cafetería-Bar “***BAR.1”, de la que es titular presuntamente D. A.A.A., con NIF ***NIF.1 (en adelante, el reclamado), incumple la normativa de protección de datos de carácter personal. Segundo. Consta acreditada la presencia de cartel informativo el cual no se ajusta a la legislación vigente al solo informar que se trata de una zona video-vigilada, sin más datos adicionales. Tercero. Consta acreditado que el reclamado—Sr. A.A.A.—no es el responsable de la instalación de las cámaras, ni el responsable que el mismos disponga de dispositivo informativo, al haberse producido un cambio de titularidad en la actividad del establecimiento. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679, de 27 de abril, del Parlamento Europeo y del Consejo, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en adelante, RGPD), reconoce a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y resolver este procedimiento. El artículo 63.2 de la LOPDGDD determina que “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 las normas generales sobre los procedimientos administrativos.” II A tenor de la definición de “datos personales” que ofrece el artículo 4.1 del RGPD, la imagen de una persona física tiene el carácter de dato personal. Así pues, conforme al artículo 1.2 del RGPD, la imagen de una persona física debe ser objeto de la protección dispensada por este Reglamento El artículo 12.1 del RGPD señala: “1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14”. El RGPD determina qué información debe de facilitarse al interesado respecto al tratamiento de sus datos personales y diferencia a tal efecto dos supuestos: que los datos se recaben del propio titular (artículo 13 RGPD) o que se obtengan de otra fuente (artículo 14 RGPD). El artículo 13 del RGPD dispone: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
- a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
- b)los datos de contacto del delegado de protección de datos, en su caso;
- c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
- d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
- e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
- f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9
- a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
- b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
- c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
- d)el derecho a presentar una reclamación ante una autoridad de control;
- e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
- f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.” Respecto al modo en el que el responsable del tratamiento puede facilitar al afectado la información que preceptivamente ha de proporcionarle, el artículo 12.7 RGPD indica: “La información que deberá facilitarse a los interesados en virtud de los artículos 13 y 14 podrá transmitirse en combinación con iconos normalizados que permitan proporcionar de forma fácilmente visible, inteligible, y claramente legible una adecuada visión de conjunto del tratamiento previsto”. Paralelamente, el artículo 22 de la LOPDGDD –“Tratamientos con fines de videovigilancia”- contiene normas específicas en la materia y dispone lo siguiente: “1. Las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. 2. Sólo podrán captarse imágenes de la vía pública en la medida en que resulte imC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 prescindible para la finalidad mencionada en el apartado anterior. No obstante, será posible la captación de la vía pública en una extensión superior cuando fuese necesario para garantizar la seguridad de bienes o instalaciones estratégicos o de infraestructuras vinculadas al transporte, sin que en ningún caso pueda suponer la captación de imágenes del interior de un domicilio privado. 3. Los datos serán suprimidos en el plazo máximo de un mes desde su captación, salvo cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En tal caso, las imágenes deberán ser puestas a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación. No será de aplicación a estos tratamientos la obligación de bloqueo prevista en el artículo 32 de esta ley orgánica. 4. El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información. En todo caso, el responsable del tratamiento deberá mantener a disposición de los afectados la información a la que se refiere el citado reglamento. 5. Al amparo del artículo 2.2.
- c)del Reglamento (UE) 2016/679, se considera excluido de su ámbito de aplicación el tratamiento por una persona física de imágenes que solamente capten el interior de su propio domicilio. Esta exclusión no abarca el tratamiento realizado por una entidad de seguridad privada que hubiera sido contratada para la vigilancia de un domicilio y tuviese acceso a las imágenes. 6. El tratamiento de los datos personales procedentes de las imágenes y sonidos obtenidos mediante la utilización de cámaras y videocámaras por las Fuerzas y Cuerpos de Seguridad y por los órganos competentes para la vigilancia y control en los centros penitenciarios y para el control, regulación, vigilancia y disciplina del tráfico, se regirá por la legislación de transposición de la Directiva (UE) 2016/680, cuando el tratamiento tenga fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluidas la protección y la prevención frente a las amenazas contra la seguridad pública. Fuera de estos supuestos, dicho tratamiento se regirá por su legislación específica y supletoriamente por el Reglamento (UE) 2016/679 y la presente ley orgánica. 7. Lo regulado en el presente artículo se entiende sin perjuicio de lo previsto en la Ley 5/2014, de 4 de abril, de Seguridad Privada y sus disposiciones de desarrollo. 8. El tratamiento por el empleador de datos obtenidos a través de sistemas de cámaras o videocámaras se somete a lo dispuesto en el artículo 89 de esta ley orgánica.” Con el propósito de que pueda cumplirse de una manera concisa y comprensible el deber de informar al interesado que impone al responsable del tratamiento el artículo 12 del RGPD, el artículo 22.4 de la LOPDGDD prevé un sistema de información por capas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 La primera capa, que habrá de referirse, al menos, a la existencia del tratamiento; a la identidad del responsable y a la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del RGPD, se contendrá en un dispositivo cuyo diseño y ubicación deben ser tales que el afectado tenga una visión clara de la información disponible sobre el tratamiento de sus datos personales y sobre dónde y cómo encontrar la información detallada. La importancia de proporcionar esta información por adelantado surge, en particular, del considerando 39 del RGPD. No resultará necesario especificar la ubicación exacta del equipo de videovigilancia, pero, sin embargo, sí deberá quedar bien claro el contexto de la vigilancia. La información de la segunda capa tiene que estar disponible en un lugar fácilmente accesible al afectado, ya sea una hoja informativa en una recepción, cajero, etc. ..., colocada en un espacio público visible o en una dirección web y habrá de referirse al resto de los aspectos que deben ser objeto de información con arreglo al artículo 13 del RGPD. III En resumen, tomando en consideración lo expuesto en el Fundamento precedente, para que el tratamiento de la imagen de las personas físicas a través sistemas de videovigilancia sea respetuoso con la normativa vigente en materia de protección de datos personales deberá de cumplir estos requisitos: - Respetar el principio de proporcionalidad. - Cuando el sistema esté conectado a una central de alarma, únicamente podrá ser instalado por una empresa de seguridad privada que cumpla los requisitos del artículo 5 de la Ley 5/2014, de 4 de abril, de Seguridad Privada. - Las videocámaras no podrán captar imágenes de las personas que se encuentren fuera del espacio privado en donde esté instalado el sistema de videovigilancia ya que el tratamiento de imágenes en lugares públicos sólo puede ser realizado, salvo que concurra autorización gubernativa, por las Fuerzas y Cuerpos de Seguridad. Tampoco pueden captarse ni grabarse espacios propiedad de terceros sin el consentimiento de sus titulares, o, en su caso, de las personas que en ellos se encuentren. Esta regla admite alguna excepción ya que, en ocasiones, para la protección de espacios privados en los que se hayan instalado cámaras en fachadas o en el interior, puede ser necesario, para garantizar la finalidad de seguridad, la grabación de una porción de la vía pública. Es decir, las cámaras y videocámaras instaladas con fines de seguridad no podrán obtener imágenes de la vía pública salvo que resulte imprescindible para dicho fin o resulte imposible evitarlo por razón de la ubicación de aquéllas. Y, extraordinariamente, también se recogerá el espacio mínimo para dicha finalidad. Por lo tanto, las cámaras podrían excepcionalmente captar la porción de espacio público mínimamente necesaria para la finalidad de seguridad que se pretende. - El deber de informar a los afectados previsto en los artículos 12 y 13 del RGPD y 22 de la LOPDGDD, en los términos ya señalados. - El responsable del tratamiento deberá llevar un registro de actividades de los tratamientos efectuados bajo su responsabilidad en el que se incluya la información a la que hace referencia el artículo 30.1 del RGPD. - Las cámaras instaladas no pueden obtener imágenes de espacio privativo de tercero y/o espacio público sin causa justificada debidamente acreditada ni pueden afectar a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 intimidad de transeúntes que transiten libremente por la zona. No está permitida, por tanto, la colocación de cámaras hacia la propiedad privada de vecinos con la finalidad de intimidarlos o afectar a su ámbito privado sin causa justificada. - En ningún caso se admitirá el uso de prácticas de vigilancia más allá del entorno que es objeto de la instalación, no pudiendo afectar a los espacios públicos circundantes, a edificios contiguos o a vehículos distintos de los que accedan al espacio vigilado. Para facilitar la consulta, la Agencia Española de Protección de Datos, a través de su página web [https://www.aepd.es], ofrece acceso a la legislación en materia de protección de datos personales, incluyendo el RGPD y la LOPDGDD (apartado “Informes y resoluciones” / “normativa”); a la Guía sobre el uso de videocámaras para seguridad y otras finalidades y a la Guía para el cumplimiento del deber de informar (ambas disponibles en el apartado “Guías y herramientas”). También resulta de interés en el caso de que se realicen tratamientos de datos de bajo riesgo, la herramienta gratuita Facilita (en el apartado “Guías y herramientas”) que, mediante unas preguntas concretas, permite valorar la situación del responsable respecto del tratamiento de datos personales que lleva a cabo y, en su caso, generar diversos documentos, cláusulas informativas y contractuales, así como un anexo con medidas de seguridad orientativas consideradas mínimas. IV La infracción de la normativa de protección de datos atribuida al reclamado que motiva la apertura del presente expediente sancionador se concreta en que el cartel instalado en el establecimiento de hostelería del que es titular, que anuncia la existencia de una zona videovigilada, carece de la información que, preceptivamente, debe contener de conformidad con los artículos 12 y 13 RGPD en relación con el artículo 22 LOPDGDD. En el Acta de denuncia remitida a esta Agencia por el reclamante, los funcionarios de la Policía Local hicieron constar que en la Cafetería-Bar ***BAR.1 había instalada una cámara de videovigilancia conectada a la red eléctrica y un cartel que informaba de la existencia de una zona video vigilada, sin que se incluyera en él ninguna otra información. El reportaje fotográfico que obra en el expediente, aportado por la reclamante, revela que en el citado establecimiento de hostelería se realizaba un tratamiento de datos personales mediante la captación de imágenes por videovigilancia y que el cartel que informaba de la existencia de una zona sometida a la captación de imágenes no ofrecía la información que a tenor del RGPD está obligado a proporcionar, pues no se incluían en él los datos de identidad del responsable del tratamiento; ni sus datos de contacto; ni tampoco se informaba de la posibilidad de ejercitar los derechos que el RGPD reconoce a los interesados en los artículos 15 a 22. Tal y como se expone en el Fundamento II de este acuerdo, el responsable del tratamiento - el reclamado, en su condición de titular del establecimiento- está obligado a informar a los interesados, en el momento de la recogida de sus datos personales, en los términos que detalla el artículo 13 del RGPD. Se explica también en ese Fundamento que la aplicación conjunta de los artículos 12.7 RGPD y 22.4 LOPDGDD permite que la información que detalla el artículo 13 RGPD se facilite a través de un disposiC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 tivo o cartel ubicado en un lugar de fácil visibilidad en el cual conste la existencia de cámaras de videovigilancia, el nombre del responsable del tratamiento y la posibilidad de ejercitar ante él los derechos reconocidos a los interesados por los artículos 15 a 22 del RGPD. En cuanto al resto de la información a la que hace mención el artículo 13 RGPD y que el responsable también está obligado a proporcionar a los interesados, será suficiente tenerla disponible en un lugar fácilmente accesible para ellos, como puede ser una hoja informativa en una recepción o en el cajero, colocada en un espacio visible o en una dirección web. Así las cosas, las evidencias de las que se dispone en esta etapa del procedimiento sancionador constituyen indicios sólidos de que el reclamado vulneró la obligación que le impone el artículo 13 del RGPD, por lo que tal conducta podría ser constitutiva de una infracción tipificada en el artículo 83.5.
- b)del RGPD. No obstante, lo anterior, el reclamado identificado por la Policía local de la localidad en escrito de alegaciones de fecha 09/05/21 advierte sobre la existencia de un error en la identificación del responsable de la presunta infracción, que se le atribuye erróneamente a su persona, existiendo un cambio de titularidad en la actividad comercial del establecimiento investigado. Argumenta que la licencia de actividad estaba inicialmente a su nombre, si bien el mismo no regenta el establecimiento hostelero “bar ***BAR.1” al haberse producido una modificación de la actividad, siendo los actuales titulares los responsables de las “irregularidades” que pudiera presentar el sistema de cámaras, cuya existencia desconoce. La presunción de inocencia rige sin excepciones en el Ordenamiento sancionador y ha de ser respetada en la imposición de cualquier sanción, ya sea penal o administrativa (TCo 13/1981), pues el ejercicio del derecho sancionador en cualquiera de sus manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propia posiciones. Conforme a este principio, no puede imponerse sanción alguna en razón de la culpabilidad del imputado si no existe una actividad probatoria de cargo, que en la apreciación de las autoridades u órganos llamados a resolver, destruya esta presunción (TCo Auto 3-12-81). V De acuerdo a lo expuesto, teniendo en cuenta las argumentaciones esgrimidas por el reclamado se considera que el mismo no es responsable de la instalación de las cámaras desprovistas de cartel informativo en legal forma, motivo por el que procede ordenar el Archivo del presente procedimiento. La parte reclamante una vez constate el presunto autor real de la infracción descrita puede remitir nuevamente la Denuncia ante esta AEPD a efectos de la tramitación del correspondiente procedimiento contra el presunto autor de los hechos descritos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ORDENAR el ARCHIVO del presente procedimiento al no quedar acreditado el presunto infractor de la infracción denunciada. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. e INFORMAR del resultado de las actuaciones a AYUNTAMIENTO de ***LOCALIDAD.1. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 938-131120 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es