PS-00460-2019

1/7  Procedimiento Nº: PS/00460/2019 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Don A.A.A. y Doña B.B.B. (en adelante, el reclamante) con fecha 26 de septiembre de 2019 interpusieron reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra ENSO SUSHI, S.L con NIF B30841951 (en adelante, el reclamado). Los motivos en que basa la reclamación son “En el día 24/09/2019 recibo unas fotografías de unas imágenes vía whatsapp, en las que se me reconoce a mi y a mi acompañante dentro del restaurante, procedentes de las cámaras de videovigilancia del restaurante ENSO SUSHI. Desconozco el número de personas total, que tienen estas imágenes y cuál ha sido su difusión” (folio nº 1). Junto a la reclamación aporta prueba documental que acredita la recepción en su móvil de las imágenes capturadas, obtenidas del sistema de video-vigilancia. SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). Como resultado de las actuaciones de investigación practicadas, se constata que el responsable del tratamiento es el reclamado. TERCERO: En fecha 11/12/19 se recibe en esta Agencia contestación de la denunciada, la cual alega lo siguiente: “Con relación a los puntos 6, 7 y 8 del requerimiento, cabe informar a este organismo que mi representada ha cumplido en todo momento con las disposiciones vigentes en materia de protección de datos, y que no se le pude imputar ningún tipo de incumplimiento, por las razones que serán argumentadas. En primer lugar, el día 21 de septiembre de 2019, una pareja dejó sin pagar una cena en dicho restaurante, por importe de 71,20 €, marchándose del estableciC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 miento sin que ninguno de los empleados pudiera evitarlo. Una vez comprobado por el personal que la pareja se había marchado del establecimiento sin abonar la correspondiente factura, el responsable del tratamiento contactó con la empresa de seguridad, para que realizara un visionado de las imágenes de las cámaras, de cara a identificar a las personas que habían cometido dicha infracción, en defensa de los legítimos intereses de mi representada. Sin embargo, contactada con esta señora hasta en dos ocasiones, la misma reconoce que se fue sin abonar la cuenta y reconoce la deuda frente a mi representada y, sin embargo, afirma que no pagará el importe. La siguiente noticia que tenemos es la llamada de un señor que afirma ser la pareja de esta señora, que únicamente profiere insultos y amenazas a mi poderdante, si volvemos a contactar con su pareja. De hecho, es de hacer notar que, hasta la fecha, dicha pareja no ha procedido al pago de la deuda (…)”. Cabe advertir que, respecto de los empleados de mi patrocinada, todos ellos mantienen un contrato de confidencialidad con la empresa respecto de los datos de carácter personal, informaciones o circunstancias relativas a las personas cuyos datos conozcan, tal y como se aprecia en el Documento N. º 7. Tal y como hemos acreditado, el contenido de dicho grupo resultaba en todo momento confidencial y protegido por la LOPD, con lo que, en todo caso, cabría imputar cualquier tipo de incumplimiento de dicha Ley al empleado/a que hubiera extraído las imágenes fuera del entorno profesional-confidencial hacia un entorno social-desprotegido”. CUARTO: Con fecha 22 de enero de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del Artículo 5.1.

1. c)del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: En fecha 06/02/20 se recibe en esta Agencia escrito de alegaciones de la entidad denunciada ENZO SUSHI, manifestando lo siguiente: “Reiteramos que, en consonancia con lo dispuesto en el art. 6.1.
2. f)del RGPD, es evidente el interés legítimo existente en las actuaciones perpetradas por mi representada que han dado lugar a este procedimiento, en el cual los hechos han culminado con la interposición de una denuncia ante la Guardia Civil de Cabo de Palos, por un delito de estafa cuya instrucción se ha llevado a cabo, cuya vista ha sido programado para el próximo día 2 de marzo de 2020, tal y como se acredita mediante citación del Juzgado que se aporta como DOCUMENTO N.º 1, y cuya responsabilidad ha sido reconocida al advertir el propio denunciante de este procedimiento que se reconoce a sí mismo y a su pareja marchándose del establecimiento sin abonar la cuenta. En este contacto con la denunciante, la denunciante reconoció que habían cenado y que se habían marchado sin pagar, pero nunca dio ninguna solución de pago, y no sólo eso, sino que llegamos incluso a recibir de dichos denunciados únicamente insultos y amenazas sin que, hasta la fecha, la pareja haya procedido siquiera al pago de la deuda. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 Esta empresa ha puesto toda la diligencia exigible para dar cumplimiento a lo dispuesto en este precepto. Las imágenes han sido conservadas exclusivamente para acreditar la comisión de actos delictivos de cara a proteger los intereses del negocio, para cuya misma finalidad se contactó con los empleados y se vertieron las imágenes en ese grupo. Tras ser identificados los comensales y contactados de cara a solucionar el conflicto de forma amistosa, no se logró el objetivo y se debió interponer denuncia escasos días después. En consecuencia, discrepa esta parte de que la reclamación interpuesta por los denunciantes-denunciados aporte indicios racionales de la existencia de una infracción en materia de protección de datos frente a mi representada, ni de que la fase instructora lo haya probado, así como discrepa de la consecuente apertura de este procedimiento sancionador, en los términos establecidos en el art. 65.2 LOPD, pues las imágenes fueron empleadas de cara a la identificación (…)”. Expuesto cuanto antecede, SOLICITA: que, teniendo por presentado este escrito de alegaciones al Acuerdo de inicio de procedimiento de sancionador junto con sus documentos, se admita y, en consecuencia, se archive el procedimiento sancionador sin responsabilidades para mi representada, en tanto en cuanto no aporta indicios racionales de la existencia de una infracción frente a esta mercantil ni ha sido probado, pues ha quedado acreditada la existencia de un interés legítimo y el cumplimiento de la LOPDGDD por parte de esta mercantil”. SEXTO: En fecha 13/02/20 se emitió por esta Agencia propuesta de Resolución al PS/00460/2019 considerado probada la infracción del art. 5.1
3. c)RGPD, al haber obtenido fotogramas del sistema de video-vigilancia que fueron tratadas fuera de los supuestos permitidos, proponiendo en atención a las circunstancias del caso una sanción de Apercibimiento a los efectos legales oportunos. SÉPTIMO: Consultada la base de datos de esta Agencia en fecha 05/03/20 no consta alegación alguna al respecto por parte de la entidad denunciada. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS Primero. En fecha 26/09/19 se recibe en esta Agencia reclamación de los denunciantes, trasladando como hecho principal el siguiente: “la recepción en su teléfono móvil, de su imagen a través de la aplicación de Whatsapp sin causa justificada” (folio nº 1). Segundo. Consta identificado como principal responsable la mercantil ENSO SUSHI, la cual dispone de un sistema de video-vigilancia en el interior del local por motivos de seguridad de las instalaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 Tercero. Consta acreditado el acceso a las imágenes del sistema para obtener fotogramas del mismo, con el fin de identificar a una pareja, que se marcho del establecimiento sin abonar las consumiciones. Cuarto. Las imágenes que aparecen en el móvil de la denunciada, son trasladadas por un empleado del establecimiento, en dónde en el Whatsapp aportado se identifica como Javier Barba, al parecer “amigo” de la pareja. “Que sepáis que os han denunciado y os están buscando por un simpa” Quinto. Consta acreditado que los hechos han sido trasladados al Juzgado ante la negativa de la pareja al pago de la deuda requerida (Juzgado Instrucción nº 3 Cartagena) Juicio sobre Delito Leve nº 000443/2019, estando pendiente de pronunciamiento judicial. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II En el presente caso, se procede a examinar la reclamación de fecha 26/09/19 por medio de la cual se traslada como hecho principal la recepción en su teléfono móvil, de su imagen a través de la aplicación de Whatsapp, según manifiesta la denunciante sin causa justificada. “En el día 24/09/2019 recibo unas fotografías de unas imágenes vía whatsapp, en las que se me reconoce a mi y a mi acompañante dentro del restaurante, procedentes de las cámaras de videovigilancia del restaurante ENSO SUSHI. Desconozco el número de personas total, que tienen estas imágenes y cuál ha sido su difusión” (folio nº 1). Los hechos anteriormente descritos pueden suponer una infracción del contenido del art. 5.1
4. c)RGPD. Los datos personales serán: “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»). El artículo 22 LOPDGDD (LO 3/2018,5 diciembre) dispone lo siguiente: “Los datos serán suprimidos en el plazo máximo de un mes desde su captación, salvo cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En tal caso, las imágenes deberán ser puestas a disposición de la autoridad competente en un plazo máximo de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación”. El tratamiento de las imágenes a través de un sistema de cámaras tiene como finalidad principal preservar los bienes y velar por la seguridad de las personas, pudiendo en el caso expuesto ser un medio de prueba de cara a la identificación de los presuntos autores de un hecho delictivo. La difusión realizada al conjunto de empleados de la empresa, se considera desproporcionada, dado que sólo el responsable del sistema, puede proceder al bloqueo (conservación) de las imágenes y como se indica en la normativa haber procedido a la denuncia de los hechos ante las Fuerzas y Cuerpos de seguridad de la localidad o Juez de Instrucción más próximo al lugar de los hechos, por un presunto Delito de estafa (art. 248 CP). No es labor del conjunto de empleados de la empresa, tener a su disposición las imágenes obtenidas del sistema de cámaras de video-vigilancia, pudiendo haber obtenido el mismo resultado si se hubiera actuado de manera más confidencial de cara únicamente a la identificación de los clientes que se marcharon del establecimiento sin pagar y dejando en todo caso las labores de investigación oportunas a las Fuerzas y Cuerpos de Seguridad del Estado. Todo ello sin perjuicio de la conducta concreta del empleado (
5. a)que procedió a enviar las imágenes al teléfono de la denunciante, que también eran innecesarias de cara a un presunto abono de la factura generada en el establecimiento, siendo responsabilidad del empleador en su caso el análisis y adopción de medidas oportunas. De manera que consta acreditado un tratamiento inadecuado de las imágenes obtenidas del sistema, pues eran totalmente innecesario la puesta a disposición de las mismas a los presuntos autores del hecho delictivo descrito, desviándose de la finalidad para la que se concibe la instalación de este tipo de dispositivos, apartándose de igual modo de lo establecido en la Ley, que es clara en cuanto al modo de proceder. Se desestima la argumentación del representante de la denunciada, pues nada impide la conservación de las imágenes, mediante su grabación oportuna, e intentar una solución amistosa con los presuntos infractores, pudiendo en caso de negativa de estos ser aportadas a la autoridad competente, pasado el plazo de las 72 horas marcados por la Legislación en vigor como medio de prueba admisible en derecho. III De conformidad con las evidencias de las que se dispone en el presente procedimiento sancionador, se considera que el reclamado (
6. a)procedió a la obtención de imágenes del sistema de video-vigilancia, poniéndolas a disposición de los empleados, sin adoptar medida alguna. Los hechos conocidos son constitutivos de una infracción, imputable al reclamado, por vulneración del contenido del artículo 5.1
7. c)RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 El art. 83.5 RGPD dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
8. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; IV Sin perjuicio de lo establecido en el artículo 83 del RGPD, el citado Reglamento dispone en su art. 58.2
9. b)la posibilidad de sancionar con apercibimiento, en relación con lo señalado en el Considerando 148: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” En el presente caso, se tiene en cuenta que el denunciado actúa en base a la creencia de un “interés legítimo”, dado que las imágenes se corresponden a una pareja que se fue del establecimiento sin abonar la consumición lo que motivo la difusión de las imágenes en un grupo cerrado para proceder a su identificación, la inmediata colaboración con este organismo y la ausencia de infracciones previas, motivos todos ellos que justifican una sanción de Apercibimiento. Por consiguiente, esta Agencia procede a valorar los hechos descritos en su justa medida, teniendo en cuenta la situación de víctima de la denunciada, así como la mencionada creencia de que actuaba con arreglo a un interés legítimo, para imponer un simple APERCIBIMIENTO, orientándola para situaciones futuras acerca del modo de actuar, esto es, conservación de las imágenes (prueba documental), en su caso negociación amistosa con los posibles infractores de cara a evitar un costoso juicio y en última instancia traslado de las mismas, adjuntándola con la correspondiente Denuncia ante las Fuerzas y Cuerpos de Seguridad más próximos al lugar de los hechos o al Juzgado de Instrucción más próximo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a ENSO SUSHI, S.L, con NIF B30841951, por una infracción del artículo 5.1.
10. c)del RGPD, tipificada en el Artículo 83.5 del RGPD, una sanción de APERCIBIMIENTO, de conformidad con lo establecido en el artículo 58.2 RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 SEGUNDO: NOTIFICAR la presente resolución a ENSO SUSHI, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es