1/6 Expediente Nº: EXP202100116 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 29/06/2021, tuvo entrada en esta Agencia Española de Protección de Datos un escrito presentado por A.A.A. (en adelante, la parte reclamante), asumiendo su representación B.B.B., mediante el que formula reclamación contra C.C.C. con NIF ***NIF.1 (en adelante, la parte reclamada), por la instalación de un sistema de videovigilancia ubicado en ***DIRECCIÓN.1, existiendo indicios de un posible incumplimiento de lo dispuesto en la normativa de protección de datos de carácter personal. Los motivos en los que se fundamentan la reclamación son los siguientes: “La reclamada ha procedido a colocar unas cámaras en la fachada de la vivienda que se encuentra situada en una finca propiedad privativa del reclamante por herencia de sus padres sin su consentimiento. El reclamante tiene atribuido por sentencia el uso del piso 1º de dicha edificación y la reclamada tiene atribuido el uso del piso bajo, pero no así el uso de la finca en la que se encuentra la casa, que es de titularidad privativa del ahora reclamante. El reclamante en ningún momento ha autorizado ni prestado su consentimiento a la colocación de dichas cámaras que no disponen de ningún tipo de cartel o aviso además, sin que conste ningún cartel tampoco para el ejercicio de los derechos de acceso; rectificación; oposición y/o cancelación. […] Aporta una fotografía de la ubicación de las cámaras. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada el día 06/07/2021, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación se produjo por medio de corres postal el día 20/07/2021, según consta en el Aviso emitido por Correos. Con fecha 26/07/2021, la reclamada presenta escrito de alegaciones en el que manifiesta que el sistema de videovigilancia consta de 3 cámaras que no captan imágenes de la vía pública, conservando las imágenes grabadas un plazo de 15 días. Además, señala que fueron instaladas con el consentimiento de los dos propietarios C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 de la finca, esto es, la reclamada y el reclamante (su exmarido). Aporta reportaje fotográfico en el que se puede ver lo siguiente: - La localización de las 3 cámaras que componen el sistema de videovigilancia. - El monitor en el que figuran las captaciones de 3 cámaras que enfocan a distintas partes de la finca. Con fecha 27/08/2021, esta Agencia solicita a la reclamada que aclare si los espacios que captan las cámaras son de su propiedad y, en caso contrario, que aporte el consentimiento del propietario para su instalación. Es el 17/09/2021 cuando la reclamada contesta y manifiesta, en síntesis, que el reclamante otorgó su consentimiento para la instalación de las cámaras, de hecho, las instaló un “íntimo amigo suyo”, y que todavía no se ha liquidado la sociedad de gananciales por lo que no se ha determinado a quién pertenece la finca. TERCERO: Con fecha 21/09/2021, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 03/01/2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del artículo 5.1.
- c)del RGPD y artículo 13 del RGPD, tipificada en el artículo 83.5 del RGPD. QUINTO: Notificado el acuerdo de apertura, la reclamada presentó escrito de alegaciones en el que, en síntesis, manifiesta lo siguiente: “Nada que oponer al apercibimiento solicitado. SOLICITO, que teniendo por presentado este escrito, se sirva admitirlo, se me tenga por conforme con el apercibimiento indicado y por aportada las fotografías adjuntas.” Aporta dos fotografías en las que se observa que ha procedido a retirar las 3 cámaras de videovigilancia. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PRIMERO: En el momento en que se presenta la reclamación que da origen al presente procedimiento sancionador, quedó probado la instalación de un sistema de videovigilancia en ***DIRECCIÓN.1, que podría captar zonas que no son de su exclusiva titularidad; así como, la ausencia de cartel informativo de zona videovigilada. SEGUNDO: Se identifica como principal responsable de la instalación a C.C.C. con NIF ***NIF.1, quien no niega haber colocado 3 cámaras de videovigilancia. No obstante, no ha podido acreditar que el reclamante hubiera otorgado su consentimiento expreso para la presencia de las cámaras. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 TERCERO: Consta acreditado que la reclamada ha procedido a retirar las cámaras de videovigilancia, como se puede observar en las dos fotografías adjuntas al escrito de alegaciones. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II En el presente caso procede examinar la reclamación de fecha 29/06/2021 presentada en esta Agencia en la que se pone de manifiesto la existencia de un sistema de videovigilancia ubicado en ***DIRECCIÓN.1, sin informar de su presencia, que podría captar imágenes de un terreno que no es de su exclusiva titularidad. La imagen física de una persona a tenor del artículo 4.1 del RGPD es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. El artículo 4.2 del RGPD define el concepto de “tratamiento” de datos personales. El artículo 5.1
- c)del RGPD dispone que los datos personales serán “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados (“minimización de datos”). Cabe recordar que los particulares son responsables de velar por que los sistemas instalados se ajusten a la legalidad vigente, acreditando que la misma cumple con todos los requisitos exigidos por la normativa en vigor. La instalación de este tipo de dispositivos debe contar con el preceptivo cartel informativo, indicando los fines y responsable del tratamiento en su caso de los datos de carácter personal. El artículo 22.4 de la LOPDGDD dispone que: “El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información.” En todo caso, las cámaras deben estar orientadas hacia el espacio particular, evitando intimidar a vecinos colindantes con este tipo de dispositivos, así como controlar zonas de tránsito de los mismos sin causa justificada. Tampoco con este tipo de dispositivos se puede obtener imágenes de espacio público, al ser esta competencia exclusiva de las Fuerzas y cuerpos de Seguridad del Estado. Conviene recordar que aun en el caso de tratarse de una cámara “simulada” la misma debe estar orientada preferentemente hacia especio privativo, dado que se considera que este tipo de dispositivos pueden afectar a la intimidad de terceros, que se ven intimidados por la misma en la creencia de ser objeto de grabación permanente. Por parte de los particulares no se puede instalar apartados de obtención de imágenes de espacio público, fuera de los casos permitidos en la normativa. El artículo 13 del RGPD, apartados 1 y 2, establece la información que debe facilitarse al interesado en el momento de la recogida de sus datos. En el caso de tratamientos de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras, el deber de información puede cumplirse mediante la colocación, en las zonas videovigiladas, de un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados, y sirviéndose de impresos en los que se detalle la información prevista, que el responsable deberá poner a disposición de los interesados. Estas infracciones se tipifican en el artículo 83.5 del RGPD: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
- b)Los derechos de los interesados a tenor de los artículos 12 a 22; A efectos del plazo de prescripción de las infracciones, las mismas se consideran muy graves y prescriben a los tres años, conforme al artículo 72.1 de la LOPDGDD, que establece que:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679; (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6
- h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta Ley Orgánica.” III Los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, se establecen en el artículo 58.2 del RGPD. Entre ellos se encuentran la potestad de dirigir un apercibimiento (art. 58.2 b)), la potestad de imponer una multa administrativa con arreglo al artículo 83 del RGPD (art. 58.2 i)), o la potestad de ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un plazo especificado (art. 58.2 d)). Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en el artículo 58.2
- d)del citado Reglamento es compatible con la sanción consistente en multa administrativa. En el presente caso, atendidas las especiales circunstancias que concurren en la reclamada responsable de la infracción y haciendo una interpretación amplia del criterio que inspira el Considerando 148 del RGPD, según el cual cuando la multa que probablemente se impusiera constituyese una carga desproporcionada podrá imponerse en lugar de la sanción de multa un apercibimiento, se estima que por las infracciones del artículo 5.1
- c)y 13 del RGPD procede dirigir un apercibimiento. IV En este supuesto, se ha constatado que la reclamada había instalado un sistema de videovigilancia susceptible de enfocar a zonas que no eran de su exclusiva propiedad y, además, carecía del obligado distintivo de zona videovigilada. No obstante, se ha comprobado que ha procedido recientemente a la retirada de las 3 cámaras que lo componían. Pese a ello, señalar que se sigue manteniendo el apercibimiento por las imágenes que fueron captadas con anterioridad a la desinstalación y, además, sin informar de la existencia de las mismas, lo cual es constitutivo de una infracción del artículo 5.1
- c)y 13 del RGPD. Sin embargo, será un apercibimiento sin necesidad de adoptar medidas por parte de la reclamada, pues ya ha procedido a retirar las cámaras. Por lo tanto, de acuerdo con la legislación aplicable, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR a C.C.C., con NIF ***NIF.1, por una infracción del artículo 5.1.
- c)del RGPD y artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD, un apercibimiento. SEGUNDO: NOTIFICAR la presente resolución a C.C.C., con NIF ***NIF.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-270122 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es