1/7 Expediente N.º: EXP202207199 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (*en adelante, la parte reclamante) con fecha 22 de junio de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra B.B.B. con NIF ***NIF.1 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: “ha alquilado a la parte reclamada una habitación con derecho a cocina en una vivienda y que la parte reclamada ha instalado una cámara de videovigilancia en la cocina del inmueble, sin que en ningún momento la parte reclamante haya consentido el tratamiento de sus datos o haya firmado documento a dicho respecto”—folio nº 1--. Aporta imagen de la cámara, conversación mantenida con la parte reclamada sobre la cámara realizada mediante WhatsApp e imagen de recibo de alquiler de habitación con derecho a cocina (anexo I). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada en fecha 01/07/22 y 01/08/22, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), constando en el sistema informativo de este organismo <Ausente en reparto>. TERCERO: Con fecha 29 de agosto de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 13 de octubre de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 5.1.
- c)del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 El artículo 64.2.
- f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
- f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. SEXTO: En fecha 03/11/22 se procedió a la publicación en el BOE del anuncio correspondiente en relación al PS/00466/2022 tipo de acto “Acuerdo de Apertura”. SÉPTIMO: Consultada la base de datos de esta Agencia en fecha 09/01/22 no consta alegación alguna, ni se ha procedido a adoptar medida correctora al respecto. OCTAVO: En fecha 28/04/23 se emite <Propuesta de resolución> en la que se propone una sanción cifrada en la cuantía de 4000€, por la infracción del artículo 6 RGPD, al disponer de una cámara en el interior de la vivienda que tiene arrendada sin contar con base legitimadora para ello, proponiendo medidas para la corrección de la situación descrita. Consultada la base de datos de este organismo consta el doble intento de notificación siendo devuelto el mismo por el Servicio Oficial de Correos (por No retirado en la Oficina de Correos). NOVENO: En fecha 13/06/23 se procede a publicar en el BOE la Propuesta de Resolución asociada al PS/00466/2022 de conformidad con lo establecido en el artículo 44 Ley 39/2015 (1 octubre), tras resultar infructuosa la notificación en el domicilio de la investigada. HECHOS PROBADOS Primero: Los hechos traen causa de la reclamación de fecha 22/06/22 por medio de la cual se traslada lo siguiente: “ha alquilado a la parte reclamada una habitación con derecho a cocina en una vivienda y que la parte reclamada ha instalado una cámara de videovigilancia en la cocina del inmueble, sin que en ningún momento la parte reclamante haya consentido el tratamiento de sus datos o haya firmado documento a dicho respecto”—folio nº 1--. Segundo: Consta identificada como principal responsable de la instalación B.B.B., con DNI asociado ***NIF.1. Tercero: Consta acreditada la presencia de una cámara de video-vigilancia en el interior de la vivienda que afecta a zonas reservadas a la de la reclamante, sin causa justificada, procediendo al tratamiento de sus datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 Cuarto: La reclamada no ha realizado alegación alguna en el ejercicio del derecho a la defensa, ni la más mínima explicación se ha realizado sobre la presencia del dispositivo en cuestión o el modo de informar los derechos en el marco del actual RGPD. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II En el presente caso, se procede a examinar la reclamación de fecha 22/06/22 por medio de la cual se traslada como hecho principal el siguiente: “presencia de cámara en interior de vivienda arrendada en la zona de cocinacomedor, eliminando con ello su privacidad al controlar sus entradas/salidas sin causa justificada (…)—folio nº 1--. El artículo 18 apartado 4º CE dispone: “La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”. En el Considerando número 40 RGPD se indica que para que un “tratamiento sea lícito, los datos personales deberán ser tratados sobre alguna de las bases legitimadoras establecidas conforme a Derecho (…)”. Por tanto, el “tratamiento de datos” efectuados con la cámara (
- s)instalada en el interior del inmueble debe poder justificarse en las denominadas bases legitimadoras, esto es, que se pueda acreditar la licitud del tratamiento en el listado de situaciones o supuestos concretos en los que es posible tratar datos personales. Los hechos anteriormente descritos pueden suponer una afectación al contenido del artículo 6 RGPD (reglamento 2016/679/ UE, 27 de abril). El primer requisito para que un tratamiento de datos personales sea lícito es que cuente con una base legitimadora. Debe poder sustentarse en alguna de las seis bases habilitantes establecidas con carácter tasado en el artículo 6.1 RGPD, cuyo tenor es el siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño (…)”. La finalidad de las cámaras de video-vigilancia con carácter general es la protección de bienes, personas e instalaciones, si bien se deben adoptar ciertas cautelas a la hora de instalarlas dado que su presencia puede colisionar con otros derechos de carácter fundamental en juego. Cabe recordar que los particulares son responsables de velar por que los sistemas instalados se ajusten a la legalidad vigente, acreditando que la misma cumpla con todos los requisitos exigidos por la normativa en vigor. III De conformidad con las pruebas aportadas de las que se dispone en el presente procedimiento sancionador, se considera que la parte reclamada ha procedido a instalar por aparentes motivos de seguridad una cámara que afecta a zona de libre intimidad de su arrendatario, afectando con ello a sus datos de carácter personal. Los contratos de arrendamiento de vivienda están regulados en la Ley de Arrendamientos Urbanos 29/1994 de 24 de noviembre (LAU). Cabe recordar que el alquiler de un inmueble o parte de este a un tercero conlleva una serie de derechos y obligaciones para las partes, de tal manera que los relativos a la protección de datos de carácter personal también se deben tener en cuenta, máxime si con la instalación de dispositivos de grabación se afecta a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 privacidad del mismo o se produce un tratamiento de datos de manera desproporcionada a la finalidad perseguida. El artículo 4 apartado 11º del RGPD dispone: «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen (…)” (* la negrita pertenece a este organismo). Con la cesión total o parcial del inmueble, se excluye la noción de “ámbito personal y doméstico” por lo que no se trata de un supuesto de exclusión del ámbito de aplicación del RGPD, la presencia de la cámara debe ser acorde a la finalidad perseguida, no pudiendo imponerse inclusive la presencia de la misma mediante clausula contractual al ser en este caso el domicilio “un espacio en el cual el individuo vive sin estar sujeto necesariamente a los usos y convenciones sociales y ejerce su libertad más íntima» (STC nº 22/1984, 17 de febrero). Los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada, por vulneración del contenido del artículo 6 RGPD, anteriormente citado. IV El artículo 69 LOPDGDD (LO 3/2018) dispone: 1. Durante la realización de las actuaciones previas de investigación o iniciado un procedimiento para el ejercicio de la potestad sancionadora, la Agencia Española de Protección de Datos podrá acordar motivadamente las medidas provisionales necesarias y proporcionadas para salvaguardar el derecho fundamental a la protección de datos y, en especial, las previstas en el artículo 66.1 del Reglamento (UE) 2016/679, el bloqueo cautelar de los datos y la obligación inmediata de atender el derecho solicitado (…). Por otra parte, el artículo 64.1
- e)Ley 39/2015 (1 octubre) dispone lo siguiente:
- e)Medidas de carácter provisional que se hayan acordado por el órgano competente para iniciar el procedimiento sancionador, sin perjuicio de las que se puedan adoptar durante el mismo de conformidad con el artículo 56” La cámara instalada está afectando a un ámbito reservado a la intimidad del arrendatario de la vivienda alquilada, realizando un tratamiento continuado de sus datos personales y/o de terceros, sin que conste el consentimiento del mismo o se hayan explicado los motivos de la presencia del dispositivo en dicha zona, lo que supone una desviación de la finalidad primordial de este tipo de dispositivos. V El art. 83.5 RGPD dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalenC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 te al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)Los principios básicos para el tratamiento incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9 (…)”. A la hora de motivar la sanción se tiene en cuenta que el particular no cuenta con sanciones previas de este organismo, si bien la misma ha instalado un dispositivo que afecta a la intimidad del reclamante, pudiendo inclusive grabar las conversaciones del mismo, afectando a zona reservada a su intimidad personal y/o familiar, siendo una medida desproporcionada a la presunta finalidad perseguida, lo que denota una conducta grave en la conducta descrita, lo que conlleva imponer una sanción cifrada en la cuantía de 4000€, acorde a los hechos descritos, en la escala inferior para este tipo de sanciones. Dada la ausencia de alegaciones previas del conjunto de hechos descritos se tiene en cuenta la situación de alquiler de una habitación de su inmueble, si bien también se tiene en cuenta la falta inicial de adopción de medidas ante la reclamación del arrendatario del inmueble; aspectos estos tenidos en cuenta para la motivación de la sanción administrativa. VI En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a B.B.B., con NIF ***NIF.1, por una infracción del Artículo 6 del RGPD, tipificada en el Artículo 83.5
- a)del RGPD, una multa de 4000€ (Cuatro Mil euros). SEGUNDO: ORDENAR de conformidad con el artículo 58.2 RGPD, en conexión con el artículo 69 LOPDGDD como medida la retirada del aparato en cuestión del interior de la vivienda otorgando un plazo de 15 días hábiles a partir del siguiente a la notificación del presente acto, debiendo acreditar tal extremo mediante la prueba correspondiente (vgr. fotografía fecha y hora del antes/después de la desinstalación). TERCERO: NOTIFICAR la presente resolución a Doña B.B.B.. CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00 0000 0000 0000 0000 0000 (BIC/Código SWIFT: XXXXXXXXXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-181022 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es