1/6 Procedimiento Nº: PS/00479/2019 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: AYUNTAMIENTO DE VIGO (*en adelante, el reclamante) con fecha 7 de octubre de 2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra A.A.A. con NIF ***NIF.1 (en adelante, el reclamado). Los motivos en que basa la reclamación son “instalación de diversas cámaras” sin contar con el preceptivo cartel informativo, orientadas de manera desproporcional hacia vía pública. En el Informe de fecha 19/07/19 Policía Local (Vigo) se plasma lo siguiente, por parte de los miembros de la policía local trasladados al lugar de los hechos: “A su vez en el interior del Local hay dos cámaras una encima de la puerta de entrada enfocando hacia el fondo del local y otra en el fondo del Local orientada hacia la puerta de entrada”. “Que tanto en el interior como en el exterior no presenta el cartel informativo homologado de zona video-vigilada (…) matizando que el interior del local está desprovisto igualmente de cualquier tipo de cartel”. Junto a la reclamación aporta prueba documental (Doc. 3) Parte de servicio que manifiesta lo denunciando por parte la autoridad actuante. SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). Como resultado de las actuaciones de investigación practicadas, se constata que el responsable del tratamiento es el reclamado. TERCERO: En fecha 30/10/19 se procede a TRASLADAR la Denuncia presentada, sin que alegación alguna se haya realizado al respecto sobre la legalidad del sistema denunciado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 CUARTO: Con fecha 15/01/20 se procede a emitir Acuerdo de Inicio asociado al procedimiento sancionador PS/00479/2019, por la presunta infracción del contenido del art. 5.1
- c)RGPD, constando notificado en tiempo y forma en la dirección aportada por la Policía Local de la localidad (sede del establecimiento). A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS Primero. En fecha 07/10/19 se recibe en este organismo Denuncia trasladada por el Ayuntamiento de Vigo, a raíz de inspección realizada por la Policía Local en un establecimiento hostelero de la localidad. “instalación de diversas cámaras” sin contar con el preceptivo cartel informativo, orientadas de manera desproporcional hacia vía pública. Segundo. Consta identificado como principal responsable Don A.A.A. Tercero. Consta acreditado la ausencia de cartel informativo en zona visible informando que se trata de una zona video-vigilada, así como el principal responsable del tratamiento. Cuarto. Consta acreditado según prueba documental adjunta (Denuncia 19/07/19) que con las cámaras del local se obtienen imágenes del exterior del mismo, afectando de manera desproporcionada a espacio público. “…como una pantalla encima de la pueta de entrada donde se ve el exterior del local, entendiendo como exterior, la entrada del mismo local y toda la acera, además de los vehículos que están estacionados delante del mismo” Quinto. Consta acreditado que el establecimiento no dispone de formulario (
- s)a disposición de los clientes que pudieran requerirlo. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II En el presente caso, se procede a examinar la reclamación de fecha 07/10/19 por medio de la cual se traslada como hecho el siguiente: “instalación de diversas cámaras” sin contar con el preceptivo cartel informativo (folio nº 1). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 Los particulares pueden instalar cámaras de video-vigilancia si bien son responsables que las mismas se ajusten a la legalidad vigente. Con este tipo de dispositivos no se puede ejercitar un control del espacio público adyacente al establecimiento, debiendo estar orientadas preferentemente hacia las puertas de acceso del local por motivos de seguridad del mismo. El art. 5.1
- c)RGPD dispone lo siguiente: Los datos personales serán: “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»). A mayor abundamiento en el Informe remitido se constata la ausencia de cartel informativo en el interior/exterior del Local indicando que se trata de una zona video-vigilada e indicando el responsable del tratamiento de los datos obtenidos en su caso. El artículo 12 RGPD dispone lo siguiente: “El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios”. Cabe recordar que los particulares son responsables de velar por que los sistemas instalados se ajusten a la legalidad vigente. La instalación de este tipo de dispositivos debe contar con el preceptivo cartel informativo, indicando los fines y responsable del tratamiento en su caso de los datos de carácter personal. El artículo 22 LOPDGG (LO 3/2018, 5 diciembre) dispone lo siguiente: “El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información. En todo caso, el responsable del tratamiento deberá mantener a disposición de los afectados la información a la que se refiere el citado reglamento”. El establecimiento debe disponer además de formulario (
- s)informativo a disposición de los clientes que pudieran requerirlo, en orden a ejercer sus derechos en el marco de la normativa en vigor. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 III De conformidad con las evidencias de las que se dispone en el presente momento del procedimiento sancionador, se considera que el reclamado dispone de dos cámaras exteriores obteniendo imágenes de espacio público sin causa justificada, las cuales carecen de cartel informativo. El artículo 77 apartado 5º de la Ley 39/2015 (1 octubre) dispone: “Los documentos formalizados por los funcionarios a los que se reconoce la condición de autoridad y en los que, observándose los requisitos legales correspondientes se recojan los hechos constatados por aquéllos harán prueba de éstos salvo que se acredite lo contrario”. La fuerza actuante constata la “irregularidad” del sistema, así como la obtención de imágenes de un amplio espacio público, sin causa justificada, permitiendo el control de transeúntes y vecinos de la localidad. Los hechos conocidos son constitutivos de una infracción, imputable al reclamado, por vulneración del art. 5.1
- c)RGPD. Los hechos conocidos son constitutivos de una infracción, imputable al reclamado, por vulneración artículo 12 RGPD. El art. 83.5 RGPD dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; En el presente caso, a la hora de motivar la sanción se tiene en cuenta lo siguiente: -la naturaleza de la infracción, al estar afectando al derecho de terceros que se han visto intimidados por el dispositivo instalado, obteniendo imágenes de espacio público sin causa justificada (art. 83.2
- a)RGPD). -La intencionalidad o negligencia de la conducta, al carecer del preceptivo cartel informativo, indicando el responsable y los fines del tratamiento (art. 83.2
- b)RGPD). De manera que, en base a lo anterior, teniendo en cuenta la carencia de infracciones previas por los mismos hechos u otros similares, así como que se trata de un particular que regenta un pequeño establecimiento hostelero que no ha realizado alegación al respecto, se ordena una sanción económica en la escala más baja de este tipo de sanciones, cifrando la misma en la cantidad de 3.000€ (Tres Mil Euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 Todo ello sin perjuicio de acreditar documentalmente el cumplimiento de las medidas requeridas, esto es, la colocación de cartel homologado con indicación del responsable del tratamiento y la disposición de formulario (
- s)informativos en el interior del establecimiento. Puede obtener un modelo orientativo en la página web de este organismo www.aepd.es en la Sección “Video-vigilancia”. Toda la información se debe disponer de manera ordenada y a disposición de la autoridad que por motivos de inspección del establecimiento pudiera requerirlo, asegurándose de que el sistema instalado se ajuste a la legalidad vigente. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a Don A.A.A., con NIF ***NIF.1, por una infracción del artículo 5.1
- c)RGPD, al tener instalado un sistema de cámaras de video-vigilancia que obtiene imágenes de espacio público, una sanción económica de 3.000€ (Tres Mil Euros), infracción tipificada en el artículo 83.5
- a)RGPD, siendo sancionable de conformidad con el artículo 58.2 RGPD. SEGUNDO: NOTIFICAR la presente resolución a Don A.A.A. e INFORMAR del resultado de las presentes actuaciones a la entidad denunciante AYUNTAMIENTO DE VIGO. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es