PS-00483-2014

1/23 Procedimiento Nº PS/00483/2014 RESOLUCIÓN: R/00501/2015 En el procedimiento sancionador PS/00483/2014, instruido por la Agencia Española de Protección de Datos a la entidad EL CORTE INGLES, S.A., vista la denuncia presentada por D. A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 31 de octubre de 2013 tiene entrada en esta Agencia escrito de D. A.A.A. (en adelante el denunciante) comunicando la posible infracción a la Ley Orgánica 15/1999 motivada por cámaras de videovigilancia cuyo titular es la entidad EL CORTE INGLES, S.A. (en adelante el denunciado) instaladas en el centro comercial situado en la (C/..........1) 15 y 18, Las Palmas de Gran Canaria. El denunciante manifiesta que en las fachadas de las entradas al público de los centros comerciales de El Corte Ingles situados en la (C/..........1) 15 y 18, Las Palmas de Gran Canaria, hay instaladas cámaras del tipo DOMO que recogen imágenes exteriores ajenas al centro comercial. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 4 de marzo de 2014 se solicita información al responsable del establecimiento teniendo entrada en esta Agencia con fecha 18 de marzo de 2014 escrito del denunciado/a en el que manifiesta: - Manifiestan que en el edificio situado en la (C/..........1) 18, tienen instaladas 12 cámaras de video, algunas fijas y otras tipo DOMO con el campo visual limitado. Aportan plano de la ubicación de las cámaras, reportaje fotográfico de las mismas y de la imagen que captan, de lo que se desprende lo siguiente:  La cámara número 98, de tipo DOMO, en la fotografía aportada se observa que está orientada hacia la fachada y el mínimo imprescindible de la acera.  La cámara número 84 ubicada en el acceso de personal capta la parte de la vía pública correspondiente al ancho de la puerta de entrada, pero, en profundidad, capta el ancho de la calzada, afectando dicha captación a la vía pública. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/23  La cámara 87, de tipo fija, está ubicada en el interior y orientada hacia el acceso del público, recogiendo imágenes del exterior correspondiente al ancho de las puertas de entrada, pero, en profundidad, capta todo el ancho de la vía pública hasta la fachada frontal, captando a personas y hasta a los comercios de enfrente.  La cámara 99 de tipo DOMO, ubicada en el exterior, en la fotografía aportada se observa que está orientada hacia el edificio.  La cámara 129 de tipo fija, ubicada en el exterior, en la fotografía aportada se observa que está orientada hacia el edificio.  La cámara 95, de tipo fija, está ubicada en el interior y orientada hacia el acceso del público, recogiendo imágenes del exterior correspondiente al ancho de las puertas de entrada, con captación de imágenes que afectan a la vía pública.  El resto de las cámaras recoge espacios interiores del centro comercial. - Manifiestan que en el edificio de la (C/..........1) 15 tienen instaladas 6 cámaras de video, algunas fijas y otras tipo DOMO. Aportan plano de la ubicación de las cámaras, reportaje fotográfico de las mismas y de la imagen que captan, de lo que se desprende lo siguiente:  La cámara 30, de tipo fija, está ubicada en el interior y orientada hacia el acceso del público, recogiendo imágenes del exterior correspondiente al ancho de las puertas de entrada, pero captando incluso a las personas y a los vehículos que transitan.  La cámara 31, de tipo fija, está ubicada en el interior y orientada hacia el acceso del público, recogiendo imágenes del exterior correspondiente al ancho de las puertas de entrada, pero captando incluso a las personas y a los vehículos que transitan.  La cámara 32 de tipo DOMO, ubicada en el exterior, en la fotografía aportada se observa que está orientada hacia la fachada del edificio.  El resto de las cámaras recoge espacios interiores del centro comercial. - La instalación del sistema de videovigilancia ha sido realizado por la empresa PLETTAC ELECTRONICS SEGURIDAD inscrita, en el Registro de Empresas de Segundad con el número *****. - Respecto de la finalidad por la cual se han instalado las mismas manifiestan que ambos edificios se encuentran enclavados en un núcleo urbano, lo que conlleva una serie de riesgos y vulnerabilidades. Ello requiere que ambos edificios se encuentren protegidos perimetralmente mediante cámaras de videovigilancia con el objetivo de la protección y vigilancia de los mismos y en su caso facilitar las labores de emergencia y evacuación de los centros. Además añaden que deben cumplir con los requisitos y las exigencias de la Ley de Seguridad Privada, ya que cuentan con espacios que deben adoptar dispositivos activos y pasivos de seguridad obligatoria. En (C/..........1) 15 Administración de lotería (planta baja), en ambos edificios cuentan con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/23 cajeros automáticos de banco (en planta baja de (C/..........1) 15 y sótano 1 de (C/..........1) 18). - Respecto de la información facilitada a terceros sobre la existencia de monitores que permitan visualizar las imágenes captadas por las videocámaras, aportan fotografías del cartel informativo y de las ubicaciones del mismo. En dichos carteles se informa del responsable ante el que ejercer los derechos de protección de datos de carácter personal. - Aportan copia del formulario informativo que debe estar a disposición de los ciudadanos según se recoge en el artículo 3.b de la Instrucción 1/2006. - Respecto de las personas que pueden acceder al sistema de videovigilancia instalado, manifiestan que solo disponen de acceso el Delegado de Seguridad y su adjunto. - El sistema de grabación es digital con una configuración temporal cíclica y limitada. Conservación de las imágenes: 7 días. - Para acceder a las grabaciones es necesario hacerlo a través de una clave así como estar identificado como personal autorizado. La captura, transmisión y almacenamiento de las grabaciones se realizan a través de la tecnología software “Dallmeier”, que impide la difusión/visualización por personal no autorizado. - Aportan copia de la Resolución del Director de la Agencia Española de Protección do Datos de inscripción del fichero notificado con el nombre VIDEOVIGILANCIA en el que figura como responsable EL CORTE INGLES S.A. TERCERO: Con fecha 10 de octubre de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la entidad EL CORTE INGLES, S.A., por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. b)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la entidad EL CORTE INGLES, S.A. mediante escrito de fecha 30 de octubre de 2014, formuló alegaciones, significando, que: “Cámara 84.- Es una cámara que se coloca en la entrada del personal del establecimiento y que, como es lógico, enfoca hacía la vía pública para captar la imagen de las personas que entran en el centro comercial. Si la cámara captara imágenes de terceros ajenos al personal de mi representada que circularan por la vía pública, ya sean peatones o vehículos, difícilmente se podría considerar una captación de datos en sentido estricto de las reguladas en la ley, ya que tanto los peatones como los vehículos aparecerían en las imágenes de perfil y, en consecuencia, no se vería ni su cara, única forma de identificar a una persona, ni las matrículas de los vehículos, única forma de identificar al propietario del mismo. (…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/23 Cámara 87.- Según se puede apreciar en la fotografía que obra en el expediente, las imágenes que se captan son de personas que entran o salen del establecimiento y hasta donde llega la marquesina del mismo. Además, tal y como se puede comprobar en la fotografía aportada, las imágenes de las personas que aparecen en la misma no permiten la identificación de ambas por lo que, como en el caso anterior, no podría identificarse a las personas y no estaríamos ante un tratamiento de datos en sentido estricto. Respecto de los comercios que hay al otro lado de la vía pública, es evidente, a tenor de lo que muestra la fotografía que lo único que se ve es una parte, mínima, de un edificio y es imposible identificar ni que comercio es, con lo que se podría obtener la identidad del propietario, i mucho menos se ve o identifica a persona alguna a esa distancia. (…) Por lo que respecta a la supuesta infracción que se imputa a mí representada, la misma carece de fundamento ya que el sistema de videovigilancia utilizado por mí representada no tiene por finalidad el tratamiento de imágenes de terceros que pasen por las inmediaciones de los establecimientos de mí representada, sino la protección de dichos establecimientos frente a cualquier actuación violenta por parte de terceros contra los mismos incluyendo, como bien sabe la propia Agencia Española de Protección de Datos, la prevención de actos terroristas (…) Por lo tanto, es necesario encontrar, a tenor de lo anteriormente expuesto, una ley que legitime el tratamiento de las imágenes ya que, de lo contrario, resultaría prácticamente imposible obtener el consentimiento de cada una de las personas que resulten captadas o grabadas por las cámaras. Dicho precepto debe ponerse en relación con lo dispuesto en la Ley 23/1992 de Seguridad Privada (…) La vigilancia del exterior de los centros comerciales de mí representada, como no se escapa a nadie, requiere la instalación de cámaras de vigilancia en las fachadas de los mismos y, por la propia naturaleza del lugar en el que se ubican y su finalidad, el que en esa función de vigilancia se obtengan imágenes de las personas que pasan por el perímetro de dichos centros comerciales no implican el uso de las mismas con ninguna finalidad si no ocurre ningún hecho delictivo contra los bienes o intereses de mí representada ni contra las personas que para la misma trabajan; la propia AEPD sabe que dichos datos personales no se tratan, como está declarado en el registro de ficheros de la propia Agencia y que los mismos se eliminan automáticamente sin necesidad de ninguna intervención de mí representada. (…) Teniendo en cuenta todo lo anterior, hemos de manifestar que los medios utilizados para la protección de los bines de mí representada no sólo son proporcionales al fin perseguido, sino que también son legítimos al encontrarse amparados por una norma que los regula y que la propia AEPD ha declarado que se cumple. (…) Pues bien, en el caso que nos ocupa, aunque reiteramos que no existe infracción, para el caso de que la Agencia Española de Protección de Datos mantuviera la existencia de la misma, debiera tener en cuenta, a la hora de graduar la sanción, la concurrencia de los apartados e),
2. f)y
3. h)del artículo 45.4; es decir: (…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/23 Y todas esas razones justifican que se aplique al presente caso el apartado 5 del art. 45 de la LOPD y, en consecuencia, que a la supuesta infracción se le aplique la escala de sanciones previstas para las infracciones leves en su grado mínimo; es decir, 900,00 euros.” Concluyen las alegaciones solicitando que se acuerde el archivo del expediente incoado. QUINTO: Notificado el acuerdo de inicio, el denunciante presentó escrito en el que confirma los términos de su denuncia y solicita que se le tenga por personado en el procedimiento. SEXTO: Con fecha 28 de noviembre de 2014 se inició el período de práctica de pruebas, acordándose practicar las siguientes: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por D.A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante EL CORTE INGLES, S.A., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/07879/2013. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00483/2014 presentadas por EL CORTE INGLES, S.A., y la documentación que a ellas acompaña. SÉPTIMO: Con fecha 29 de enero de 2015 se formuló propuesta de resolución, proponiendo la imposición de una sanción de 40.001 € a la entidad EL CORTE INGLES, S.A., por la comisión de una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
4. b)de dicha Ley. OCTAVO: Notificada la propuesta de resolución, la entidad EL CORTE INGLES, S.A. realizó alegaciones frente a la misma en las que comunica: “Los datos recogidos por las cámaras del establecimiento de mí representada no se incluyen en ningún fichero estructurado. Se graban unas a continuación de las otras, sin establecer un criterio de búsqueda fácil y sencillo que permita localizar e identificar a las personas. (…) Como se puede comprobar, la conducta de mi representada rio se constituiría un tratamiento atendiendo estrictamente a los mandatos contenidos en la Directiva Comunitaria y, en consecuencia, no sería sancionable. (…) Mí representada no sólo cumple, como la propia Agencia reconoce, con el deber de informar mediante la instalación de los correspondientes carteles en las entradas a los establecimientos, lo cual es una forma indirecta de obtener el consentimiento de los peatones ya que todos ven el cartel y si no quisieran prestar su consentimiento, podrían manifestarlo en ese momento; sino que además, ha limitado a 7 días, no 30 como C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/23 permite la norma, el plazo por el cual se conservan las imágenes, lo cual demuestra que no tiene ningún interés en tratar las imágenes, utilizarlas para ninguna finalidad oscura, sino que para el único y exclusivo caso de que se produjera un acto delictivo, utilizaría las imágenes que lo recogieran y solo esas imágenes, no el resto para entregárselas a la Policía que es la única que podría identificar a la/s persona/s que en las mismos figurase/n. (…) Pues bien, de las propias imágenes obrantes en el expediente administrativo se desprende que la parte de vía pública que captan las cámaras, instaladas todas ellas en el interior del establecimiento, es proporcionalmente inferior al espacio que cubren dichas cámaras dentro del propio centro comercial, con lo que ya se estaría guardando la proporcionalidad que exige la norma y, además y como ya se ha manifestado, esta parte entiende que es materialmente imposible identificar a las personas que se encuentran al otro lado de las puertas del centro comercial lo que unido a la proporcionalidad antes citada, nos lleva a la conclusión de que el tratamiento que se realiza es adecuado y conforme a la norma. (…) Por lo tanto, mi representada, al instalar las cámaras en el interior del establecimiento, lo que ha hecho es buscar esa alternativa a la que hace referencia el artículo 4.3 de la citada Instrucción 1/2006 con el fin de evitar la tantas veces citadas desproporción entre el fin perseguido y los medios utilizados.” Concluyen las alegaciones solicitando el archivo del expediente incoado. HECHOS PROBADOS PRIMERO: El centro comercial situado en la (C/..........1) 15 y 18, Las Palmas de Gran Canaria dispone de un sistema de videovigilancia cuyo responsable es la entidad EL CORTE INGLES, S.A. El representante de la entidad ha manifestado que la finalidad de la instalación es la protección y vigilancia de los edificios y facilitar las labores de emergencia y evacuación. Además, manifiestan que deben cumplir con los requisitos y las exigencias de la Ley de Seguridad Privada, porque cuentan con espacios que deben adoptar dispositivos activos y pasivos de seguridad obligatoria: administración de lotería y cajeros automáticos de banco. (folios 17 a 66) SEGUNDO: Respecto del deber de informar aportan fotografías del cartel informativo y de donde está situado, en ellos se informa del responsable ante quien ejercer los derechos de protección de datos de carácter personal. Aportan copia del formulario informativo que debe estar a disposición de los ciudadanos según se recoge en el artículo 3.b de la Instrucción 1/2006. (folios 27 a 29) TERCERO: Sobre el acceso y grabación de las imágenes del sistema de videovigilancia, manifiestan que solo disponen de acceso el Delegado de Seguridad y su adjunto, que el sistema de grabación es digital con una configuración temporal cíclica y limitada y que las imágenes se conservan durante 7 días. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/23 Aportan copia de la Resolución del Director de la Agencia Española de Protección do Datos de inscripción del fichero notificado con el nombre VIDEOVIGILANCIA en el que figura como responsable EL CORTE INGLES S.A. (folios 59 a 66) CUARTO: Manifiestan que en el edificio situado en la (C/..........1) 18, tienen instaladas 12 cámaras de video, algunas fijas y otras tipo DOMO con el campo visual limitado. Aportan plano de la situación de las cámaras y de la imagen que captan, de lo que se desprende: La cámara número 84 ubicada en el acceso de personal capta la parte de la vía pública correspondiente al ancho de la puerta de entrada, pero, en profundidad, capta el ancho de la calzada, afectando dicha captación a la vía pública. La cámara 87, de tipo fija, está ubicada en el interior y orientada hacia el acceso del público, recogiendo imágenes del exterior correspondiente al ancho de las puertas de entrada, pero, en profundidad, capta todo el ancho de la vía pública hasta la fachada frontal, captando a personas y hasta a los comercios de enfrente. La cámara 95, de tipo fija, está ubicada en el interior y orientada hacia el acceso del público recogiendo imágenes del exterior correspondiente al ancho de las puertas de entrada, con captación de imágenes que afectan a la vía pública. El resto de las cámaras recoge espacios interiores del centro comercial o espacios mínimos de la vía pública. (folios 30 a 58) QUINTO: Manifiestan que en el edificio de la (C/..........1) 15 tienen instaladas 6 cámaras de video, unas fijas y otras tipo DOMO. Aportan plano de la situación de las cámaras y de la imagen que captan de lo que se desprende: La cámara 30, de tipo fija, está ubicada en el interior y orientada hacia el acceso del público recogiendo imágenes del exterior correspondiente al ancho de las puertas de entrada, y captando a las personas y a los vehículos que transitan por la vía pública. La cámara 31, de tipo fija, está ubicada en el interior y orientada hacia el acceso del público recogiendo imágenes del exterior correspondiente al ancho de las puertas de entrada, y captando a las personas y a los vehículos que transitan por la vía pública. El resto de las cámaras recoge espacios interiores del centro comercial o espacios mínimos de la vía pública. (folios 30 a 58) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
5. g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/23 II Con carácter previo, debe señalarse que el artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. La LOPD, viene a regular el derecho fundamental a la protección de datos de las personas físicas, esto es, el derecho a disponer de sus propios datos sin que puedan ser utilizados, tratados o cedidos sin su consentimiento, con la salvedad de las excepciones legalmente previstas. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el apartado
6. a)del artículo 3 de la LOPD, como “Cualquier información concerniente a personas físicas identificadas o identificables”. En lo que respecta al concepto de “fichero” el artículo 3.
7. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
8. d)de la LOPD define al responsable del fichero o tratamiento como la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” El artículo 3 de la LOPD define en su letra
9. c)el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. La garantía del derecho a la protección de datos, conferida por la normativa de referencia, requiere que exista una actuación que constituya un tratamiento de datos personales en el sentido expresado. En otro caso las mencionadas disposiciones no serán de aplicación. El artículo 5.1.
10. f)del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, define datos de carácter personal como: “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2.
11. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, según el cual, a efectos de dicha Directiva, se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/23 indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. De lo anteriormente expuesto se desprende que el concepto de dato personal, según la definición de la LOPD, requiere la concurrencia de un doble elemento: por una parte, la existencia de una información o dato y, por otra, que dicho dato pueda vincularse a una persona física identificada o identificable. Así, de conformidad con la normativa expuesta, el denunciado dispone de datos personales y los utiliza, lo que constituye un tratamiento de datos personales del que es responsable, toda vez que es quien decide sobre la finalidad, contenido y uso del citado tratamiento. III Se imputa a la entidad EL CORTE INGLES, S.A. como responsable del sistema de videovigilancia instalado en el centro comercial situado en la (C/..........1) 15 y 18 de Las Palmas de Gran Canaria, la comisión de una infracción del artículo 6.1 de la LOPD, que dispone lo siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado”. Respecto a la legitimación en el tratamiento de las imágenes, la respuesta se encuentra en el artículo 2 de la Instrucción 1/2006, que establece que: “1. Sólo será posible el tratamiento de los datos objeto de la presente instrucción, cuando se encuentre amparado por lo dispuesto en el artículo 6.1 y 2 y el artículo 11.1 y 2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. 2. Sin perjuicio de lo establecido en el apartado anterior la instalación de cámaras y videocámaras deberá respetar en todo caso los requisitos exigidos por la legislación vigente en la materia”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/23 El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. En el presente expediente, cabe apreciar que las cámaras instaladas captan imágenes de personas, de conformidad con lo anteriormente expuesto. Dichas imágenes, incorporan datos personales de las personas que se introducen dentro de su campo de visión y, por lo tanto, los datos personales captados están sometidos al consentimiento de sus titulares, de conformidad con lo que determina la LOPD. Dicho tratamiento, por tanto, ha de contar con el consentimiento de los afectados, circunstancia que no se ha acreditado. Alega la entidad denunciada que no se infringe el artículo 6 de la LOPD y que en otros casos la Agencia ha considerado que esta misma entidad captaba la parte mínima imprescindible de la vía pública y se pregunta por qué en este caso no es de aplicación la misma teoría esgrimida por la Agencia en otros establecimientos del Corte Inglés. A este respecto cabe oponer los casos en que la misma entidad ha sido sancionada por esta Agencia por instalaciones de videovigilancia que infringían el principio del consentimiento, por captación inconsentida de vía pública. Estas resoluciones han sido confirmadas en muchos casos por la Audiencia Nacional y de entre todas puede citarse la reciente sentencia de 4 de noviembre de 2014, recurso 33/2014 en la que se resuelve desestimar el recurso interpuesto y la Sala estima que “el examen de las fotografías de las imágenes captadas por la citadas cámaras, obrantes en el expediente administrativo, evidencia la ilicitud de la conducta de la actora, al rebasar los límites del legítimo ejercicio del derecho a garantizar la seguridad de sus instalaciones y la actividad comercial desarrollada en su edificio con lesión del derecho a la protección de datos de las personas que se encontraran en sus inmediaciones”. IV Por otro lado, en este caso concreto, con relación a las cámaras instaladas en el exterior del centro comercial denunciado, hay que señalar que para entender las especialidades derivadas del tratamiento de las imágenes en la vía pública que captan las cámaras situadas en el exterior, es preciso conocer la regulación que sobre esta materia se contempla en el artículo 1 de la Ley Orgánica 4/1997, de 4 de agosto, por la que se regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/23 lugares públicos que establece: “La presente Ley regula la utilización por las Fuerzas y Cuerpos de Seguridad de videocámaras para grabar imágenes y sonidos en lugares públicos abiertos o cerrados, y su posterior tratamiento, a fin de contribuir a asegurar la convivencia ciudadana, la erradicación de la violencia y la utilización pacífica de las vías y espacios públicos, así como de prevenir la comisión de delitos, faltas e infracciones relacionados con la seguridad pública”. Este precepto es preciso ponerlo en relación con lo dispuesto en el artículo 3
12. e)de la Ley Orgánica 15/1999, donde se prevé que: “Se regirán por sus disposiciones específicas y por lo especialmente previsto, en su caso, por esta Ley Orgánica los siguientes tratamientos de datos personales:
13. e)Los procedentes de las imágenes y sonidos obtenidos mediante la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad, de conformidad con la legislación sobre la materia”. En virtud de todo lo expuesto, podemos destacar que la instalación de videocámaras en lugares públicos es competencia exclusiva de las Fuerzas y Cuerpos de Seguridad, de ahí que la legitimación para el tratamiento de dichas imágenes se contemple en la Ley Orgánica 4/1997, y además en el mismo texto legal se regulan los criterios para instalar las cámaras y los derechos de los interesados. El Corte Inglés S.A. ha manifestado que “la finalidad de la instalación es la protección y vigilancia de los edificios y facilitar las labores de emergencia y evacuación. Además deben cumplir con los requisitos y las exigencias de la Ley de Seguridad Privada, porque cuentan con espacios que deben adoptar dispositivos activos y pasivos de seguridad obligatoria: administración de lotería y cajeros automáticos de banco”. Si bien dicha finalidad es lícita, cabe añadir que en este caso se capta vía pública con algunas cámaras, excediendo la habilitación legal de que se podría disponer. Alega la entidad denunciada al acuerdo de inicio del presente procedimiento sancionador, que la ley que legitima el tratamiento es la 23/1992 de Seguridad Privada. A este respecto cabe exponer que esta norma ha sido derogada por la Ley 5/2014, de 4 de abril, de Seguridad Privada que, en cualquier caso, no legitima la captación de imágenes con datos de carácter personal de la vía pública como se expone a continuación. Debe tenerse en cuenta que los motivos de seguridad alegados por El Corte Inglés S.A. para justificar el tratamiento de imágenes procedentes de la vía pública que contienen datos personales, se encuadran dentro de las funciones de seguridad pública que la Ley Orgánica 2/1986, de 13 de marzo, de Fuerzas y Cuerpos de Seguridad, atribuye como competencia exclusiva del Estado. Así el artículo 1 de dicha Ley Orgánica establece que: “1. La seguridad pública es competencia exclusiva del Estado. Su mantenimiento corresponde al Gobierno de la Nación. 2. Las Comunidades Autónomas participarán en el mantenimiento de la seguridad pública en los términos que establezcan los respectivos Estatutos y en el marco de esta Ley. 3. Las Corporaciones Locales participarán en el mantenimiento de la seguridad pública en los términos establecidos en la Ley reguladora de las Bases de Régimen Local y en el marco de esta Ley. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/23 4. El mantenimiento de la seguridad pública se ejercerá por las distintas Administraciones Públicas a través de las Fuerzas y Cuerpos de Seguridad.” Por su parte el artículo 2 de la Ley Orgánica 2/1986, de 13 de marzo, dispone que “Son Fuerzas y Cuerpos de Seguridad: Las
14. a)Fuerzas y Cuerpos de Seguridad del Estado dependientes del Gobierno de la Nación. Los
15. b)Cuerpos de Policía dependientes de las Comunidades Autónomas. Los
16. c)Cuerpos de Policía dependientes de las Corporaciones Locales.” Respecto también de la legislación relativa a la seguridad ciudadana hay que valorar que la Ley Orgánica 1/1992, de 21 de febrero, sobre Protección de La Seguridad Ciudadana, establece en su artículo 13 como medidas de seguridad en establecimientos e instalaciones lo siguiente: “1. El Ministerio del Interior podrá ordenar, conforme a lo que se disponga reglamentariamente, la adopción de las medidas de seguridad necesarias en establecimientos e instalaciones industriales, comerciales y de servicios, para prevenir la comisión de los actos delictivos que se puedan cometer contra ellos, cuando generen riesgos directos para terceros o sean especialmente vulnerables. 2. No obstante, las autoridades competentes podrán eximir de la implantación o el mantenimiento de medidas de seguridad obligatorias a los establecimientos, cuando las circunstancias que concurran en el caso concreto las hicieren innecesarias o improcedentes. 3. La apertura de los establecimientos que estén obligados a la adopción de medidas de seguridad, estará condicionada a la comprobación, por las autoridades competentes, de la idoneidad y suficiencia de las mismas. 4. Los titulares de los establecimientos e instalaciones serán responsables de la adopción o instalación de las medidas de seguridad obligatorias, de acuerdo con las normas que respectivamente las regulen, así como de su efectivo funcionamiento y de la consecución de la finalidad protectora y preventiva propia de cada medida, sin perjuicio de la responsabilidad en que al respecto puedan incurrir sus empleados.” En términos parecidos se expresa la mencionada Ley 5/2014, de 4 de abril, de Seguridad Privada que en los puntos 1 a 3 de su artículo 51 sobre adopción de medidas, expone: “1. Las personas físicas o jurídicas, públicas o privadas, podrán dotarse de medidas de seguridad privada dirigidas a la protección de personas y bienes y al aseguramiento del normal desarrollo de sus actividades personales o empresariales. 2. Reglamentariamente, con la finalidad de prevenir la comisión de actos delictivos contra ellos o por generar riesgos directos para terceros o ser especialmente vulnerables, se determinarán los establecimientos e instalaciones industriales, comerciales y de servicios y los eventos que resulten obligados a adoptar medidas de seguridad, así como el tipo y características de las que deban implantar en cada caso. 3. El Ministerio del Interior o, en su caso, el órgano autonómico competente podrá ordenar que los titulares de establecimientos o instalaciones industriales, comerciales y de servicios y los organizadores de eventos adopten las medidas de seguridad que reglamentariamente se establezcan. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/23 El órgano competente formulará la propuesta teniendo en cuenta, además de su finalidad preventiva de hechos delictivos y de evitación de riesgos, la naturaleza de la actividad, la localización de los establecimientos o instalaciones, la concentración de personas u otras circunstancias que la justifiquen y, previa audiencia del titular u organizador, resolverá motivadamente. Cuando se considerase necesaria la implantación de dichas medidas en órganos u organismos públicos, el órgano competente formulará la correspondiente propuesta y, previo acuerdo con el órgano administrativo o entidad de los que dependan las instalaciones o locales necesitados de protección, dictará la resolución procedente.” Por su parte, el Real Decreto 2364/1994, de 9 de diciembre, por el que se aprueba el Reglamento de Seguridad Privada, en cuanto a medidas de seguridad en general, establece en sus artículos 111.1, y 112.1.
17. c)lo siguiente: “111.1. De acuerdo con lo dispuesto en el artículo 13 y en la disposición adicional de la Ley Orgánica 1/1992, sobre protección de la seguridad ciudadana, y con la finalidad de prevenir la comisión de actos delictivos, la Secretaría de Estado de Interior, para supuestos supraprovinciales, o los Gobernadores Civiles podrán ordenar que las empresas industriales, comerciales o de servicios adopten las medidas de seguridad que, con carácter general o para supuestos específicos, se establecen en el presente Reglamento”. “112.1. Cuando la naturaleza o importancia de la actividad económica que desarrollan las empresas y entidades privadas, la localización de sus instalaciones, la concentración de sus clientes, el volumen de los fondos o valores que manejen, el valor de los bienes muebles u objetos valiosos que posean, o cualquier otra causa lo hicieran necesario, el Secretario de Estado de Interior para supuestos supraprovinciales, o los Gobernadores Civiles, podrán exigir a la empresa o entidad que adopte, conjunta o separadamente, los servicios o sistemas de seguridad siguientes: “
18. c)Instalación de dispositivos y sistemas de seguridad y protección.” Por lo tanto, el Ministerio del Interior puede ordenar medidas en los establecimientos e instalaciones industriales, comerciales y de servicios para prevenir la comisión de delitos que generen riesgos para terceros o sean especialmente vulnerables, sin embargo no consta en el presente expediente que se hayan ordenado tales medidas en relación con el establecimiento objeto de la presente denuncia. En el presente procedimiento no ha quedado acreditado que el sistema de videovigilancia instalado en el centro comercial aquí cuestionado, esté acogido a las disposiciones de la Ley Orgánica 4/1997, de 4 de agosto, que regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad en lugares públicos, por lo que el tratamiento de los datos recogidos en la vía pública carece de habilitación legal. La instalación de cámaras en la vía pública es competencia exclusiva de las Fuerzas y Cuerpos de Seguridad del Estado. Asimismo, debe recordarse que el tratamiento de las imágenes deberá cumplir con el principio de proporcionalidad en el tratamiento, consagrado por el artículo 4.1 de la Ley Orgánica 15/1999, según el cual “los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido”. Así lo recuerda el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/23 artículo 4.1 de la Instrucción 1/2006, al señalar que “de conformidad con el artículo 4 de la Ley Orgánica 15/1999 de 13 de diciembre, de Protección de Datos de Carácter Personal, las imágenes sólo serán tratadas cuando sean adecuadas, pertinentes y no excesivas en relación con el ámbito y las finalidades determinadas, legítimas y explícitas, que hayan justificado la instalación de las cámaras o videocámaras”. En este caso, las cámaras ubicadas en el exterior del centro comercial situado en la (C/..........1) 15 y 18 de Las Palmas de Gran Canaria, graban imágenes de la vía pública y de propiedades colindantes. En la información enviada por la entidad denunciada en marzo de 2014 se comprueba que, en el edificio situado en la (C/..........1) 18, la cámara número 84 capta la parte de la vía pública correspondiente al ancho de la puerta de entrada, afectando dicha captación a la vía pública (folio 39). La cámara 87, de tipo fija, está ubicada en el interior y orientada hacia el acceso del público, recogiendo imágenes del exterior correspondientes al ancho de unas puertas de entrada. En la imagen de lo captado se observa la vía pública a través de una amplia puerta cristalera de cinco hojas, de acceso del público, llegando a recoger la imagen de todo el ancho de la vía hasta la fachada de enfrente (folio 40). La cámara 95, de tipo fija, está ubicada en el interior y orientada hacia el acceso del público recogiendo imágenes del exterior correspondientes al ancho de las puertas de entrada, con captación de imágenes que afectan a la vía pública. (folio 47) En el edificio de la (C/..........1) 15, la cámara 30, de tipo fija, está ubicada en el interior y orientada hacia el acceso del público recogiendo imágenes del exterior correspondientes al ancho de las puertas de entrada, captando a las personas que transitan por la vía pública (folio 53). La cámara 31, de tipo fija, está ubicada en el interior y orientada hacia el acceso del público recogiendo imágenes del exterior correspondientes al ancho de las puertas de entrada, y captando a las personas que transitan por la vía pública. (folio 54). Esta grabación de espacios públicos no dispone de autorización administrativa, puesto que como ya se ha establecido “ut supra”, la instalación de cámaras en la vía pública es competencia exclusiva de las Fuerzas y Cuerpos de Seguridad del Estado. V Por otra parte, la Directiva 95/46/CE en su Considerando 14 afirma: “