1/5 Procedimiento Nº: PS/00486/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: CEIP VIRGEN DEL ROSARIO (en adelante, el reclamante) con fecha 5 de octubre de 2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra AYUNTAMIENTO DE POZO CAÑADA con NIF P0200010G (en adelante, el reclamado). Los motivos en que basa la reclamación son de manera sucinta los siguientes: “se han instalado cinco cámaras que controlan todos los patios y accesos a los edificios del centro. No entendemos necesario ni proporcional la medida de grabación durante horario escolar, más si cabe, cuando existen personas (padres de alumnos y docentes) que han manifestado de forma explícita su NO autorización a ser grabados en el colegio” (folio nº 1). SEGUNDO: En fecha 30/10/20 se procede al traslado a la reclamada para que alegue en derecho lo que estime pertinente sobre los hechos en cuestión. TERCERO: En fecha 11/12/20 se recibe contestación de la misma manifestando lo siguiente: “La empresa responsable de la instalación de las cámaras de video-vigilancia del Colegio fue: Seguridad ***EMPRESA.1(…). “Respecto al número de cámaras, fotografías del monitor en la que se aprecie las zonas que quedan dentro del campo de visón de las mismas en el Informe del Oficial de Policía anteriormente referido se recoge un reportaje fotográfico que da respuesta a los aspectos requeridos (…) “El plazo de conservación de las imágenes que graba el sistema de video-vigilancia es de 14 días tal y como se indica en el Informe emitido por la empresa encargada del mantenimiento (..) “…en cuanto a las razones por las que el sistema de video está activo de forma continuada las 24 horas del día (…) decirle que las imágenes obtenidas por el sistema solo son visionadas en caso de robo o incidente”. Se acompaña Informe Policía Local E/8791/2020 a solicitud de la AEPD (Doc. anexo I). CUARTO: Con fecha 11 de marzo de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con arreC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 glo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.
- c)del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Consultada la base de datos de esta Agencia en fecha 06/05/21 no se ha realizado contestación alguna en relación a los hechos objeto de traslado. SEXTO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. SÉPTIMO: En fecha 10/05/21 se emite propuesta de Resolución en la que se acuerda declarar la infracción ante la falta de argumentación (
- es)de la reclamada, confirmando la infracción del art. 51
- c)RGPD, proponiendo una sanción de Apercibimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS Primero. En fecha 05/10/20 se recibe reclamación por medio de la cual se traslada como hecho principal el siguiente: “se han instalado cinco cámaras que controlan todos los patios y accesos a los edificios del centro. No entendemos necesario ni proporcional la medida de grabación durante horario escolar, más si cabe, cuando existen personas (padres de alumnos y docentes) que han manifestado de forma explícita su NO autorización a ser grabados en el colegio” (folio nº 1). Segundo. Consta acreditado como principal responsable de la instalación la empresa de seguridad: Seguridad ***EMPRESA.1 Tercero. El sistema dispone de cartel informativo indicando que se trata de una zona video-vigilada. Cuarto. La parte reclamada alega motivos de seguridad permanente para evitar “robos o algún incidente”. Quinto. El sistema de video-vigilancia instalado obtiene imágenes de los usuarios del Centro (padres, alumnos, personal de servicios, etc) sin causa justificada, controlando los principales accesos del mismo de manera ininterrumpida. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II En el presente caso, se procede a examinar la reclamación de fecha 05/10/20 por medio de la cual se traslada como hecho principal el siguiente: “se han instalado cinco cámaras que controlan todos los patios y accesos a los edificios del centro. No entendemos necesario ni proporcional la medida de grabación durante horario escolar, más si cabe, cuando existen personas (padres de alumnos y docentes) que han manifestado de forma explícita su NO autorización a ser grabados en el colegio” (folio nº 1). La grabación de la imagen de una persona es un tratamiento de datos y por tanto, es de aplicación el Reglamento General de Protección de Datos y además tal y como expresa este organismo “La imagen de una persona en la medida que identifique o pueda identificar a la misma constituye un dato de carácter personal”. Los hechos conocidos son constitutivos de una infracción, imputable al reclamado, por vulneración del contenido del art. 5.1
- c)RGPD. “Los datos personales serán:
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»)”. Las cámaras deben estar orientadas hacia aquellas zonas presumiblemente “conflictivas” si bien ponderando en su instalación la tutela de otros derechos fundamentales (vgr. imagen o intimidad), siendo especialmente cautelosos en un exceso de grabación de zonas no permitidas. Este principio también se proyecta a través del número y tipo de cámaras que se pretenda utilizar, no es lo mismo la captación de imágenes a través de una cámara fija que la realizada a través de cámaras que permiten grabaciones de 360 grados. Una opción para aplicar el principio de minimización es el uso de “máscaras de privacidad” de forma que se evite gravar y captar imágenes excesivas. III De conformidad con las “evidencias” de las que se dispone en el presente procedimiento sancionador, se considera que el reclamado ha procedido a instalar un sistema de cámaras de video-vigilancia que capta espacio de un Centro Escolar, afectando con el “tratamiento” los datos de terceros (alumnos y profesores). Las argumentaciones inicialmente esgrimidas son insuficientes para concretar el motivo de captación de imágenes en un Centro docente y la idoneidad de la medida adoptada, dado que supone captación de imágenes de terceros sin contar con el consentimiento de los mismos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 La reclamada no ha realizado manifestación adicional alguna al Acuerdo de Inicio de este organismo de fecha 11/03/21. La instalación de cámaras de seguridad se debería circunscribir a espacios públicos que hagan necesaria la presencia de las mismas (vgr. actos de vandalismo, hurtos, etc), recordando en todo caso la proporcionalidad de la medida al entrar en colisión con otros derechos fundamentales. Los hechos conocidos son constitutivos de una infracción, imputable al reclamado, por vulneración del contenido de artículo 5.1
- c)RGPD, anteriormente citado. La conducta descrita es subsumible en el tipo infractor del art. 83.5
- a)RGPD, que prescribe lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; IV El artículo 77 apartado 1º LOPDGDD dispone: “El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso (…)”. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 V Entre los poderes correctivos que contempla el artículo 58 del RGPD, en su apartado 2
- d)se establece que cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Por la reclamada se deberá concretar de manera más detallada los motivos de la instalación del sistema de cámaras, recordando que el mismo es una medida de afectación de derechos de terceros con los que entra en colisión o bien adoptar las medidas necesarias para conciliar los intereses en conflicto. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a AYUNTAMIENTO DE POZO CAÑADA, con NIF P0200010G, por una infracción del Artículo 5.1.
- c)del RGPD, tipificada en el Artículo 83.5 del RGPD, una sanción de APERCIBIMIENTO. SEGUNDO: NOTIFICAR la presente resolución a AYUNTAMIENTO DE POZO CAÑADA e informar del resultado de las actuaciones CEIP VIRGEN DEL ROSARIO. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 938-131120 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es