PS-00488-2021

1/9  Expediente Nº: PS/00488/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (*en adelante, la parte reclamante) con fecha 2 de noviembre de 2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra B.B.B. con NIF ***NIF.1 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes según manifiesta la misma: “presencia de cámara (

1. s)sin señalizar con distintivo informativo indicando que se trate de una zona video-vigilada, considerando que afecta a la zona de piscina sin causa justificada” (folio nº 1). La reclamante aporta prueba documental (fotografía Anexo I) que acredita la presencia de cartel informativo, pero sin completar, en la puerta de acceso al complejo inmobiliario. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada en fecha 25/11/20, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 15/02/21 se recibe en esta Agencia escrito de respuesta indicando que es el principal responsable de la instalación del sistema objeto de denuncia, el cual está compuesto de tres cámaras, estando las mismas orientadas hacia “su propiedad particular”. “Las imágenes son objeto de grabación durante un periodo de 30 días y luego son objeto de borrado, obedeciendo la instalación a motivos de seguridad de su propiedad particular”. TERCERO: Con fecha 22 de febrero de 2021 la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Dichas actuaciones quedan plasmadas en el E/02066/202. ENTIDADES INVESTIGADAS Durante las presentes actuaciones se han investigado las siguientes entidades: B.B.B. con NIF ***NIF.1 con domicilio en ***DIRECCIÓN.1 RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Con fecha 15/02/2021 el reclamado remite a esta Agencia la siguiente información y manifestaciones en el contexto del expediente E/09644/2020: 1.Que son 3 cámaras y las instaló él mismo. 2.Que las cámaras están instaladas dentro de su propiedad para su seguridad. 3.Que las imágenes se guardan 30 días y luego se borran automáticamente. Aporta fotografía de un cartel informativo en una puerta de acceso donde consta el responsable del tratamiento y su dirección postal de contacto. Así mismo consta la referencia a la ley orgánica 15/1999. Aporta fotografías de dos cámaras. Aporta esquema con la ubicación de tres cámaras. Con fecha 16/09/2021 Agencia Estatal de Administración Tributaria manifiesta que no ha obtenido datos relativos al reclamado con la información facilitada. Con fecha 17/09/2021 se comprueba en el Catastro el NIF del reclamado. Con fecha 04/10/2021 el reclamado remite a esta Agencia la siguiente información y manifestaciones en el contexto del expediente E/09644/2020:   Aporta fotografías de tres cámaras. Aporta captura de pantalla del monitor donde se visualizan las imágenes captadas por las cámaras, siendo una de ellas un aparcamiento y puerta de acceso y otra de ellas la piscina. Con fecha 04/10/2021 se comprueba en la url ***URL.1 que consta la posibilidad de reservar apartamentos localizados en ***DIRECCIÓN.1 y consta una fotografía de la piscina siendo ésta la misma piscina que la que consta en las fotografías aportadas por el reclamado. QUINTO: Con fecha 26 de octubre de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.
2. c)del RGPD y artículo 13 RGPD, tipificada en el Artículo 83.5 del RGPD. SEXTO: En fecha 23/11/21 se recibe escrito de alegaciones de la parte reclamada manifestando “que los hechos objeto de denuncian NO son ciertos”, aportando nuevamente prueba documental (Anexo I) consistente en fotografía de la puerta de acceso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 dónde tiene un cartel no homologado, al referirse a la normativa LO 15/1999, 13 diciembre (LOPD). También adjunta impresión de una conversación particular con una tal, sin más especificaciones al respecto, así como una copia del contrato sin que se recoja “Clausula alguna en materia de cámaras de Video-vigilancia”. SÉPTIMO: En fecha 01/12/21 se emite Propuesta de Resolución en la que se propone una sanción cifrada en la cuantía de 3000€, por la infracción acreditada de los artículos 5.1
3. c)RGPD y 13 RGPD, al disponer de un sistema de cámaras de video-vigilancia de manera desproporcionado e informado de manear irregular. OCTAVO: En fecha 10/01/22 se recibe escrito de alegaciones de la parte reclamada argumentado lo siguiente: “Solo hay una entrada principal a nuestro complejo de apartamentos y hay un aviso claro en la puerta de que hay cámaras en la propiedad. Hay tres cámaras en un radio aproximadamente 10m, ligeramente por encima. En el contrato se indica la existencia de cámaras de seguridad, véase el apartado 7.1. también hay carteles. La persona denunciante había reservado a través de Airbnb. En la página de oferta de Airbnb toda la información está escrita, donde también se indica claramente que hay Cámaras y donde. Se adjuntan condiciones. Ella sabía lo de las cámaras porque pudo ver la información de antemano y también en el momento del check-in. Podía haber cancelado en cualquier momento si no aceptaba nuestros términos y condiciones / normas de la casa. Subsidiariamente a todo lo anterior, invocamos que la aclaración ha estado siempre marcarla por la buena fe. En este sentido cabe señalar que la jurisprudencia unánimemente viene exigiendo la presencia del requisito subjetivo de la culpabilidad, señalando que en el ilícito administrativo debe establecerse el elemento subjetivo de la culpabilidad para sustituirlo por un sistema de responsabilidad objetiva o sin culpa. Es evidente a juicio de esta parte, -y dicho sea con los debidos respetos- que no se ha realizado adecuadamente ese proceso, por lo que procede que se reconozca la incorrección del proceso llevado a cabo por la Administración y las consecuencias del proceso indebidamente efectuado. En efecto, a lo largo de nuestro escrito de alegaciones se articulan múltiples cuestiones fácticas y jurídicas que no son objeto de valoración y sobre las que nada se dice, incurrien.io en una clara nulidad por falta de motivación. En cuanto a la graduación de la sanción no concurren las circunstancias que se citan, ya que o bien son inexistentes e incluso contradictorias con lo que se imputa, o bien se produce una total tergiversación del tenor literal de las mismas” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS Primero. Los hechos traen causa de la reclamación de fecha 02/11/20 por medio de la cual se traslada la presencia de un “sistema de video-vigilancia con mala orientación hacia zona de piscina y tránsito, sin disponer de un cartel informativo al respecto” (folio nº 1). Segundo. Consta acreditado que el principal responsable de la instalación del sistema de video-vigilancia es B.B.B.. Tercero. Consta acreditada la presencia de un cartel informativo si bien el mismo no está homologado a la normativa en vigor, haciendo mención a una normativa derogada LOPD (LO 15/99, 13 diciembre). Cuarto. No se aporta por la parte reclamada documento (
4. s)que acredite la titularidad privativa de la zona de tránsito dónde ha instalado las cámaras, siendo insuficiente las fotografías aportadas para acreditar que es lo que está captando con la cámara próxima a la zona de piscina. Quinto. Una de las cámaras afecta a la zona de piscina de manera desproporcionada, tratando datos de los clientes (
5. as)del complejo afectando a una zona reservada a la intimidad de los mismos. Sexto. En las cláusulas informativas del contrato que se aporta no se informa en legal forma de la presencia de las cámaras, solo se constata su presencia (Apartado 7 punto 2º), ni se informa del modo de ejercitar los derechos en el marco RGPD, considerando la mera aceptación del contrato de alquiler como un modo implícito de consentir el “tratamiento” en zonas reservadas. “El cliente acepta el tratamiento de sus datos en la medida en que esto esté dentro del alcance del propósito de la relación legal” (Cláusula nº 13 GeneralTérminos y Condiciones Alquiler Vacacional). 48-150221 FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II En el presente caso, se procede a examinar la reclamación de fecha 02/11/20 por medio de la cual se traslada como hecho principal el siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 “presencia de cámara (
6. s)sin señalizar con distintivo informativo indicando que se trate de una zona video-vigilada” (folio nº 1). Junto con la reclamación aporta prueba documental (fotografía Anexo I) que acredita la presencia de la cámara, no observándose cartel informativo en las inmediaciones, y no quedando claro la orientación de la misma. Los hechos descritos inicialmente suponen una afectación al contenido del art. 13 RGPD, al carecer de distintivo informativo indicando que se trata de una zona video-vigilada. El art. 22 apartado 4 LOPDGDD (LO 3/2018, 5 diciembre) dispone: “El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679 (…)” (*la negrita pertenece a este organismo). Para que el interesado (
7. s)pueda estar debidamente informado, el cartel debe ser lo suficientemente grande para que pueda leerlo sin problemas desde un lugar donde todavía no esté siendo grabado, debiendo estar el mismo cumplimentado en los aspectos esenciales. El cartel aportado posteriormente por el reclamado no se ajusta a la actual normativa en vigor, al hacer mención a una normativa derogada, siendo la actual normativa el RGPD, en vigor desde 24 mayo de 2016, siendo obligatorio desde el 25 de mayo del año 2018 en todos los Estados miembros de la UE. La Agencia Española de Protección de Datos, ha actualizado cartel videovigilancia RGPD o información sobre videovigilancia que hasta ahora, se venía usando para señalar que una zona estaba siendo objeto de grabación. El reclamado en fecha 23/11/21 vuelve a presentar el mismo cartel que ya había sido objeto de análisis por este organismo, ajustado a una normativa actualmente derogada como es la LO 15/99, de 13 de diciembre, siendo por tanto insuficiente la alegación esgrimida para desvirtuar la infracción acreditada al no tener un cartel homologado a la normativa en vigor. En el último escrito de alegaciones presentado de fecha 10/01/22 tampoco se aporta prueba objetiva (vgr. fotografía con fecha y hora que acredite el cambio de cartel informativo) por lo que se considera acreditada la infracción del art. 13 RGPD, haciendo caso omiso a las amplias recomendaciones de esta Agencia. III Por la parte reclamante se traslada la presunta mala orientación de algunas de las cámaras instaladas por el reclamado, considerando que afectan a la zona próxima de piscina, “tratando datos” sin causa justificada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 El reclamado no niega ser el responsable de la instalación de las cámaras, si bien manifiesta que “afectan a su propiedad privada”, las imágenes aportadas constatan la captación de la zona de piscina, así como otros espacios alejados de la finalidad de seguridad del sistema instalado. La grabación de la zona de piscina afecta al derecho a la intimidad de los clientes (
8. as)del establecimiento que se ven afectados por los dispositivos en una zona de libre esparcimiento, solo estando permitida la captación de la zona de acceso a la misma, El artículo 5.1
9. c)RGPD dispone: “Los datos personales serán:
10. a)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»); Los hechos expuestos, a tenor de las alegaciones esgrimidas, suponen una afectación al art. 5.1
11. c)RGPD, al estar mal orientadas las cámaras instaladas, afectando a zonas destinadas al libre esparcimiento de los clientes (
12. as)del mismo. Las alegaciones en relación a los hechos descrito reproducen las que ya realizó en una fase previa, sin que se haya aportado impresión de pantalla (fecha y hora) de lo que se capta con la cámara, ni acredita la titularidad de la zona privativa, más allá de un esquema de la presunta orientación de la cámara (s). En relación a la presencia de cámaras orientadas hacia la zona de piscina, el hecho de que informe de la presencia de las cámaras a la entrada del recinto no legitima que las mismas graben de manera permanente todo el recinto, al ser un espacio destinado a la libertad de esparcimiento de los clientes (as), que disfruten en su caso de un merecido descanso, considerando desproporcionado una captación de toda la zona, mas allá de un mero control del acceso al recinto. En la documentación aportada (CopiaTérminos y Condiciones para el Alquiler de Apartamento Vacacionales) solo se le informa punto 7.2 “Cámaras de seguridad afuera” no siendo la misma una cláusula que legitime el “tratamiento” de los datos que pretende el reclamado en zonas de libre esparcimiento, sin que la argumentación esgrimida en las nuevas alegaciones de fecha 10/01/22 que incide en la mera información a los clientes de las cámaras pueda considerarse como una cláusula ajustada a la normativa de protección de datos. No puede pretender el reclamado que lo que argumenta como “Normas de la Casa” sea una imposición al libre consentimiento de los huéspedes (clientes) de las instalaciones que regenta, bastando la mera firma o información a los mismos, como documento legitimador de los datos de los mismos en zonas reservadas a la más estricta intimidad de estos. Por consiguiente, la presencia de cámara (
13. s)orientada hacia la zona de piscina se debe limitar estrictamente al acceso a las mismas, debiendo estar libre el recinto de intromisión (
14. es)de este tipo de dispositivos, permitiendo el libre esparcimiento de los clientes (
15. as)en dicha zona, siendo suficiente con la mera información del uso de la misma en las cláusulas informativas del contrato de alquiler turístico. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 En el documento contractual que en su caso informe a los clientes (
16. as)se debe incorporar una cláusula específica de “Video-vigilancia”, debiendo contar con formulario (
17. s)de ejercicio de derechos en la misma página web o al menos informado del modo de obtenerlo sin esfuerzo alguno. IV El art. 83.5 RGPD dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
18. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
19. b)los derechos de los interesados a tenor de los artículos 12 a 22 En el presente caso, a la hora de motivar la sanción se tiene en cuenta lo siguiente: -la naturaleza de la infracción, al estar afectando al derecho de terceros que se han visto intimidados por la mismas, obteniendo imágenes de una zona de carácter reservado a la intimidad, como es la zona de piscina (art. 83.2
20. a)RGPD). -La intencionalidad o negligencia de la conducta, al captar ampliamente zona reservada (vgr. zona de piscina), sin causa justificada, con las lógicas molestias los clientes (as), (art. 83.2
21. b)RGPD), lo que denota “gravedad” en la conducta descrita, que no se ajusta a los criterios mínimos exigibles en materia de protección de datos. De conformidad con las pruebas de las que se dispone en el presente momento del procedimiento sancionador, se considera que la parte reclamada dispone de un sistema de cámaras de video-vigilancia mal orientado hacia zonas reservadas, no estando el mismo debidamente señalizado en los términos requeridos por la normativa en vigor. Los hechos conocidos son constitutivos por consiguiente de una doble infracción, imputable a la parte reclamada, por vulneración de los artículos 13 RGPD y 5.1
22. c)RGPD, en lo relativo a la obtención de datos de zonas comunes (vgr. zona de piscina). De acuerdo a lo expuesto, se considera acertado imponer una sanción cifrada en la cuantía de 3000€ (Tres Mil euros), por la infracción del art. 13 RGPD (1000€), así como por tener mal orientadas las cámaras, observando la zona de piscina, afectando al derecho de terceros sin causa justificada, viéndose afectado el art. 5.1
23. c)RGPD (2000€); sanción situada en la escala inferior para este tipo de infracciones. V Entre los poderes correctivos que contempla el artículo 58 del RGPD, en su apartado 2
24. d)se establece que cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a B.B.B., con NIF ***NIF.1, por una infracción del Artículo 5.1.
25. c)y 13 del RGPD, tipificada en el Artículo 83.5
26. a)y
27. b)del RGPD, una multa de 3000€ (Tres Mil Euros). SEGUNDO: ORDENAR de conformidad con el artículo 58.2
28. d)RGPD, para que en el plazo de UN MES desde el día siguiente a la notificación del presente acto, se proceda a acreditar el cumplimiento de las siguientes medidas: -Reemplazo del cartel (
29. s)informativo estando adaptado el mismo a la actual normativa en vigor (RGPD). -Reorientación y/o retirada de la cámara de la piscina, aportando impresión de pantalla (vgr. fecha y hora antes y después) que permita constatar los cambios efectuados. -Acreditación de disponibilidad de formulario (
30. s)informativo a disposición de los clientes (
31. as)del establecimiento. -Inclusión de la cláusula “Video-vigilancia” en la revisión de la información a suministrar en página web a los futuros clientes (
32. as)del complejo de apartamento turísticos. TERCERO: NOTIFICAR la presente resolución a la parte reclamada B.B.B.. CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
33. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
34. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-190122 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es