PS-00508-2014

1/18 Procedimiento Nº PS/00508/2014 RESOLUCIÓN: R/00500/2015 En el procedimiento sancionador PS/00508/2014, instruido por la Agencia Española de Protección de Datos a la entidad SIEMENS S.A, vista la denuncia presentada por D. A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Ha tenido entrada en esta Agencia un escrito remitido por D. A.A.A. comunicando la posible infracción a la Ley Orgánica 15/1999 motivada por la existencia de cámaras de vídeovigilancia en el inmueble situado en la (C/............2), Barcelona y cuyo titular es la mercantil SIEMENS S.A (en adelante la denunciada). En el mencionado escrito, manifiesta “la existencia de un sistema de cámaras localizadas en la fachada del edificio, susceptibles de captar la vía pública. Se desconoce la existencia de fichero de captación de imágenes inscrito en el Registro General de Protección de Datos”. Se adjunta a la denuncia reportaje fotográfico. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1.1. Con fecha 14 de enero de 2014 se solicita información al responsable del sistema, teniendo entrada en esta Agencia escrito de fecha 24 de enero de 2014 mediante el cual el apoderado de la sociedad denunciada comunica:  La sociedad SIEMENS S.A es la representante del local.  Las empresas CHILLIDA SISTEMAS DE SEGURIDAD S.A y PROSEGUR COMPAÑÍA DE SEGURIDAD S.A, instalaron el sistema de cámaras de videovigilancia. Se adjunta como DOCUMENTO Nº 1 copia del pedido ***NÚMERO.1 emitido con fecha 25 de septiembre de 2008 por SIEMENS a CHILLIDA SISTEMAS DE SEGURIDAD S.A, y como DOCUMENTO Nº 2 copia del contrato de arrendamiento de servicios de Seguridad y vigilancia suscrito con fecha 1 de octubre de 2012 entre SIEMENS S.A y PROSEGUR COMPAÑÍA DE SEGURIDAD S.A . C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/18 La finalidad de dicha instalación es la seguridad y control de acceso a edificios y la videovigilancia con el objeto de prevenir y evitar robos, espionajes, sabotajes…etc, además de poder visualizar si se ha producido un incidente. Asimismo la normativa interna del Grupo Siemens establece que se utilice videovigilancia en los edificios por las razones indicadas previamente.  Adicionalmente SIEMENS S.A tiene la homologación como Operador Económico Autorizado de simplificación aduanera/protección y seguridad, para el que la administración exige tener este tipo de vigilancia. Se adjunta documento de homologación (DOCUMENTO Nº 3). En DOCUMENTO Nº 4 se acompaña reportaje fotográfico de cinco carteles informativos de zona videovigilada localizados en el exterior del edificio y en los accesos al inmueble, en los cuales se señala a “SIEMENS S.A Departamento de Compliance” como responsable ante quien poder ejercitar los derechos ARCO.  Con anterioridad a la fecha 7 de enero de 2014 la dirección indicada era SIEMENS S.A, División RR.HH / Seguridad Corporativa, (C/............1) (Madrid. El cambio fue motivado por la restructuración interna de la compañía, sin embargo ambas divisiones actúan de forma coordinada con el objeto de que cualquier solicitud que llegue a la División de RRHH/Seguridad Corporativa sea enviada de forma inmediata a la División de Compliance, garantizando así los plazos de acceso, cancelación, oposición y rectificación establecidos en la LOPD. Existen formularios informativos a disposición de cualquier interesado en la recepción.  Se aporta modelo de formulario informativo debidamente cumplimentado (DOCUMENTO 5). El sistema utiliza monitores de visualización localizados en una sala, cuyo acceso está regulado mediante lector de tarjetas. La ventana de la sala no es transparente.  Se incorpora reportaje fotográfico acreditativo (DOCUMENTO 9) Existe una relación de personal (DOCUMENTO 10) con acceso permitido al sistema de videovigilancia, los cuales poseen distintos grados de gestión. Así podemos encontrar:  C/ Jorge Juan, 6 28001 – Madrid o Personal de la empresa PROSEGUR cuya función es “vigilante de seguridad” y la gestión encomendada de “la monitorización de imágenes en vivo y acceso a las grabaciones para atención de incidencias”. o Personal de la empresa PROSEGUR cuya función es la de “coordinador de vigilancia” y cuya gestión encomendada es “autorizar acceso a grabaciones y análisis de las mismas por orden de responsables funcionales Siemens”. o Personal de la empresa SIEMENS cuya función es “responsable funcional” y su gestión “autorizar el acceso a grabaciones y análisis de las mismas”. www.agpd.es sedeagpd.gob.es 3/18 Se adjunta copia del contrato de acceso a los datos por cuenta de terceros suscrito con fecha 1 de octubre de 2012 con la compañía PROSEGUR COMPAÑÍA DE SEGURIDAD S.A, que habilita el acceso al sistema (DOCUMENTO 2, ANEXO VI).  El sistema de grabación se basa en que todas las cámaras están conectadas a una matriz Simatrix 648. A su vez existen cinco videograbadores Sistore AX16 que conservan grabaciones por un período de 14 días (2 videograbadores), 20 días (2 videograbadores) y 30 días (1 videograbador), y son manejados por el servicio de vigilancia. Hay tres cámaras cuyas imágenes se graban en la propia matriz por un período de 20 días. El código de inscripción del fichero en el Registro General de Protección de Datos es B.B.B.. En DOCUMENTO 11 se acompaña copia del escrito de inscripción del fichero denominado GRABACIONES DE SEGURIDAD en el que figura como responsable SIEMENS S.A y en DOCUMENTO 12 se acompaña copia del Documento de Seguridad para Ficheros de Carácter Personal emitido por SIEMENS S.A con fecha Mayo 2013.  El sistema de videovigilancia no está conectado a ninguna central de alarmas ya que se gestiona en el propio centro de control de SIEMENS. En la siguiente documentación adjunta se detalla el sistema de videovigilancia instalado: C/ Jorge Juan, 6 28001 – Madrid o DOCUMENTO 6: Relación de las 62 cámaras instaladas en el recinto en la que se indica su localización y tipología (zoom y/o movimiento) quedando las mismas adscritas a cinco videograbadores y una matriz. o DOCUMENTO 7: Planos en los que se ubican las cámaras que integran el sistema de videovigilancia. o DOCUMENTO 8: Reportaje fotográfico de cada una de las cámaras y de la imagen que captan visualizada sobre los monitores del sistema, de cuyo análisis se desprende:

1. a)Existen 43 cámaras interiores que captan diversos espacios privativos del inmueble.
2. b)Existen 19 cámaras exteriores, las cuales:  CAM 1: localizada en la planta baja de la Fábrica, recoge un espacio privativo de la misma. Posee capacidad de zoom y movimiento.  CAM 2: localizada en el exterior del edificio pero dentro del recinto, recoge espacio privativo (parking) y un área de vía pública. Posee capacidad de zoom y movimiento. www.agpd.es sedeagpd.gob.es 4/18 C/ Jorge Juan, 6 28001 – Madrid  CAM 3, ubicada en el perímetro exterior capta un espacio de vía pública. Posee capacidad de zoom y movimiento.  CAM 4, ubicada en el perímetro exterior capta un espacio de vía pública. Posee capacidad de zoom y movimiento.  CAM 5, localizada en el exterior del edificio pero dentro del recinto, recoge un espacio privativo del mismo. Posee capacidad de zoom y movimiento.  CAM 8, ubicada en el perímetro exterior, capta una imagen de un acceso al edificio y parte de espacio público.  CAM 33, localizada en el perímetro exterior del edificio capta un área de vía pública.  CAM 34, instalada en el exterior del edificio recoge una imagen de la valla perimetral del mismo y un espacio de vía pública.  CAM 35, localizada en el perímetro exterior, capta un área de acceso rodado al edificio y un espacio de vía pública.  CAM 37, ubicada en el exterior del edificio, recoge una imagen de la valla perimetral del recinto y un espacio de vía pública.  CAM 38, localizada en el exterior del edificio recoge una imagen del interior del recinto.  CAM 39, ubicada en el exterior del edificio capta un espacio privativo del recinto.  CAM 49, localizada en el exterior del edificio capta un espacio de jardín en el interior del recinto y la valla que lo separa de la vía pública. Posee capacidad de zoom y movimiento.  CAM 50, ubicada en el exterior del edificio recoge un espacio privativo del mismo (patio de contenedores). Dispone de capacidad de zoom y movimiento.  CAM 51, localizada en el exterior del edifico capta un espacio privativo del mismo (zona inflamables). Dispone de capacidad de zoom y movimiento.  CAM 52, ubicada en perímetro exterior, se encuentra fuera de servicio y pendiente de reparación. Dispone de capacidad de zoom y www.agpd.es sedeagpd.gob.es 5/18 movimiento.  CAM 53, localizada en el perímetro exterior capta una imagen de la fachada principal y de la vía pública. Dispone de capacidad de zoom y movimiento.  CAM 65, ubicada en el exterior del edificio, dentro del recinto, capta una imagen del mismo.  CAM 66, localizada en el exterior del edificio, dentro del recinto, recoge una imagen privativa del mismo. TERCERO: Con fecha 3 de octubre de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a SIEMENS S.A, por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
3. b)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la entidad SIEMENS S.A formuló alegaciones, significando, que: “Si bien es cierto que alguna de las cámaras enfoca una parte de la vía pública “de manera tangencial y con una mínima intervención sobre terceros”, esto se debe, como se ha explicado en la exposición de los hechos, bien que las características físicas del edificio no permiten una instalación en otro lugar o con otro ángulo que el realizado y siempre se valoró en el momento de la instalación las diferentes opciones disponibles optando por la más idónea y proporcionada procurando la menor intromisión en los derechos de los posibles afectados. (…) … SIEMENS valoró otras opciones en colaboración con las empresas encargadas de la seguridad del edificio, concluyendo que debido a las dimensiones del mismo y distribución, sería imposible asegurar la seguridad del mismo únicamente con personal de seguridad, siendo necesario la instalación del sistema actual de videovigilancia . En consecuencia, la instalación de cámaras de vídeo-vigilancia en el supuesto del caso que nos ocupa con el fin de prevenir conductas delictivas, vandálicas y de protección de la propiedad es una medida proporcional en relación con las infracciones que se pretenden evitar y que se detallan en los hechos. (…) SIEMENS es en todo momento consciente de que el tratamiento de imágenes en lugares públicos sólo puede ser realizado, salvo que concurra autorización gubernativa, por las Fuerzas y Cuerpos de Seguridad, o que opere la excepción establecida el artículo 4.3 de la Instrucción 1/2006 de esta Agencia (…)” Concluyen sus alegaciones solicitando el archivo definitivo del Procedimiento Sancionador o que en caso de no estimarse su pretensión de archivo podría aplicarse el artículo 45.5 de la Ley Orgánica de Protección de Datos por una serie de circunstancias que relacionan y que manifiestan, justifican una rebaja sustancial de la sanción en atención a las circunstancias concretas del caso, fundamentalmente basadas en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/18 escrupuloso cumplimiento por SIEMENS, en todo momento, de la normativa vigente en materia Protección de Datos. QUINTO: Con fecha 31 de octubre de 2014 se inició el período de práctica de pruebas, acordándose practicar las siguientes: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por D. A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante SIEMENS S.A, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/07708/2013. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00508/2014 presentadas por SIEMENS S.A, y la documentación que a ellas acompaña. SEXTO: Con fecha 26 de enero de 2015 se formuló propuesta de resolución, proponiendo la imposición de una sanción de 40.001 € a la entidad SIEMENS S.A, por la comisión de una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
4. b)de dicha Ley. SÉPTIMO: Notificada la propuesta de resolución, la entidad SIEMENS S.A realizó alegaciones frente a la misma en las que comunica: “SIEMENS siempre ha mostrado un respeto absoluto por el derecho a la protección de datos de carácter personal, que se ha convertido en uno de los principios rectores de su actividad. En el supuesto que ha dado causa a este procedimiento, esta parte también ha actuado con el convencimiento de que su conducta no lesionaba derechos e intereses de terceros. (…)” En el escrito de alegaciones se detallan las modificaciones realizadas en las cámaras y se acompaña un Anexo en el que, con cartografía catastral de situación de las parcelas, se aporta: la imagen original captada por cada cámara y la actual, fotografía original de la cámara y la nueva si hay cambio y explicación de la modificación realizada para cada una de las cámaras. Se exponen a continuación las alegaciones relativas a las siguientes cuestiones: Máximo respeto de SIEMENS hacia la normativa de protección de datos. Habilitación legal para llevar a cabo la videovigilancia. Proporcionalidad de la medida. Implementación de las medidas propuestas por la AEPD. Cumplimiento del artículo 6.1. LOPD C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/18 Aplicación de los artículos 45.4 y 45.5 de la LOPD. Concluyen las alegaciones solicitando el archivo definitivo del presente procedimiento sancionador, o bien que se tengan en cuenta las alegaciones en las que se justifica una rebaja sustancial de la sanción en atención a las circunstancias concretas del caso, basadas en el escrupuloso cumplimiento por SIEMENS, en todo momento, de la normativa vigente en materia de Protección de Datos. HECHOS PROBADOS PRIMERO: La entidad SIEMENS S.A es la titular del sistema de videovigilancia instalado en el complejo de la (C/............2), Barcelona. El representante de la entidad denunciada ha manifestado que la finalidad de la instalación es la seguridad y control de acceso a edificios y prevenir y evitar robos, espionajes, sabotajes…etc, además de poder visualizar si se ha producido un incidente. La normativa interna del Grupo Siemens establece que se utilice videovigilancia en los edificios por las razones indicadas previamente. Manifiesta también que SIEMENS S.A tiene la homologación como Operador Económico Autorizado de simplificación aduanera/protección y seguridad, para el que la administración exige tener este tipo de vigilancia. (folios 9 a 223) SEGUNDO: Respecto del deber de informar, se acompaña reportaje fotográfico de cinco carteles informativos de zona videovigilada localizados en el exterior del edificio y en los accesos al inmueble, que señalan a “SIEMENS S.A Departamento de Compliance” como responsable ante quien poder ejercitar los derechos ARCO. Aportan también el modelo de formulario informativo que está a disposición de cualquier interesado en la recepción. (folios 81 a 89) TERCERO: Respecto del acceso a las imágenes manifiestan que el sistema utiliza monitores de visualización localizados en una sala, cuyo acceso está regulado mediante lector de tarjetas y que la ventana de la sala no es transparente. Incorporan reportaje fotográfico. Manifiestan que el acceso está permitido a personal de la empresa Prosegur y a personal propio con perfiles concretos de acceso y se adjunta copia del contrato de acceso a los datos por cuenta de terceros suscrito con fecha 1 de octubre de 2012 con PROSEGUR COMPAÑÍA DE SEGURIDAD S.A, que habilita el acceso al sistema. (folios 18 a 74 y 121 a 123) CUARTO: Sobre la grabación de las imágenes se informa de que el sistema de grabación está compuesto por cinco grabadores y una matriz y que las imágenes se conservan un máximo de 30 días. Informan de que en el Registro General de Protección de Datos han inscrito el fichero denominado GRABACIONES DE SEGURIDAD en el que figura como responsable C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/18 SIEMENS S.A y se acompaña copia del Documento de Seguridad para Ficheros de Carácter Personal emitido por SIEMENS S.A con fecha Mayo 2013. Exponen que el sistema de videovigilancia no está conectado a ninguna central de alarmas ya que se gestiona en el propio centro de control de SIEMENS. (folios 125 a 131) QUINTO: Se adjunta documentación en la que se detalla el sistema de videovigilancia instalado. Se relacionan las 62 cámaras existentes en el recinto con su localización y tipología (zoom y/o movimiento). Se aportan planos en los que se ubican las cámaras que integran el sistema. Se acompaña reportaje fotográfico de cada una de las cámaras y de la imagen que captan visualizada sobre los monitores del sistema. Del análisis realizado por la Inspección de Datos de esta Agencia de lo captado por las cámaras se desprende: Que existen 43 cámaras interiores que captan diversos espacios privativos del inmueble y 19 cámaras exteriores. De entre estas la Inspección de Datos constata que las cámaras numeradas como 2, 3, 4, 8, 33, 34, 35, 37, 49 y 53, captan la vía pública. (folios 109 a 119) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
5. g)en relación con el artículo 36 de la LOPD. II Con carácter previo, debe señalarse que el artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. La LOPD, viene a regular el derecho fundamental a la protección de datos de las personas físicas, esto es, el derecho a disponer de sus propios datos sin que puedan ser utilizados, tratados o cedidos sin su consentimiento, con la salvedad de las excepciones legalmente previstas. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/18 registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el apartado
6. a)del artículo 3 de la LOPD, como “Cualquier información concerniente a personas físicas identificadas o identificables”. En lo que respecta al concepto de “fichero” el artículo 3.
7. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
8. d)de la LOPD define al responsable del fichero o tratamiento como la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” El artículo 3 de la LOPD define en su letra
9. c)el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. La garantía del derecho a la protección de datos, conferida por la normativa de referencia, requiere que exista una actuación que constituya un tratamiento de datos personales en el sentido expresado. En otro caso las mencionadas disposiciones no serán de aplicación. El artículo 5.1.
10. f)del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, define datos de carácter personal como: “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2.
11. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, según el cual, a efectos de dicha Directiva, se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. De lo anteriormente expuesto se desprende que el concepto de dato personal, según la definición de la LOPD, requiere la concurrencia de un doble elemento: por una parte, la existencia de una información o dato y, por otra, que dicho dato pueda vincularse a una persona física identificada o identificable. Así, de conformidad con la normativa expuesta, el denunciado dispone de datos personales y los utiliza, lo que constituye un tratamiento de datos personales del que es responsable, toda vez que es quien decide sobre la finalidad, contenido y uso del citado tratamiento. III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/18 Se imputa a la entidad SIEMENS S.A. como responsable del sistema de videovigilancia instalado en el complejo situado en la (C/............2), Barcelona, la comisión de una infracción del artículo 6.1 de la LOPD, que dispone lo siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado”. Respecto a la legitimación en el tratamiento de las imágenes, la respuesta se encuentra en el artículo 2 de la Instrucción 1/2006, que establece que: “1. Sólo será posible el tratamiento de los datos objeto de la presente instrucción, cuando se encuentre amparado por lo dispuesto en el artículo 6.1 y 2 y el artículo 11.1 y 2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. 2. Sin perjuicio de lo establecido en el apartado anterior la instalación de cámaras y videocámaras deberá respetar en todo caso los requisitos exigidos por la legislación vigente en la materia”. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/18 En el presente expediente, cabe apreciar que las cámaras instaladas captan imágenes de personas, de conformidad con lo anteriormente expuesto. Dichas imágenes, incorporan datos personales de las personas que se introducen dentro de su campo de visión y, por lo tanto, los datos personales captados están sometidos al consentimiento de sus titulares, de conformidad con lo que determina la LOPD. Dicho tratamiento, por tanto, ha de contar con el consentimiento de los afectados, circunstancia que no se ha acreditado. IV Por otro lado, en este caso concreto, con relación a las cámaras instaladas en el exterior del establecimiento denunciado, hay que señalar que para entender las especialidades derivadas del tratamiento de las imágenes en la vía pública que captan las cámaras situadas en el exterior, es preciso conocer la regulación que sobre esta materia se contempla en el artículo 1 de la Ley Orgánica 4/1997, de 4 de agosto, por la que se regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad en lugares públicos que establece: “La presente Ley regula la utilización por las Fuerzas y Cuerpos de Seguridad de videocámaras para grabar imágenes y sonidos en lugares públicos abiertos o cerrados, y su posterior tratamiento, a fin de contribuir a asegurar la convivencia ciudadana, la erradicación de la violencia y la utilización pacífica de las vías y espacios públicos, así como de prevenir la comisión de delitos, faltas e infracciones relacionados con la seguridad pública”. Este precepto es preciso ponerlo en relación con lo dispuesto en el artículo 3
12. e)de la Ley Orgánica 15/1999, donde se prevé que: “Se regirán por sus disposiciones específicas y por lo especialmente previsto, en su caso, por esta Ley Orgánica los siguientes tratamientos de datos personales:
13. e)Los procedentes de las imágenes y sonidos obtenidos mediante la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad, de conformidad con la legislación sobre la materia”. En virtud de todo lo expuesto, podemos destacar que la instalación de videocámaras en lugares públicos es competencia exclusiva de las Fuerzas y Cuerpos de Seguridad, de ahí que la legitimación para el tratamiento de dichas imágenes se contemple en la Ley Orgánica 4/1997, y además en el mismo texto legal se regulan los criterios para instalar las cámaras y los derechos de los interesados. Asimismo, debe recordarse que el tratamiento de las imágenes deberá cumplir con el principio de proporcionalidad en el tratamiento, consagrado por el artículo 4.1 de la Ley Orgánica 15/1999, según el cual “los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido”. Así lo recuerda el artículo 4.1 de la Instrucción 1/2006, al señalar que “de conformidad con el artículo 4 de la Ley Orgánica 15/1999 de 13 de diciembre, de Protección de Datos de Carácter Personal, las imágenes sólo serán tratadas cuando sean adecuadas, pertinentes y no excesivas en relación con el ámbito y las finalidades determinadas, legítimas y explícitas, que hayan justificado la instalación de las cámaras o videocámaras”. En el presente procedimiento no ha quedado acreditado que el sistema de videovigilancia del denunciado estuviera acogido a las disposiciones de la Ley Orgánica C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/18 4/1997, de 4 de agosto, que regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad en lugares públicos, por lo que el tratamiento de los datos recogidos en la vía pública carece de habilitación legal. En este caso, las cámaras ubicadas en el exterior del complejo situado en la calle Luis Muntadas 4-5, 08940 de Cornellá de Llobregat, Barcelona, graban imágenes de la vía pública. La inspección de Datos de esta Agencia ha constatado que, varias de las cámaras instaladas en el exterior del complejo objeto de denuncia, captan imágenes de las calles circundantes de manera desproporcionada, tal y como se acredita con el reportaje fotográfico aportado por la entidad denunciada (folios 109 a 119), sin que tengan autorización administrativa al respecto, puesto que como ya se ha establecido “ut supra”, la instalación de cámaras en la vía pública es competencia exclusiva de las Fuerzas y Cuerpos de Seguridad del Estado. Sobre las 19 cámaras exteriores instaladas en el complejo denunciado, la Inspección de Datos de esta Agencia ha valorado lo siguiente respecto de alguna de ellas: Cámara 2: localizada en el exterior del edificio pero dentro del recinto, recoge espacio privativo (parking) y un área de vía pública. Posee capacidad de zoom y movimiento. Cámara 3, ubicada en el perímetro exterior capta un espacio de vía pública. Posee capacidad de zoom y movimiento. Cámara 4, ubicada en el perímetro exterior capta un espacio de vía pública. Posee capacidad de zoom y movimiento. Cámara 8, ubicada en el perímetro exterior, capta una imagen de un acceso al edificio y parte de espacio público. Cámara 33, localizada en el perímetro exterior del edificio capta un área de vía pública. Cámara 34, instalada en el exterior del edificio recoge una imagen de la valla perimetral del mismo y un espacio de vía pública. Cámara 35, localizada en el perímetro exterior, capta un área de acceso rodado al edificio y un espacio de vía pública. Cámara 37, ubicada en el exterior del edificio, recoge una imagen de la valla perimetral del recinto y un espacio de vía pública. Cámara 49, localizada en el exterior del edificio capta un espacio de jardín en el interior del recinto y la valla que lo separa de la vía pública. Posee capacidad de zoom y movimiento. Cámara 53, localizada en el perímetro exterior capta una imagen de la fachada principal y de la vía pública. Dispone de capacidad de zoom y movimiento. De la observación de lo captado por estas cámaras se deduce claramente lo desproporcionado de la captación de vía pública (folios 109 a 119 y 289). La entidad responsable aporta las imágenes captadas coloreando de azul la zona privativa y extendiendo este coloreado a la altura de la valla perimetral que es de malla y permite la visión, ocultando así en algunos casos la vía pública captada que resulta ser mayor, como ocurre en las cámaras 34 y 37. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/18 Por otra parte y respecto de las cámaras que disponen de posibilidad de movimiento y zoom, cámaras 1 a 5 y 49 a 53 (folio 91), cabe hacer la observación de que se dispone de una sola imagen de lo captado por ellas resultando imposible valorar lo captado por esas cámaras en toda su extensión una vez accionada la capacidad de movimiento. De esto se concluye que las cámaras con capacidad de movimiento y zoom son susceptibles de captar un espacio superior al que se ha informado por parte de la entidad denunciada y que deberían disponer de limitadores de captación fuera del entorno privativo del complejo denunciado (máscaras de privacidad, limitadores de movimiento…). Respecto de lo que se observa en las imágenes aportadas de lo captado por las cámaras puede verse que en varios casos llegan a captarse pasos de peatones, cámaras 3, 4 y 35, en otros se capta una porción de vía pública claramente desproporcionada, cámaras 33, 34, 37 y en otros casos se captan espacios privativos pero que son de libre tránsito público, de forma excesiva, cámaras 8 y53. En el escrito de alegaciones a la propuesta de resolución del presente procedimiento, se detallan las modificaciones realizadas en cada una de las cámaras y se acompaña un Anexo en el que, junto con cartografía catastral de situación de las parcelas, se aporta lo siguiente: la imagen original captada por cada cámara y la que capta tras la modificación realizada, fotografía original de la cámara y la nueva si hay cambio y explicación de la modificación realizada para cada una de las cámaras. Del examen de las modificaciones realizadas en las que unas cámaras se han reorientado, en otras se ha modificado el emplazamiento, se han eliminado o se ha sustituido un tipo de cámara por otra, se concluye que las imágenes que captan las cámaras, según lo aportado en dicho escrito, resultan proporcionales porque se capta una porción mínima de la vía pública. A la vista de lo aportado por la entidad denunciada, se considera que el tratamiento de datos personales realizado con la captación de imágenes con las videocámaras resulta proporcionado una vez realizadas las modificaciones que se han alegado. Un tratamiento que resulta adecuado en relación con la finalidad de protección y seguridad para las que se recogen las imágenes, respondiendo así a la intervención mínima que exige la ponderación entre la finalidad de vigilancia y control de bienes y personas y la posible afectación por la utilización de las mencionadas videocámaras al derecho al honor, a la propia imagen, a la intimidad de las personas y a la normativa de protección de datos. V Por otra parte, la Directiva 95/46/CE en su Considerando 14 afirma: “