PS-00512-2022

1/10  Expediente Nº: EXP202104924 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 13 de diciembre de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a FARMACIA MERCADO CENTRAL DE SAN FERNANDO C.B (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202104924 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A.(*en adelante, la parte reclamante) con fecha 11 de noviembre de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra la entidad FARMACIA MERCADO CENTRAL DE SAN FERNANDO C.B. con NIF E72225956 (en adelante, la parte reclamada/ ALIAS). Los motivos en que basa la reclamación son los siguientes: “(…) que en la Farmacia en la que trabaja se han instalado cámaras de videovigilancia que captarían la vía pública y que grabarían sonido de conversaciones mantenidas entre los trabajadores y usuarios de la Farmacia” (folio nº 1). Aporta un video de una grabación procedente a priori del sistema de videovigilancia de la Farmacia (Anexo I). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada en fecha 26/11/2021, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/10 El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en tiempo y forma como consta en el acuse de recibo que obra en el expediente. TERCERO: Con fechas 23/12/21, 13/04/22 y 09/05/22 se reciben escritos de la reclamada, cuyo contenido se recoge de manera sucinta por motivos de economía procedimental en el punto 5º de los actuales HECHOS expuestos. CUARTO: Con fecha 11 de febrero de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Por parte de la Subdirección de Inspección de Datos (AEPD) se tramita el expediente con número. EXP202104924, siendo al investigada FARMACIA MERCADO CENTRAL DE SAN FERNANDO C.B con NIF E72225956 con domicilio en ***DIRECCIÓN.1. RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Con fecha 6 y 27 de abril de 2022 se requiere a la parte reclamada que informe a esta Agencia sobre los videoporteros instalados en la entrada principal y en el torno a través del cual se dispensan los artículos durante el turno de guardia. Con fecha 13 de abril y 9 de mayo de 2022 se reciben en esta Agencia sendos escritos en los que manifiesta: - Los videoporteros instalados son de la marca Ring Video, modelo Doorbell Elite, y la fecha de instalación es el 22 de marzo de 2021. - Se han colocado máscaras en las cámaras de los videoporteros para las zonas que exceden del espacio imprescindible para los fines de seguridad que persigue la parte reclamada, que manifiesta que el establecimiento cuenta con un amplio historial de robos incluso con violencia. - Los videoporteros están configurados para su activación tras el timbrado y la configuración del sistema no permite la realización de grabaciones ni el registro de eventos pasados. - Existe un único dispositivo, un teléfono móvil que está en todo momento en el despacho de la farmacia, para el visionado de imágenes en tiempo real y transmisión de la conversación. La aplicación asociada al teléfono móvil para la transmisión de video y voz es Ring para Android. El teléfono móvil es utilizado exclusivamente para la gestión de los videoporteros y tiene habilitado el bloqueo de pantalla siendo necesaria la introducción de un patrón de Android para su uso. Dicho patrón solo es conocido por el perso- C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/10 nal autorizado, técnicos y farmacéuticos del turno de noche, que custodia el teléfono móvil en todo momento. - La parte reclamada no tiene contratado con el fabricante, Ring, servicio de mantenimiento ni servicio adicional en nube o local. Y aporta la siguiente documentación relevante: - Copia de la factura de compra de los videoporteros en la que se incluye la marca y el modelo: Ring Video Doorbell Elite – Cámara de Timbre inalámbrica (802, 11b/g/n, 2,4 GHz, 5GHz). Asimismo, se incorpora enlace a la página de web del fabricante donde se pueden consultar las características y el modo de funcionamiento. Información sobre Ring Video Doorbell Elite – Ring Help De la información publicada en la página web del fabricante se destaca la siguiente: ¿Guarda Ring Video Doorbell Elite los vídeos para su posterior revisión? Puede hacerlo. Sin embargo, requiere una suscripción al Plan de Protección de Ring, un servicio opcional que te permite ver, guardar y compartir vídeos. Para obtener más información sobre el Plan de protección de Ring y qué planes hay disponibles, consulta Suscribirse a Planes de protección de Ring. - Fotografías en las que se muestra el campo de visión de las cámaras de los videoporteros. Se observa la existencia de máscaras en las cámaras que evitan que capten vía pública. - Listado de personas con acceso al teléfono móvil utilizado para la gestión de los videoporteros. Con fecha 27 de abril de 2022 se envía una solicitud de información al fabricante mediante certificado internacional para que informe de si le consta alguna suscripción a los Planes de protección de Ring asociada a los dispositivos instalados en la farmacia de la parte reclamada. Esta solicitud de información no ha sido atendida a fecha de redacción del presente informe. Con fecha 20 de mayo de 2022 se envía una solicitud de información a la parte reclamante para que informe sobre los siguientes aspectos en relación con el video aportado en su reclamación: - Marca, modelo y propiedad del dispositivo a través del cual se grabó el video remitido a esta Agencia. - Descripción detallada de cómo se descargó y en qué dispositivo el video aportado. - Descripción en detalle de cómo se realizó la grabación, puntualizando si se llevó a cabo a través de la funcionalidad “grabación de pantalla” que los móviles incluyen de serie o a través de otra aplicación. - Explicación de la captura de pantalla de móvil que aparece al final del video y del significado del icono de cámara de video al lado del icono de WhatsApp. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/10 Este requerimiento de información que tiene de fecha de acuse de recibo el 31 de mayo de 2022 no ha sido atendido en plazo ni a fecha de redacción del presente informe. 48-110422 FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II En el presente caso, se procede a examinar la reclamación de fecha 11/11/2021 por medio de la cual se traslada lo siguiente “instalación de cámaras de seguridad que pudieran captar vía pública y el interior del establecimiento sin causa justificada” (folio nº 1). El art. 5.1

1. c)RGPD dispone lo siguiente: Los datos personales serán: “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»). Cabe recordar que los particulares son responsables de velar por que los sistemas instalados se ajusten a la legalidad vigente, acreditando que la misma cumpla con todos los requisitos exigidos por la normativa en vigor. La instalación de este tipo de dispositivos debe contar con el preceptivo cartel informativo, indicando los fines y responsable del tratamiento en su caso de los datos de carácter personal. En todo caso, las cámaras deben estar orientadas hacia el espacio particular, evitando intimidar a vecinos colindantes con este tipo de dispositivos, así como controlar zonas de tránsito de los mismos sin causa justificada. Tampoco con este tipo de dispositivos se puede obtener imágen (
2. es)de espacio público, al ser esta competencia exclusiva de las Fuerzas y Cuerpos de Seguridad del Estado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/10 Por parte de los particulares no se puede instalar aparatos de obtención de imágenes de espacio público y/o tránsito de terceros, fuera de los casos permitidos en la normativa. La finalidad de este tipo de dispositivos debe ser la seguridad del inmueble y de sus moradores, evitando la afectación de derechos de terceros que se vean intimidados con los mismos III De conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que la parte reclamada dispone de un sistema de cámaras de video-vigilancia que está obteniendo grabaciones de conversaciones de los clientes y operarios del establecimiento. La entidad reclamada no niega la existencia de dispositivos de video-vigilancia, argumentando disponer de cartel (
3. es)informativos informando que se trata de zona video-vigilada, si bien reconoce la “grabación de las conversaciones”. La voz es un dato de carácter personal, de manera que si bien se permite la presencia de cámaras de video-vigilancia por motivos de seguridad, la posibilidad de obtener las conversaciones con los clientes o la de estos con los operarios o personal del establecimiento, se considera una medida excesiva en la preservación del establecimiento, frente a supongamos hipotéticos hurtos. El uso de cámaras en el trabajo, por lo tanto, está legalmente admitido siempre que se respeten los principios de "proporcionalidad" e "intervención mínima" en la 'invasión' que estas producen en el derecho a la intimidad de la plantilla. La reclamada reconoce en escrito 09/05/22 “en relación a las funcionalidades a las que tienen acceso los usuarios son exclusivamente el visionado de imágenes en tiempo real y transmisión de la conversación”. En este sentido, el artículo 89 de la LOPDGDD autoriza expresamente las videograbaciones en el trabajo, pero agrega que "en ningún caso se admitirá la instalación de sistemas de grabación de sonidos ni de videovigilancia en lugares destinados al descanso o esparcimiento de los trabajadores o los empleados públicos, tales como vestuarios, aseos, comedores y análogos". Los hechos conocidos podrían ser constitutivos de una infracción, imputable a la parte reclamada por la afectación al contenido del artículo 5.1
4. c)RGPD, anteriormente mencionado. El artículo 73 LOPDGDD (LO 3/2018) “infracciones muy Graves”. 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/10
5. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. IV El art. 83.5 RGPD dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
6. a)Los principios básicos para el tratamiento incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9 (…)”. En el presente caso se tiene en cuenta que se trata de un establecimiento farmacéutico, así como la ausencia de infracciones previas, si bien se valora la posibilidad de grabar conversaciones privadas, motivos todos ello que llevan a proponer inicialmente una sanción cifrada en la cuantía de 1.000€, acorde a los hechos descritos, considerándose la negligencia como grave. V De confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
7. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender a los requerimientos de este organismo puede ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a FARMACIA MERCADO CENTRAL DE SAN FERNANDO C.B, con NIF E72225956, por la presunta infracción del artículo 5.1
8. c)RGPD, tipificada en el artículo 83.5
9. a)RGPD. SEGUNDO: NOMBRAR como instructor a B.B.B. y, como secretario, a C.C.C., indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/10 TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
10. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de 1.000€, sin perjuicio de lo que resulte de la instrucción. QUINTO: NOTIFICAR el presente acuerdo a FARMACIA MERCADO CENTRAL DE SAN FERNANDO C.B., con NIF E72225956, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
11. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 800 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 800 euros y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 600€. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente 480€ ò 360€, deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00 0000 0000 0000 0000 0000 (BIC/Código SWIFT: ………) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/10 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-110422 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 20 de diciembre de 2022, la parte reclamada ha procedido al pago de la sanción en la cuantía de 600 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/10 subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202104924, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a FARMACIA MERCADO CENTRAL DE SAN FERNANDO C.B. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
12. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/10 936-040822 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es