PS-00519-2013

1/46 Procedimiento Nº PS/00519/2013 RESOLUCIÓN: R/02361/2015 En el procedimiento sancionador PS/00519/2013, instruido por la Agencia Española de Protección de Datos a las entidades MADRID ESPACIOS Y CONGRESOS, S.A., y SEGURIBER, S.L.U., vista la denuncia presentada por Don A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 19 de noviembre de 2012, tuvo entrada en esta Agencia escrito de Don A.A.A. en el que como trabajador en calidad de vigilante de la empresa de seguridad SEGURIBER manifiesta que en los centros de seguridad de los recintos feriales de la Casa de Campo y Caja Mágica de Madrid: - Se visionan y extraen imágenes del Circuito Cerrado de Televisión sin orden judicial y de manera aleatoria sobre diversas personas y situaciones amenazando con el despido laboral a los operadores que en ese centro de control prestan servicios si denuncian dichas prácticas. - Los soportes DVD, CD y USB sobre los que son extraídos y “enseñados como trofeos” a personas ajenas a seguridad y una vez que no les interesan son tirados a la basura sin ser destruidos. Adjunta tres cd´s que manifiesta haber encontrado en la “basura pública“ con el siguiente contenido: o CD1: Etiqueta interna “29 mar 2012” sin etiqueta externa y número de serie ***NÚMERO.1 (CD1) en el que incluyen dos carpetas denominadas  “evento klubers 2012” que contiene los ficheros siguientes: 1. “***FICHERO.1”: en el que se muestra la grabación de un incidente o disputa entre varias personas en lo que aparentemente es uno de los accesos o salidas de un recinto. 2. “***FICHERO.2”: en el que se muestra la grabación de un incidente en el que interviene la Policía Municipal de Madrid y en el suelo hay dos varones al menos uno de ellos muestra heridas aparentes en su cabeza. La cámara es de tipo domo con zoom y movimiento. 3. “SALIDA RECINTO ***FICHERO.3”: en el que se muestra un incidente en la verja de acceso a un recinto donde se produce una aglomeración de público y una persona trepa por la mencionada verja. La cámara es de tipo domo con zoom y movimiento.  “evento klubers 2012.dia1” que contiene los ficheros siguientes: 1. “ENTRADA C/ Jorge Juan, 6 28001 – Madrid PRINCIPAL pipa tejado_***FICHERO.4”: www.agpd.es sedeagpd.gob.es 2/46 2. 3. 4. 5. 6. muestra la posible intervención de la Policía en la cubierta de un edificio. La cámara dispone de zoom y movimiento. “***FICHERO.1”: en el que se muestra la grabación de un incidente o disputa entre varias personas en lo que aparentemente es uno de los accesos o salidas de un recinto, imágenes que coinciden con las que muestra el fichero “***FICHERO.1” siendo igualmente coincidente el tamaño de ambos ficheros (8,39 MB (8.805.352 bytes)). “***FICHERO.2”: mismo fichero que aparece en la carpeta “evento klubers 2012” con idéntico nombre, se muestran las mismas imágenes y el tamaño del fichero es el mismo en ambos casos (11,6 MB (12.230.512 bytes)). “***FICHERO.5”: imágenes de lo que aparenta ser el mismo incidente que el que reflejan los ficheros “***FICHERO.2” y “***FICHERO.2” en el que se observa a las dos personas que se encuentran en el suelo siendo atendidas por personal sanitario (SAMUR). “F14_persecucion klubers ***FICHERO.6”: imágenes de una vía en la que se observan vehículos aparcados y por la que transitan a pie varias personas observando personal de seguridad transitando a pie en la misma vía. “SALIDA RECINTO ***FICHERO.3”: mismo fichero que el que contiene con idéntico nombre la carpeta “evento klubers 2012” cuyos tamaños también coinciden (8,73 MB (9.159.064 bytes)). o CD2: Mismo contenido que CD1, idéntica etiqueta interna (“29 mar 2012”) e idéntico número de serie que CD1 (***NÚMERO.1) y etiqueta externa manuscrita “CONSOLA CASA CAMPO”. Para cada uno de los ficheros mencionados existe otro fichero con el mismo nombre pero distinta extensión (.rec1) que no es posible visualizar en pc. o CD3: Contiene una carpeta denominada “VICENTE” en la que se encuentran los ficheros: 1. “c5.cafeteria_***FICHERO.7”: Muestra una sala amplia al fondo de la cual en el minuto 7:15 y 8:04 se observa una persona o varias a las que no es posible identificar. 2. “c5.cafeteria_***FICHERO.8”: Idéntica imagen que muestra el fichero anterior en la que se observa a una persona transitar por el lateral y fondo de la sala sobre el minuto 0:50 y hacia el minuto 2:10 se observa transitar a una persona a la que es posible identificar por la parte inferior de la pantalla. 3. “c5.sectorB.pasillo cafeteria._***FICHERO.9”: Muestra la imagen de una amplia sala diáfana al fondo de la cual se observa el tránsito de una persona (minutos 0:30 y 1:05). 4. “c5.sectorB.pasillo cafeteria._***FICHERO.10”: idénticas imágenes que las mostradas en el fichero anterior y en las que se observa el tránsito de una persona al fondo de la sala C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/46 entorno a los minutos 0:30 y 1:04. 5. “c5.sectorB.pasillo cafeteria._***FICHERO.11”: Idéntica imagen que la mostrada en los dos ficheros anteriores y donde se observa con mayor claridad el tránsito de una persona. 6. “domo c5.sector ***FICHERO.12”: Imagen de una puerta de acceso en la que se observa el tránsito de una persona que transporta una bolsa. 7. “muelle monico interior_***FICHERO.13”: Imagen de un hall de acceso en el que transita una persona y accede al interior de una dependencia desde una puerta de acceso lateral. 8. “muelle monico interior_***FICHERO.14”: Imagen igual a la anterior en la que se observa un vigilante aparentemente armado salir del interior de la misma dependencia que se ubica a la derecha de la imagen. 9. “muelle monico interior_***FICHERO.15”: Imagen igual a la anterior en la que se observa a una persona abandonar el hall por la puerta ubicada a la izquierda del mismo. 10. “muelle monico interior_***FICHERO.16”: Imagen igual a la anterior en la que se observa a una persona abandonar el hall por la puerta ubicada a la izquierda del mismo con una bolsa en las manos. 11. Además de los ficheros descritos el CD3 contiene los ficheros con extensión “.rec1” que no ha sido posible visualizar en PC:  “COGE BOLSA***FICHERO.8” de tamaño similar al fichero “c5.cafeteria_***FICHERO.8”.  “ENTRA CAFETERIA2._***FICHERO.10” de tamaño similar al fichero “c5.sectorB.pasillo cafeteria._***FICHERO.10”.  “ENTRA CAFETERIA_***FICHERO.13” de tamaño similar al fichero “muelle monico interior_***FICHERO.13”.  “PERMANECE EN COCINA Y BARRA_***FICHERO.7” de tamaño similar al fichero “c5.cafeteria_***FICHERO.7”.  “SALE A PASILLO EXT._***FICHERO.14” de tamaño similar al fichero “muelle monico interior_***FICHERO.14”.  “SALE CON BOLSA_***FICHERO.11” de tamaño similar al fichero “c5.sectorB.pasillo cafeteria._***FICHERO.11”.  “SALE PASILLO._***FICHERO.9” de tamaño similar al fichero “c5.sectorB.pasillo cafeteria._***FICHERO.9”.  “SE VA_***FICHERO.15” de tamaño similar al fichero “muelle monico interior_***FICHERO.15”. - Así mismo el denunciante manifiesta que: o C/ Jorge Juan, 6 28001 – Madrid En ocasiones los trabajadores de la empresa SEGURIBER son requeridos para extraer imágenes o borrar grabaciones de situaciones que pudieran ocasionar un perjuicio a las entidades SEGURIBER o MADRID ESPACIOS Y CONGRESOS. www.agpd.es sedeagpd.gob.es 4/46 o Se requiere a los trabajadores de la empresa SEGURIBER a quitar la cámara de posición cuando las entidades referidas cometen irregularidades en los eventos para evitar que no salgan en la grabación si es requerida por la Policía en caso de denuncia como por ejemplo excesos de aforos en algunos accesos al recinto, agresiones, cacheos indiscriminados e incluso seguir a gente por la calle ya que las cámaras tienen alcance incluso hasta ventanas de edificios, todo ello en los recintos de MADRID ARENA, PALACIO CRISTAL, CAJA MÁGICA, PAB. Pipa). SEGUNDO: A la vista de los hechos denunciados, con fecha 22 de enero de 2013, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicitó información al denunciante sobre: 1. Lugar exacto en el que fueron encontrados los CD que ha aportado con su denuncia. 2. Fecha exacta en que fueron encontrados los CD que ha aportado con su denuncia. 3. Fecha en que fueron grabadas las que las imágenes por usted aportadas. 4. Detalles y evidencias que obren en su conocimiento o en su poder con relación a las irregularidades a las que se refiere en su escrito de denuncia. 5. Motivos por los que las imágenes grabadas en CD fueron extraídas del sistema de videovigilancia. 6. Relación completa de los recintos en los que se cometen las irregularidades que pone de manifiesto en su denuncia. Con fecha 30 de enero de 2013 tiene entrada en esta Agencia escrito del denunciado en el que manifiesta: - Los CD´s que ha aportado con su denuncia fueron encontrados en la basura pública y concretamente en los contenedores de basura de la acera de enfrente al patio del PAB de la PIPA (zona ajardinada) y los mismos fueron encontrados durante la primera semana del mes de mayo de 2012. - Las imágenes grabadas en los CD aportados por el denunciante muestran imágenes de la fiesta denominada “KLOBERS” del año 2012. - Las imágenes son extraídas “por antojos y motivos personales de los señores B.B.B., inspector de la empresa SEGURIBER, y Sr. C.C.C., jefe de seguridad de Madrid espacios y congresos, sin orden judicial y sin la destrucción posterior de los mismos”. - Los recintos en los que se producen estas graves irregularidades son todos los de Casa de Campo en los que la vigilancia corresponde a la entidad SEGURIBER como son: o o o C/ Jorge Juan, 6 28001 – Madrid Pabellón Arena. Pabellón Pipa. Pabellón Cristal. www.agpd.es sedeagpd.gob.es 5/46 Y en los recintos de: o o - - Oficinas ejecutivas. Caja Mágica. Concretamente el denunciante pone de manifiesto las siguientes irregularidades: o En el recinto de la Caja Mágica: se realizan seguimientos de personas en la vía pública fuera del recinto, la garita (f-2) no tiene tope y puede visionar las viviendas que se encuentran enfrente, se extraen imágenes sin orden judicial y se realiza cambio de situación del enfoque de los domos por posibles irregularidades “para que si son solicitadas por fuerzas y cuerpos de seguridad no conste nada ilegal.” o En los recintos de la Casa de Campo: las mismas irregularidades que en el recinto de la Caja Mágica a excepción del alcance de las cámaras hacia las viviendas. El denunciante aporta un listado de cinco personas con nombres apellidos teléfonos y cargos ocupados por los mismos en calidad de testigos. TERCERO: En fecha 20 de febrero de 2012 se realizó inspección al denunciado en la que se ponen de manifiesto los siguientes aspectos: 1 Los representantes del inspeccionado realizan las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: 1.1 MADRID ESPACIOS Y CONGRESOS, S.A. es una Empresa Municipal que ostenta la cesión de uso de las infraestructuras municipales: - Caja Mágica. Recinto de la Casa de Campo que comprende el Pabellón Arena, Pabellón Pipa, Pabellón de Cristal. Palacio Municipal de Congresos en donde se localizan las Oficinas Ejecutivas. 1.2 Existen contratos de adjudicación de concursos públicos a favor de la entidad UTE SEGURIBER INTEGRALES con CIF ******* en los que se asigna a dicha entidad la gestión e implantación de seguridad privada en las mencionadas infraestructuras municipales. 1.3 La finalidad de los sistemas de videovigilancia instalados en las referidas infraestructuras es la seguridad. En ningún caso la finalidad de las cámaras es el control de los trabajadores. 1.4 Las imágenes se almacenan en videograbadores digitales que se encuentran en los centros de control que disponen de acceso restringido y que se ubican en: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/46 - Recinto Casa de Campo. Recinto Caja Mágica. Oficinas Ejecutivas. Con relación a las Oficinas Ejecutivas del inspeccionado se encontraban ubicadas en el Recinto de la Casa de Campo y han sido trasladadas durante el mes de febrero del presente a la quinta planta del inmueble sito en (C/.........1) de Madrid (Palacio Municipal de Congresos), encontrándose el inmueble donde anteriormente se ubicaban vacío. 1.5 1.6 C/ Jorge Juan, 6 28001 – Madrid En cuanto al procedimiento utilizado en la gestión y extracción de imágenes de los sistemas de videovigilancia manifiestan: - El personal de seguridad de UTE SEGURIBER INTEGRALES accede únicamente a las imágenes en tiempo real desde el centro de control, a las imágenes grabadas accede únicamente el responsable de Seguridad de MADRID ESPACIOS Y CONGRESOS. El acceso a las imágenes grabadas es con usuario y contraseña que únicamente son conocidos por el Responsable de Seguridad de MADRID ESPACIOS Y CONGRESOS SA. - Existe un parte diario que elabora el Jefe de Equipo de Seguridad en el que se detallan las incidencias y donde se incluyen las incidencias ocurridas con el sistema de videovigilancia. - Las imágenes se eliminan automáticamente y nunca se extraen salvo cuando existe un requerimiento policial o judicial. En el caso “MADRID ARENA” todos los grabadores han sido retirados a requerimiento Judicial y en la actualidad no se realiza ninguna grabación únicamente se visiona en tiempo real. - Cuando existe mandamiento Judicial o Policial por el que se requieren imágenes del sistema de videovigilancia se hace entrega de un CD a las Fuerzas y Cuerpos de Seguridad o Juzgados y se conserva copia del dicho CD con el requerimiento que lo ha motivado y con el acuse de recibo de la entrega de las imágenes. Esta circunstancia se ha producido en una ocasión con relación a la Caja Mágica en el año 2009 y en el caso “Madrid Arena”. - La extracción de las imágenes la realiza el personal técnico de la entidad UTE SEGURIBER INTEGRALES a requerimiento de MADRID ESPACIOS Y CONGRESOS SA. En cuanto a las modificaciones que puedan realizarse en el sistema de videovigilancia manifiestan: - Las cámaras se ubican principalmente en el perímetro y viales de las infraestructuras gestionadas por el inspeccionado. - Nunca se realizan cambios de ningún tipo en el sistema de www.agpd.es sedeagpd.gob.es 7/46 videovigilancia, las únicas modificaciones que se realizan (desconexión de cámaras o cambios de orientación de las cámaras) son las solicitadas por Protocolo de la Casa Real. 2 - El mantenimiento correctivo de los sistemas de videovigilancia lo realiza la entidad UTE SEGURIBER INTEGRALES. - Con relación a la petición de cambios en los sistemas de videovigilancia no se conoce por parte del inspeccionado ninguna queja de los trabajadores de UTE SEGURIBER INTEGRALES ni de los representantes de los trabajadores en contra de las modificaciones de los cambios de los sistemas de videovigilancia. Los inspectores de la Agencia constatan: CON RELACIÓN A LAS OFICINAS EJECUTIVAS: - En la actualidad las Oficinas Ejecutivas se ubican en la quinta planta del inmueble sito en (C/.........1) (Madrid) donde se encuentran instaladas tres cámaras de videovigilancia que captan imágenes del espacio donde se ubican las oficinas. - Existen carteles de zona videovigilada en los términos referidos en el artículo 3.a de la Instrucción 1/2006. - Las imágenes más antiguas se conservan de fecha 7 de febrero de 2013. - Existe un parte de incidencias diario donde el Jefe de Equipo detalla las incidencias de seguridad y en donde se incluye incidencia sobre el sistema de videovigilancia. CON RELACIÓN AL SISTEMA DE VIDEOVIGILANCIA INSTALADO EN CAJA MÁGICA: - Existen carteles de zona video vigilada en los accesos al recinto en los términos referidos en el artículo 3.a de la Instrucción 1/2006. - Existen un total de treinta cámaras sin movimiento y sin zoom en el perímetro del recinto: o o o o o C/ Jorge Juan, 6 28001 – Madrid Las cámaras 135, 136 y 96 se encuentran fuera de servicio en el momento de la inspección. Cámara 164: Capta imágenes del Parking de embajadores y M30. Cámara 157: Capta imágenes de la zona inferior del puente de Embajadores por el que se accede al recinto. Cámara 156: Capta imágenes de la entrada del puente al recinto. Cámara 154: Capta imágenes de jardín interior del recinto y www.agpd.es sedeagpd.gob.es 8/46 o o o o o o o o o o o o o o o o o o o o o o o parte de la pista exterior que discurre junto al río Manzanares. Cámara 153: Capta imágenes de jardín interior del recinto y parte de la pista exterior que discurre junto al río Manzanares. Cámara 152: Capta imágenes de un vial interior del recinto. Cámara 151: Capta imágenes del vallado interior del recinto. Cámara 150: Capta imágenes de jardín interior del recinto y parte de la pista exterior que discurre junto al río Manzanares. Cámara 149: Capta imágenes del vallado interior del recinto. Cámara 148: Capta imágenes de una zona de acopio de materiales. Cámara 147: Capta imágenes del acceso sur al recinto. Cámara 146: Capta imágenes de una explanada interior del recinto. Cámara 145: Capta imágenes de la explanada sur del recinto y Camino de Perales. Cámara 144: Capta imágenes del Camino de Perales zona de aparcamiento público exterior y viviendas colindantes. Cámara 142: Capta imágenes del perímetro sur del recinto y parking público de Camino de Perales. Cámara 141: Capta imágenes del perímetro sur del recinto y parking público de Camino de Perales. Cámara 140: Capta imágenes del perímetro sur del recinto y parking público de Camino de Perales. Cámara 139: Capta imágenes de la puerta de acceso al recinto desde el interior. Cámara 138: Capta imágenes del perímetro sur del recinto y parking público de Camino de Perales. Cámara 137: Capta imágenes del perímetro sur del recinto y parking público de Camino de Perales. Cámara 161: capta imágenes de un vial del recinto y de la parcela colindante. Cámara 158: Capta imágenes de jardín interior del recinto y parte de la pista exterior que discurre junto al río Manzanares. Cámara 159: Capta imágenes de jardín interior del recinto y parte de la pista exterior que discurre junto al río Manzanares. Cámara 160: Capta imágenes de jardín interior del recinto y parte de la pista exterior que discurre junto al río Manzanares. Cámara 162: Capta imágenes de jardín interior del recinto y parcela colindante. Cámara 163: Capta imágenes de la parcela colindante y un vial interior del recinto. Cámara 97 en “Barrera F2”: Capta imágenes de una barrera de acceso, Camino de Perales y viviendas colindantes. Por otra parte, el recinto dispone de seis cámaras con movimiento y zoom: o o C/ Jorge Juan, 6 28001 – Madrid Cámara 127 en “Garita F2”: Capta imágenes de las viviendas colindantes al recinto y en el momento de la inspección el movimiento y zoom de la cámara se encuentran averiados. Cámara 63: Capta imágenes del acceso al recinto, Camino de www.agpd.es sedeagpd.gob.es 9/46 o o o o Perales, parking público y viviendas colindantes. Cámara 62: Capta imágenes del acceso al recinto, Camino de Perales, parking público y viviendas colindantes. Cámara 64: Capta imágenes del parking público. Cámara 53: Capta imágenes del parking público. Cámara 119: Con movimiento y zoom fuera de servicio en el momento de la inspección. Capta imágenes de Camino de Perales, viviendas colindantes, y vallado del recinto. Se comprueba que las imágenes de las cámaras que se conservan más antiguas son de fecha 21 de enero de 2013. CON RELACIÓN AL RECINTO DE LA CASA DE CAMPO: Existen carteles en el acceso y en el interior del recinto y pabellones en los que se advierte de zona videovigilada en los términos del artículo 3.a de la Instrucción 1/2006. El recinto dispone de once cámaras instaladas en los viales interiores del mismo: - - “Entrada principal”: Domo con zoom y movimiento, ubicada en Avenida Principal que es la “entrada principal” del recinto capta imágenes de la Avenida de Portugal y Avenida Principal esta última es un vial interior del recinto. “F14”: Con zoom y movimiento en la bifurcación de la Ronda Lago, vial interior del recinto. “TERCERA EDAD”: Ubicada en el interior del recinto capta imágenes de las viviendas próximas al recinto. “RESTAURANTES”: Capta imágenes del interior del recinto. “SALIDA RECINTO F3”: Capta imágenes del interior del recinto. “LAGO”: Capta imágenes de vial interior del recinto con alcance a la zona del lago de la Casa de Campo. “F2: Capta imágenes de una barrera interior del recinto. “VIAL PRINCIPAL”: Capta imágenes del interior del recinto. “EXPLANADA CRISTAL”: Capta imágenes del interior del recinto. “VIAL P 3”: Capta imágenes de un vial interior del recinto. “P3”: Capta imágenes del interior del recinto. Se constata que el lugar donde se ubicaban las oficinas ejecutivas se encuentra en el momento de la inspección diáfano y en el mismo existen en funcionamiento cinco cámaras que captan imágenes del inmueble vacío. Se comprueba que los dispositivos de grabación de imágenes en la sala de control del recinto Madrid Arena no se encuentran disponibles, no realizándose actualmente grabación alguna en las cámaras situadas en la Casa de Campo. Esto ha impedido comprobar la fecha de las grabaciones más antiguas. 3 Se requiere al inspeccionado para que en el plazo de 15 días hábiles aporte a la Agencia Española de Protección de Datos la siguiente información: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/46  Contratos entre el Ayuntamiento de Madrid y Madrid Espacios y Congresos relativos a los recintos inspeccionados.  Contratos suscritos entre Madrid Espacios y Congresos y las empresas de seguridad que estaban en curso el primer semestre de 2012 y noviembre de 2011.  Comunicación a los trabajadores en relación a los sistemas de videovigilancia.  Copia de las remisiones al juzgado de imágenes de videovigilancia.  Documento de seguridad del fichero de videovigilancia.  Detalles que justificaron la extracción de las imágenes en fechas 17 de marzo de 2012 relativas a las cámaras F2, F5 y SALIDA RECINTO F3, ENTRADA PRINCIPAL, F14. Indicar el procedimiento de extracción de imágenes incluyendo los medios de destrucción de las mismas.  Detalles que justificaron la extracción de imágenes en fecha 28 de noviembre de 2011 de las cámaras: c5.sectorB.pasillo cafetería, domo c5.sector B, muelle.monico.interior. Indicar el procedimiento de extracción de imágenes incluyendo los medios de destrucción de las mismas.  Logs y registros de acceso a los sistemas de grabación y almacenamiento de imágenes de marzo 2012 y noviembre de 2011. 4 Se adjunta al acta de inspección la siguiente información: - Reportaje fotográfico instalado en los recintos inspeccionados que se adjunta al acta de inspección. Formulario informativo según lo dispuesto en el artículo 3.b de la Instrucción 1/2006 que se encuentra a disposición de los interesados en el control de los recintos inspeccionados. Relación de imágenes con fechas aportadas por el denunciante. CUARTO: Con fecha 10 de abril de 2013, tuvo entrada en esta Agencia escrito de la entidad MADRID ESPACIOS Y CONGRESOS SA en respuesta a la información requerida en el acta de inspección de 20 de febrero de 2013 con referencia E/00197/2013/I-01 en la que D. D.D.D. en calidad de Director de Recursos Humanos de la mencionada entidad aporta los siguientes documentos: C/ Jorge Juan, 6 28001 – Madrid - ANEXO Nº1: copia de los contratos suscritos entre el Ayuntamiento de Madrid y MADRID ESPACIOS Y CONGRESOS, S.A. relativos a los recintos inspeccionados. - ANEXO Nº2: Contratos suscritos entre MADRID ESPACIOS Y CONGRESOS SA y las empresas de seguridad que se encontraban en curso durante el primer semestre de 2012 y noviembre de 2011. www.agpd.es sedeagpd.gob.es 11/46 - ANEXO Nº3: Comunicación a los trabajadores con relación a los sistemas de videovigilancia. - ANEXO Nº4: Solicitud de las imágenes a petición de la Dirección General de la Policía de fecha 6 de noviembre de 2012 y acta de entrega de la misma de fecha 14 de noviembre de 2012, y petición del Juzgado de Instrucción Nº51 y actas de entrega de las imágenes de 3 de diciembre de 2012 y acta de entrega de imágenes de 16 de noviembre de 2012. - ANEXO Nº5: Documento de seguridad del fichero de videovigilancia. En relación a los detalles que justificaron la extracción de imágenes en fechas 28 de noviembre de 2011 y 17 de marzo de 2012 de las cámaras c.5sectorB.pasillo cafetería, domo c5.sector B, muelle.monico.interior y cámaras F2, F5 y salida recinto F3, entrada principal y F4, así como el procedimiento de extracción de imágenes incluyendo los medios de destrucción de las mismas D. D.D.D. manifiesta que: - - C/ Jorge Juan, 6 28001 – Madrid Toda extracción de imágenes de las cámaras de seguridad se realiza exclusivamente por petición judicial conforme a las siguientes pautas: o La extracción se hace constar mediante firma de la entrega, especificando soporte y recibí por el Organismo autorizado y quedando ésta en poder de la Dirección Jurídica de MADRID ESPACIOS Y CONGRESOS SA. o Una vez entregado el soporte, la responsabilidad de su transmisión y destrucción corresponde al mencionado receptor autorizado. o Las únicas imágenes extraídas de las instalaciones de MADRID ESPACIOS Y CONGRESOS SA han sido las solicitadas por el Juzgado de Instrucción Nº51 de Madrid. El resto de imágenes que hayan sido extraídas por parte de personas externas a MADRID ESPACIOS Y CONGRESOS SA se han extraído sin conocimiento ni autorización de MADRID ESPACIOS Y CONGRESOS SA. Con respecto a los registro de acceso de los sistemas de grabación y almacenamiento de imágenes de marzo de 2012 y noviembre de 2011 aporta (ANEXO Nº6) copia del correo electrónico de solicitud de dicha información a la empresa SEGURIBER SLU sin que al día de la fecha haya sido aportada información relativa a los logs y registros de www.agpd.es sedeagpd.gob.es 12/46 acceso a los sistemas de grabación y almacenamiento de imágenes que tratan en concepto de encargado del tratamiento. Únicamente han sido remitidos los informes diarios de los vigilantes de seguridad de los días 28 de noviembre de 2011 y 17 de marzo de 2012 y manifiesta que, con arreglo al artículo 103 del Reglamento de desarrollo de la Ley Orgánica 15/1999, los registro de acceso son una medida de seguridad de ficheros de nivel alto a la vez que el fichero de VIDEOVIGILANCIA se encuentra inscrito en el Registro General de la Agencia Española de Protección de Datos como fichero con nivel básico. QUINTO: En diligencia que obra en el expediente de referencia E/00197/2013, se hace constar la inscripción de fichero con finalidad de VIDEOVIGILANCIA cuyo responsable es la entidad MADRID ESPACIOS Y CONGRESOS SA, siendo el responsable del tratamiento la entidad SEGURIBER SLU. Las medidas de seguridad a implantar son las de nivel básico. SEXTO: Tal y como se ha adelantado, con fecha 10 de abril de 2013, tuvo entrada en la Agencia un dossier -remitido por MADRID ESPACIOS Y CONGRESOS-, a los efectos de cumplimentar formalmente el requerimiento de información incluido en el Acta de Inspección levantada por la Inspección de Datos, en cuyos ANEXOS, numerados del nº 1 al 6, se contiene la respuesta ofrecida por dicha entidad denunciada en relación con las cuestiones planteadas en dicho requerimiento. A la vista de la documentación recibida, se pone de manifiesto la relación jurídica existente entre MADRID ESPACIOS Y CONGRESOS, S.A., y SEGURIBER S.L.U, con base en el contrato de arrendamiento de servicios de seguridad suscrito entre ambas entidades el 31 de mayo de 2008, en cuya cláusula Vigésimo primera (Acceso y Tratamiento de Datos Personales), se establece la consideración de la primera como Responsable del Fichero (bajo la denominación contractual de “EL CLIENTE”), y a la segunda como Encargada del Tratamiento (bajo la denominación contractual de “LA EMPRESA”). En la referida cláusula contractual se establecen las obligaciones que corresponden a una y otra entidad en materia de tratamiento de datos de carácter personal, y, en concreto, en relación con el acceso a la información con datos de carácter personal, “propiedad” de los datos obtenidos y tratados y de los soportes o documentos en los que se encuentran incorporados, cumplimiento de las medidas de seguridad legalmente aplicables, obligación de secreto en relación con la información de carácter personal accedida, creación de ficheros con datos de carácter personal, y determinación de la entidad ante la que se podrán ejercer los derechos de acceso, rectificación, cancelación y oposición. Frente a lo expuesto con anterioridad, específicamente, en relación con el ejercicio de los referidos derechos de acceso, rectificación, cancelación y oposición, en la citada cláusula Vigésimo primera, se dispone que los afectados deberán dirigirse al “Responsable del Fichero (en este caso, SEGURIBER)”. Como Anexo 4, se acompaña documentación acreditativa de los requerimientos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/46 y mandamientos cursados por la Dirección General de la Policía y por el Juzgado de Instrucción Número 51 de Madrid (Diligencias Previas Proc. Abreviado *****/2012), y actas de entrega de las imágenes, cumplimentadas con fecha de 3 de diciembre de 2012 y 16 de noviembre de 2012. Como Anexo 5 se acompaña el “Documento de Seguridad” de MADRID ESPACIOS Y CONGRESOS, S.A. (Versión *****/2010), de cuyo contenido, en lo que interesa a las presentes actuaciones, se extrae lo siguiente:  A-2 (Ámbito personal): “Este Documento de Seguridad es de obligado cumplimiento para todo el personal de MEyC y personal ajeno que le preste servicios de cualquier índole y que tenga acceso a los recursos y a la información protegida por la legislación en materia de protección de datos de carácter personal”.  A-3 (Ámbito material): “Las presentes normas de seguridad son de aplicación al conjunto de programas, soportes, equipos, y en general, cualquier elemento o componente del sistema de información susceptible de almacenar y/o tratar datos de carácter personal, así como a todos los ficheros existentes en soporte papel y documentación impresa”.  A-4 (Recursos protegidos): (…) “Los recursos que están controlados por la normativa recogida en este Documento de Seguridad son: Servidores y entorno de sistema operativo y de comunicaciones en el que se encuentran ubicados los ficheros. Puestos de trabajo y sistemas informáticos o aplicaciones, tanto locales como remotos, establecidos para acceder a la información. Centros de tratamiento y locales donde se encuentran ubicados los ficheros o se almacenen los soportes que los contengan. Copias de seguridad donde se almacena el respaldo de los ficheros. Otros soportes que contengan datos personales, como ordenadores portátiles, PDA, memorias USB, etc. Documentación impresa”.  C (Estructura de los ficheros con datos personales y descripción de los sistemas de información que los tratan): (…) “En el ANEXO 1 se detalla la estructura de los ficheros propiedad de MEyC y que han sido registrados ante la Agencia Española de Protección de Datos, así como el nivel de seguridad aplicable a cada uno de los y los sistemas de información que los tratan”.  D (Medidas de Seguridad): “(…) “Los siguientes objetivos constituyen la base de las políticas de seguridad de la información de la Compañía (…) 3. Los recursos y la información son únicamente accesibles por las personas autorizadas. 4. Los empleados de las empresas que presten servicios de cualquier índole a MEyC y que tengan acceso a los recursos y a la información de MEyC, están igualmente obligados en sus acciones a cumplir este Documento de Seguridad. (…) 6. Todos los recursos existentes en MEyC puestos a disposición del usuario deben ser utilizados única y exclusivamente para el desarrollo de la actividad propia de la Compañía. (…) 8. En el apartado E se definen las funciones y obligaciones para los usuarios con acceso a los datos personales y a los sistemas de información.”  D-1 (Medidas de seguridad aplicables a ficheros y tratamientos automatizados): “1.1.1. La información es propiedad de MEyC. (…) 1.2.1. Los usuarios tienen acceso únicamente a aquellos recursos que precisan C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/46 para el desarrollo de sus funciones. (…) 1.2.4. Sólo el personal autorizado en el ANEXO 2 puede conceder, alterar o anular el acceso autorizado sobre los datos y recursos, conforme a los criterios establecidos por el Responsable de los Ficheros. 12.5. En el caso de que exista personal ajeno a la Compañía que tenga acceso a los recursos estará sometido a las mismas condiciones y obligaciones de seguridad que el personal propio. (…) 1.12 (Propiedad Intelectual): 1.12.1. Queda estrictamente prohibido el uso de programas informáticos que no estén homologados por la Compañía. 1.12.2. MEyC se reserva el derecho de revisar, sin previo aviso, los programas instalados en todos los ordenadores de la Compañía, con el fin de comprobar el cumplimiento de estas normas y prevenir actividades que puedan afectar a ésta como responsable civil subsidiaria. 1.12.3. Antes de instalar cualquier programa se ha de contar con el Departamento de Sistemas. (…) 1.14.1. Los acuerdos con terceros que impliquen el acceso a recursos informáticos y activos de información de MEyC, o el envío de información a entidades externas, deben estar basados en un contrato por escrito que contenga las condiciones a cumplir en cuanto a la seguridad de los datos de carácter personal previstas en el procedimiento normalizado de trabajo de contratación. 1.14.2. Los tratamientos de datos de MEyC por cuenta de terceros, se identifican en el ANEXO 12, especificando el fichero o ficheros o tratamientos que se traten por el encargado, el lugar del tratamiento y, en caso de que se traten de forma remota, si se ha prohibido o no incorporar los datos a sistemas o soportes distintos de los del Responsable. 1.14.3. Los tratamientos de datos de terceras empresas por cuenta de la Compañía en instalaciones propias, se identifican en el ANEXO 12, especificando el fichero o ficheros o tratamientos que se traten, así como la referencia expresa al contrato que regula las condiciones, la identificación del responsable, las medidas de seguridad implementadas en relación a dicho tratamiento y el periodo de vigencia del encargo. (…) 1.17.1. Las medidas de seguridad exigibles a los accesos a datos personales a través de redes de comunicaciones, sean o no públicas, garantizan un nivel de seguridad equivalente al correspondiente a los accesos en modo local.”  E (Funciones y obligaciones de los usuarios). “Responsable de los ficheros: persona física o jurídica que decide sobre la finalidad, contenido y uso del tratamiento, aunque no lo realice materialmente (MADRID ESPACIOS Y CONGRESOS). (…) Usuarios: todas las personas – empleados o colaboradores- que tengan acceso a la información contenida en los diferentes ficheros para el desarrollo de sus funciones, sin capacidad de modificar sus privilegios de acceso. (…) PARA LOS FICHEROS DE NIVEL BÁSICO: 1.5. Definir las funciones de control o autorizaciones delegadas reflejadas en el ANEXO 2. 1.6. Adoptar las medidas necesarias para que los usuarios conozcan las normas de seguridad que afecten al desarrollo de sus funciones, así como las consecuencias en que pudiera incurrir en caso de incumplimiento. (…) 1.8. Establecer los mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. (…) 1.13. Establecer un mecanismo que permita la identificación inequívoca y personalizada de todo aquél usuario que intente acceder al sistema y la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/46 verificación de que está autorizado. 1.14. Verificar, al menos, cada seis meses la correcta definición, funcionamiento y aplicación de los procedimientos de realización de copias de respaldo y de recuperación de los datos. (…) 3. Personal de informática o Sistemas: 3.1. Garantizar el nivel de seguridad correspondiente a los accesos a datos de carácter personal a través de redes de comunicaciones sean o no públicas. (…) 3.5. Asumir las funciones que le han sido delegadas, conforme a lo previsto en el ANEXO 2. (…) 3.10. Comprobar la aplicación del sistema que limite el acceso de los usuarios únicamente a aquellos datos y recursos que precisen para el desarrollo de sus funciones. (…) 3.15. Realizar copias de respaldo de todos aquellos ficheros que contengan datos de carácter personal, al menos semanalmente, salvo que en dicho periodo no se hubiera producido ninguna actualización de los datos. Todo ello se realiza conforme al ANEXO 9. 3.16. Verificar, cada seis meses, la correcta definición, funcionamiento y aplicación de los procedimientos de realización de copias de respaldo y de recuperación de los datos. (…) 4 (Usuarios de los ficheros) (…) 4.1. (Confidencialidad de la Información). 4.1.2. La información de MEyC es propiedad de ésta. Se considera información confidencial, a título enunciativo y sin carácter limitativo: nóminas, planes de marketing, contabilidad, facturación y cualquier otro material relacionado con su actividad. (…) 4.4. (Gestión de soportes y documentos) 4.4.1. Sólo están autorizados como soportes de almacenamiento de datos los homologados por MEyC. 4.7 (Incidencias) 4.7.1. Es obligación de todo el personal de MEyC comunicar cualquier incidencia que afecte o pueda afectar a la seguridad de los datos. (…) 4.7.3. Se entiende por incidencia cualquier anomalía que afecte o pueda afectar a la seguridad de los datos. (…) (Incidencias que afecten a la confidencialidad): (…) Manipulación no autorizada de la información. (…) 4.10. (Propiedad Intelectual) 4.10.1 Queda estrictamente prohibido el uso de programas informáticos que no estén homologados por la Compañía. (…) 4.10.3. Antes de instalar cualquier programa se ha de contactar con el Departamento de Sistemas.” 4.14 (Acceso a través de redes de comunicaciones) 4.14.1. Las medidas de seguridad exigibles a los accesos a datos personales a través de redes de comunicaciones, sean o no públicas, garantizan un nivel de seguridad equivalente al correspondiente a los accesos en modo local. (…) En todo caso deberán evitarse las siguientes actividades: (…) 6. Intentar acceder a áreas restringidas de los sistemas de la Compañía o de terceros. 7. Intentar aumentar el nivel de privilegios de un usuario en el sistema, sin autorización para ello. (…) 11. Utilizar los recursos telemáticos de la Compañía, incluida la red Internet, para actividades que no se hallen directamente relacionadas con el puesto de trabajo del usuario.”  F (Custodia y conocimiento del documento de seguridad): (…) 6. El desconocimiento de lo dispuesto en el Documento de Seguridad no exime de su cumplimiento. Todo el personal de la Compañía está obligado al conocimiento y cumplimiento de lo dispuesto en él.” Examinados los ANEXOS a los que se refiere el “Documento de Seguridad”, cuyo contenido ha quedado parcialmente transcrito, se observa lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/46  ANEXO 3.- Relación de usuarios autorizados con acceso al sistema de información y accesos autorizados para cada uno de ellos. Como Administrador de la Unidad/Ficheros VIDEOVIGILANCIA, aparece personal de MEyC, y, como Usuarios, personal de MEyC y de SEGURIBER.  ANEXO 7.- Gestión de soportes y documentos. Almacenamiento de imágenes del Videograbador: “El inventario de soportes automatizado se mantiene actualizado y es custodiado por el Responsable de Seguridad”.  ANEXO 12.- Encargado del Tratamiento. “MEyC como responsable del fichero o tratamiento: A continuación, se hará constar en los siguientes campos las prestaciones de servicio que impliquen un tratamiento de datos propiedad de MEyC: FICHERO/S control de accesos y videovigilancia. Encargado del Tratamiento: SEGURIBER. Lugar: Locales del Responsable. Finalmente, tal y como se ha adelantado, con respecto a los registro de acceso de los sistemas de grabación y almacenamiento de imágenes de marzo de 2012 y noviembre de 2011 la entidad MADRID ESPACIOS Y CONGRESOS S.A, ha acompañado, como ANEXO 6 (del dossier remitido en respuesta al requerimiento de esta Agencia) copia del correo electrónico de solicitud de dicha información a la empresa SEGURIBER SLU, sin que al día de la fecha haya sido aportada información relativa a los logs y registros de acceso a los sistemas de grabación y almacenamiento de imágenes que tratan en concepto de encargado del tratamiento, únicamente han sido remitidos los informes diarios de los vigilantes de seguridad de los días 28 de noviembre de 2011 y 17 de marzo de 2012. Ello no obstante, según manifiesta MADRID ESPACIOS Y CONGRESOS, S.A., con arreglo al artículo 103 del Reglamento de desarrollo de la Ley Orgánica 15/1999, los registros de acceso son una medida de seguridad de ficheros de nivel alto, debiendo considerarse que el fichero de VIDEOVIGILANCIA se encuentra inscrito en el Registro General de la Agencia Española de Protección de Datos como fichero con nivel básico. SÉPTIMO: En el Acuerdo de inicio del presente procedimiento se informó que, de la información obtenida en las actuaciones previas de inspección y sin perjuicio de lo que se derivase de la instrucción del presente expediente sancionador, podría desprenderse el tratamiento de datos personales -utilizando para ello un sistema de videocámaras- sin el consentimiento de las personas afectadas por dicho tratamiento, llevado a cabo por parte de MADRID ESPACIOS Y CONGRESOS, S.A., y SEGURIBER, S.L.U., toda vez que, a través de las cámaras utilizadas, se tratan imágenes de la vía pública y de las parcelas y viviendas colindantes a las instalaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/46 Asimismo, también sin perjuicio de lo que se derive de la instrucción de este expediente, podría desprenderse que –por parte de MADRID ESPACIOS Y CONGRESOS, S.A., y SEGURIBER S.L.U.-, no se ha garantizado la seguridad de los datos de carácter personal contenidos en el fichero VIDEOVIGILANCIA inscrito en el Registro General de Protección de Datos de esta Agencia Española de Protección de Datos, pudiendo haberse producido, de una parte, la destrucción y el borrado de grabaciones por parte de personal no habilitado para ello, y, de otra parte, el envío a la basura pública –sin destrucción- de los soportes con imágenes de personas identificadas o identificables y el eventual hallazgo de los mismos por terceras personas. Finalmente, podría deducirse el incumplimiento, por parte de MADRID ESPACIOS Y CONGRESOS, S.A., y SEGURIBER, S.L.U., del deber de secreto profesional respecto de los datos personales tratados por medio del referido sistema de videovigilancia, al haberse podido facilitar -a terceras personas ajenas al sistema de seguridad- el acceso a la información con datos de carácter personal proveniente de las captaciones y grabaciones realizadas, así como el visionado y extracción aleatoria de imágenes de personas identificadas o identificables. OCTAVO: Con fecha 1 de octubre de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a MADRID ESPACIOS Y CONGRESOS, S.A., por presunta infracción de los artículos 6, 9 y 10 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal ( en lo sucesivo LOPD), tipificadas como graves en el artículo 44.3.b), 44.3.

1. h)y 44.3.
2. d)de dicha norma, pudiendo ser sancionada cada una, con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. Asimismo, con fecha 1 de octubre de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a SEGURIBER S.L.U., por presunta infracción de los artículos 6, 9 y 10 de la LOPD, tipificadas como graves en el artículo 44.3.b), 44.3.
3. h)y 44.3.
4. d)de dicha norma, pudiendo ser sancionada cada una, con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. NOVENO: Con fecha 7 de octubre de 2013, el Director de la Agencia Española de Protección de Datos acordó la suspensión de procedimiento sancionador al haber tenido conocimiento de las Diligencias Previas de Procedimiento Abreviado número *****/2012 que se siguen en el Juzgado de Instrucción nº 51 de Madrid, instruidas por los hechos acaecidos el 1 de noviembre de 2012 en el recinto Madrid Arena, solicitando información a dicho Juzgado respecto de la posible identidad de sujeto, hecho y fundamento entre las presuntas infracciones administrativas y la infracción penal que pudiera corresponder. Dicho acuerdo de suspensión fue notificado a las entidades imputadas y al denunciante. DÉCIMO: Con fecha 24 de febrero de 2015 se solicitó información al Juzgado de Instrucción nº 51 de Madrid sobre la situación del Procedimiento Abreviado número *****/2012 así como de la resolución judicial que en su día se adopte. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/46 Con fecha 25 de marzo de 2015, el Juagado contestó que en dicho procedimiento no se investigan infracciones de la Ley de Protección de Datos, por lo que el procedimiento de la Agencia deberá seguir los trámites oportunos. ÚNDÉCIMO: A la vista de la información remitida por el Juzgado, con fecha 16 de abril de 2015, el Director de la Agencia Española de Protección de Datos acordó levantar la suspensión del procedimiento sancionador. Dicho acuerdo de levantamiento de suspensión fue notificado a las entidades imputadas y al denunciante. DÉCIMO SEGUNDO: Notificado el acuerdo de levantamiento de suspensión el 21 de abril de 2015, según consta en el acuse emitido por el Servicio de Correos, MADRID ESPACIOS Y CONGRESOS, S.A., no presentó alegaciones. DÉCIMO TERCERO: Notificado el acuerdo de levantamiento de suspensión, SEGURIBER S.L.U. solicitó copia del expediente y ampliación de plazo para presentar alegaciones que le fueron concedidos por la Instructora del procedimiento. Con fecha 19 de mayo de 2015, SEGURIBER S.L.U. presentó alegaciones al Acuerdo de inicio en las que, básicamente, manifestó lo siguiente: 1. Respecto a la relación entre MADRID ESPACIOS Y CONGRESOS, S.A y SEGURIBER S.L.U. En la actualidad no mantienen ninguna relación contractual en relación a los recintos objetos de inspección. 1.1 Respecto a las Instalaciones en Casa de Campo, contrato de 31 de mayo de 2008, que tiene por objeto la prestación de un servicio de vigilancia y protección en las instalaciones del Recinto Ferial de la Casa de Campo que incluye, entre otros el Pabellón Madrid Arena… y en 2009 se amplió el servicio al Complejo Caja Mágica. En la cláusula vigésima del contrato relativa al Acceso y tratamiento de Datos personales se identifican las previsiones relativas al art 12 de la LOPD. En ellas se identifica a SEGURIBER como encargado del tratamiento: “1.- Reconoce expresamente que los datos contenidos en la información que se le proporcione son de exclusiva propiedad del Responsable del Fichero, y que no podrá aplicarlos ni utilizarlos para fines distintos a los previstos en el presente contrato, ni cederlos bajo ningún concepto a otras personas o entidades, ni siquiera para su conservación. 2. A la finalización de la prestación contractual devolverá al Responsable del Fichero cuantos soportes o documentos contengan datos de carácter personal relacionados con el objeto del tratamiento y obren en su poder en dicho momento. 3. Garantiza el cumplimiento de las medidas de seguridad de nivel básico establecidas por el Responsable del Fichero, de acuerdo con sus instrucciones y de conformidad con las previsiones contenidas en el Reglamento de medidas de seguridad de los ficheros automatizados que contengan datos de carácter personal, aprobado por Real Decreto 994/1999, de 11 de junio. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/46 4. Guardará secreto profesional y la máxima confidencialidad respecto de todos los datos de carácter personal que conozca y a los que tenga acceso durante la realización del presente contrato. Estas obligaciones se extienden a toda persona que pudiera intervenir en cualquier fase del tratamiento por cuenta de SEGURIBER y subsistirá aun después de finalizada la relación contractual.” 1.2 Respecto a las Instalaciones Casa de Campo el Contrato de 16 de julio de 2012 firmado entre Madrid Espacios y Congresos, S.A. y Seguriber tiene por objeto la prestación del servicio de seguridad en las instalaciones del Recinto Ferial de la Casa de Campo y del edificio de la (C/.......1) de Madrid En su cláusula NOVENA, relativa a Protección de datos se establecen las previsiones relativas al art. 12 LOPD, regulado la posición jurídica del Adjudicatario como encargado de tratamiento y, en concreto se identifica que “El adjudicatario únicamente tendrá acceso a aquellos datos que Madridec le proporcione y los tratará de acuerdo con las instrucciones recogidas en este contrato y únicamente para la prestación del servicio objeto del mismo”. De igual modo, en el Punto nº 5.3. 5º) relativo a las Condiciones y Calidad Técnica del Servicio del Pliego de Prescripciones Técnicas Particulares que rigen este contrato, se regula la posición jurídica de SEGURIBER como encargado de tratamiento y se obliga especialmente a lo siguiente: “5ª) A cumplir todas y cada una de las medidas de seguridad (nivel básico, medio o alto) que sean de aplicación en función de la tipología de datos que se utilicen y traten para la prestación del servicio objeto del presente contrato y que vienen previstas en el Título VIII del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. A este respecto no se registrarán datos de carácter personal en ficheros que no reúnan las condiciones determinadas en el referido Titulo VIII respecto a su integridad y seguridad y a las de los Centros de tratamiento, locales, equipos, sistemas y programas. (Artículo 9.2. LOPD). Durante la realización de los servicios que se presten como consecuencia del cumplimiento del presente contrato, el adjudicatario y su personal se someterán al estricto cumplimiento de los documentos de seguridad vigentes para los ficheros de datos de carácter personal a los que tengan acceso, así como a las instrucciones de ¡os responsables de seguridad de las instalaciones en las que desarrollen su trabajo. El acceso a las bases de datos de la empresa municipal Madrid Espacios y Congresos, S.A. necesarios para la prestación del servicio se autorizará al adjudicatario para el exclusivo fin de la realización de las tareas objeto de este contrato, quedando prohibido para el adjudicatario y para el personal encargado de su realización su reproducción por cualquier medio y (a cesión total o parcial a cualquier persona física o jurídica. Lo anterior se extiende asimismo al producto de dichas tareas.” 2. Decisiones sobre la finalidad y usos del sistema de videovigilancia por parte de MADRIDEC. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/46 En todos los contratos de prestación de servicios, la titularidad del sistema de videovigilancia instalado en los recintos inspeccionados Casa de Campo, Caja Mágica y Palacio Municipal de Congresos, se atribuye a la entidad MADRIDEC. Esta entidad se configura como responsable del fichero y SEGURIBER como encargado de tratamiento. Asimismo, MADRIDEC es la entidad responsable del fichero de Videovigilancia inscrito en el Registro General de Protección de Datos de esta Agencia. En este sentido, MADRIDEC es la única entidad que decide sobre la finalidad, contenido y usos de las imágenes de videovigilancia, así como la única que ostenta la responsabilidad sobre los soportes generados con motivo del registro de las imágenes en las citadas instalaciones. SEGURIBER como encargado de tratamiento se limita a la mera visualización de las imágenes reproducidas por el sistema durante las fechas en las que prestó sus servicios, no pudiendo responder del uso del sistema de videovigilancia. Precisa que en el HECHO SEXTO del Acuerdo de Inicio se identifica a SEGURIBER como entidad Responsable del Fichero a la que dirigir el ejercicio de los derechos. Esta cláusula se incluye en el contrato, en cumplimiento del art. 5 LOPD, con la finalidad de informar a los signatarios del contrato de esta circunstancia. Es por tanto que debe aclararse que, en relación a las imágenes del sistema de videovigilancia de los recintos inspeccionados, es MADRIDEC y no SEGURIBER, el Responsable del Fichero. 3. Responsabilidad del encargado de tratamiento. “Con independencia de que SEGURIBER prestase servicios de seguridad privada en las instalaciones gestionadas por MADRIDEC, actuando en calidad de encargado de tratamiento, tal y como se recoge los contratos que rigen la adjudicación del servicio, MADRIDEC dispone de un Departamento de Seguridad propio constituido al amparo de la normativa de seguridad privada, cuya dirección ostenta personal de MADRIDEC. En tal sentido, el art. 95 deI Real Decreto 2364/1994, de 9 de diciembre, por el que se aprueba el Reglamento de Seguridad Privada (en adelante, Reglamento de Seguridad Privada), establece las funciones y competencias de los Directores de Seguridad, teniendo atribuidas la Dirección de Seguridad de MADRIDEC, las siguientes:
5. a)El análisis de situaciones de riesgo y la planificación y programación de las actuaciones precisas para la implantación y realización de los servicios de seguridad.
6. b)La organización, dirección e inspección del personal y servicios de seguridad privada.
7. c)La propuesta de los sistemas de seguridad que resulten pertinentes, así como la supervisión de su utilización, funcionamiento y conservación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/46 Con independencia de que SEGURIBER prestase servicios de seguridad privada en las instalaciones gestionadas por MADRIDEC, actuando en calidad de encargado de tratamiento, tal y como se recoge los contratos que rigen la adjudicación del servicio, MADRIDEC dispone de un Departamento de Seguridad propio constituido al amparo de la normativa de seguridad privada, cuya dirección ostenta personal de MADRIDEC. En tal sentido, el art. 95 deI Real Decreto 2364/1994, de 9 de diciembre, por el que se aprueba el Reglamento de Seguridad Privada (en adelante, Reglamento de Seguridad Privada), establece las funciones y competencias de los Directores de Seguridad, teniendo atribuidas la Dirección de Seguridad de MADRIDEC, las siguientes:
8. a)El análisis de situaciones de riesgo y la planificación y programación de las actuaciones precisas para la implantación y realización de los servicios de seguridad.
9. b)La organización, dirección e inspección del personal y servicios de seguridad privada.
10. c)La propuesta de los sistemas de seguridad que resulten pertinentes, así como la supervisión de su utilización, funcionamiento y conservación. …
11. e)La coordinación de los distintos servicios de seguridad que de ellos dependan, con actuaciones propias de protección civil, en situaciones de emergencia, catástrofe o calamidad pública.
12. f)Asegurar la colaboración de los servicios de seguridad con los de las correspondientes dependencias de las Fuerzas y Cuerpos de Seguridad.
13. g)En general, velar por la observancia de la regulación de seguridad aplicable. En el contrato relativo al recinto Casa de Campo, vigente al momento de la inspección a MADRIDEC, se establece que “Madrid Espacios y Congresos designará un responsable de seguridad en la instalación. Las funciones del responsable del contrato serán, con carácter general, las derivadas de la dirección, comprobación, informe y vigilancia de la correcta realización de los trabajos y, en especial, las que le designe la Dirección de Seguridad de Madrid Espacios y Congresos, S.A.” Normalmente, la persona que tiene atribuidas las funciones descritas con anterioridad recae en los Jefes de Seguridad de las empresas de seguridad privada, sin embargo al existir en el seno de MADRIDEC un Departamento de Seguridad propio legalmente constituido, las funciones atribuidas a los Jefes de Seguridad se asumen por los Directores de Seguridad. En este sentido, SEGURIBER únicamente tenía funciones relativas a la coordinación de los medios personales que se precisaban para la prestación del servicio de vigilancia pero no decidía sobre su organización, dirección e inspección del personal y servicios de seguridad privada, puesto que se consideraban funciones atribuidas al Director de Seguridad de MADRIDEC, en virtud del art. 95 del Reglamento de Seguridad Privada. SEGURIBER tampoco decidía sobre la instalación de cámaras de videovigilancia, ni su enfoque, ni el uso que pudiese hacerse de las imágenes captadas”. 4. Captación de imágenes y consentimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/46 Respecto a las manifestaciones de los denunciantes en las que aseguran que mediante una cámara del recinto de Caja Mágica puede visionarse el interior de las casas que hay enfrente y que se modifica la situación del enfoque de los domos para posibles irregularidades, el denunciante no acredita mediante ninguna prueba la captación de dichas imágenes ni Seguriber ha tenido constancia de que se hubieran producido modificaciones en el sistema de videovigilancia. La vigilancia en cada uno de los recintos eran viales interiores, parkings y perímetros de entorno de su influencia. La captación de vía pública era la mínima imprescindible y sólo eran captadas para velar por la seguridad de las instalaciones. 5. Respecto de la imputación de la infracción del principio de seguridad de los datos (art. 9 LOPD en relación con los arts. 90, 91 y 92 RLOPD).
14. a)En relación con la medida de seguridad establecida en el art. 90 RLOPD relativa al Registro de incidencias, tal y como se identifica en el Anexo 10 del Documento de Seguridad aportado por MADRIDEC y comprobado por esta Agencia (Folios n9 266 y 53 del Exp., respectivamente), SEGURIBER realiza un Informe Diario, en el que se comunican todas las incidencias que afectan a la seguridad que hayan podido producirse en los recintos objeto de vigilancia. Este Informe Diario cumple con los requisitos de identificación de las personas que lo elaboran, la identificación del tipo de incidencia y actuaciones respecto de las mismas, hora y fecha.
15. b)En relación con la medida de seguridad establecida en el art. 91 RLOPD relativa al Control de acceso, SEGURIBER prestaba sus servicios en las instalaciones del responsable del fichero y, en consecuencia, estaba obligado a cumplir las medidas de seguridad relativas a protección de datos de aplicación a las instalaciones de MADRIDEC. En este sentido, MADRIDEC, califica al personal de seguridad de SEGURIBER como un mero usuario del fichero de videovigilancia en el Anexo 3 y4 de su Documento de Seguridad, sin posibilidad de alterar o anular el acceso autorizado (Folios n2 250 y 251 del Exp.).
16. c)En relación con la medida de seguridad establecida en el art. 92 RL.ODP relativa a la Gestión de soportes y documentos, tal y como manifiesta MADRIDEC, el personal de SEGURIBER no disponía de la capacidad de extraer los soportes que el denunciante manifiesta que halló en la “basura pública”, puesto que no disponía de acceso a las grabaciones y se limitaba a la visualización de los monitores en los que se mostraban las imágenes, tal y como se expondrá en la siguiente Alegación. Cabe concluir que el denunciante no aporta ninguna prueba que acredite la imputación de una infracción del art. 9 a SEGURIBER en relación con los arts. 90, 91 y 92 RLOPD… Finalmente, se desea poner de manifiesto que el servicio de limpieza de los recintos objeto de inspección es totalmente ajeno a SEGURIBER, siendo su contratación responsabilidad directa de MADRIDEC.” 6. De la infracción del deber de secreto. (art. 10 LOPD) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/46 Durante la Inspección realizada a MADRIDEC, esta entidad manifestó “ …que el personal de SEGURIBER “accede únicamente a las imágenes en tiempo real” de manera que los vigilantes pertenecientes a SEGURIBER no disponen de la posibilidad de extraer imágenes. Adicionalmente, se manifiesta que “a las imágenes grabadas accede únicamente el responsable de Seguridad de MADRIDEC.”. En consecuencia, SEGURIBER no puede ser responsable de la extracción de imágenes puesto que “el acceso a las imágenes grabadas es con usuario y contraseña que únicamente son conocidos por el Responsable de Seguridad de MADRID EC”…. En consecuencia, del relato de los hechos y de las actuaciones llevadas a cabo por esta Agencia, no existe prueba, ni siquiera indiciaria, que acredite que la entidad SEGURIBER haya vulnerado el deber de secreto, toda vez que no disponía de acceso a las imágenes grabadas en el sentido de poder extraer técnicamente las imágenes de los grabadores. 7. Concurso ideal de infracciones. En relación a dos de las infracciones imputadas a SEGURIBER, cabría apreciarse por parte de esta Agencia subsumir dos infracciones en una, puesto que la comisión de una implicaría necesariamente la comisión de la otra: En el presente caso nos encontraríamos ante un supuesto en el que un mismo hecho deriva en dos infracciones 9 y 10, dándose la circunstancia de que la comisión de una implica necesariamente la comisión de la otra. 8. Cuestiona la credibilidad de las manifestaciones del denunciante y la parcialidad de los testigos identificados por el mismo. En base a todo ello, solicitó el archivo del presente expediente sancionador y, con carácter subsidiario, la imposición de las sanciones que pudieran corresponderle con arreglo a la escala prevista para las infracciones leves, a tenor de los artículos 45.5 y 45.4 de la LOPD. Aporta copia de los citados contratos con MADRIDEC: - Contrato de 31 de mayo de 2008 - Instalaciones Casa de Campo. - Contrato de 16 de julio de 2012 - Instalaciones Casa de Campo. - Contrato de 16 de julio de 2012 - Instalaciones Caja Mágica. - Contrato de 16 de julio de 2012 - Instalaciones Palacio Municipal de Congresos y Edificio Apot. DÉCIMO CUARTO: Con fecha 26 de mayo de 2015, se inició el período de práctica de pruebas en el que se dieron por reproducidos a efectos probatorios la denuncia interpuesta por Don A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante MADRID ESPACIOS Y CONGRESOS, S.A. y ante SEGURIBER, S.L.U., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/00197/2013. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00519/2013 presentadas por SEGURIBER, S.L.U. y la documentación que a ellas acompaña. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/46 Dicho trámite fue notificado a SEGURIBER, S.L.U. y a MADRID ESPACIOS Y CONGRESOS, S.A., sin prejuicio de que MADRIDEC no presentó alegaciones al Acuerdo de Inicio y sin que, hasta la fecha, haya comunicado información alguna. DÉCIMO QUINTO: Con fecha 28 de julio de 2015, se formuló propuesta de resolución, proponiendo lo siguiente: - Que por el Director de la Agencia Española de Protección de Datos se proceda al ARCHIVO de las actuaciones respecto de los artículos 6.1, 9.1 y 10 imputados a la entidad SEGURIBER, S.L.U. - Que por el Director de la Agencia Española de Protección de Datos se sancione a la entidad MADRID ESPACIOS Y CONGRESOS, S.A. (en la actualidad Madrid Destino) con multa de 40.001€ (cuarenta mil un euros), por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
17. b)de dicha norma, de conformidad con lo establecido en el artículo 45 .2 y .4 de la citada Ley Orgánica. - Que por el Director de la Agencia Española de Protección de Datos se ARCHIVEN las actuaciones respecto de los artículos 9.1 y 10 imputados a la entidad MADRID ESPACIOS Y CONGRESOS, S.A. (en la actualidad Madrid Destino). DÉCIMO SEXTO: Con fecha 21 de agosto de 2015 MADRID DESTINO CULTURA TURISMO Y NEGOCIO, S.A., solicitó ampliación de plazo para presentar alegaciones que le fue concedido. Posteriormente, con fecha 1 de septiembre de 2015, Madrid Destino realizó alegaciones frente a la citada propuesta de resolución en las que, básicamente, manifestó lo siguiente: 1. Manifiesta su desacuerdo con la propuesta de archivo de las actuaciones respecto de la mercantil SEGURIBER, S.L.U., ya que entiende que la responsabilidad en la que incurren las empresas de seguridad en sus contratos tanto con las Administraciones públicas como con las empresas privadas, la responsabilidad es íntegramente del encargado del tratamiento, conforme a lo dispuesto en el artículo 12 de la LOPD. Por tanto Seguriber es el único y directamente responsable de la orientación de las cámaras como encargado del tratamiento de sus imágenes. 2. Falta de legitimación pasiva en el procedimiento. Respecto de la sanción propuesta a Madrid Espacios y Congresos, se hace constar que el 30 de julio de 2013 se procedió por el accionista único de la misma a acordar su disolución con fecha de efectos el 31 de diciembre de 2013. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/46 En dicho acuerdo de disolución, el Pleno del Ayuntamiento de Madrid, único accionista de la mercantil, acordó que la gestión directa del servicio prestado por Madrid Espacios y Congresos se realizara con efectos de 1 de enero de 2014 a través de la mercantil MADRID DESTINO CULTURA TURISMO Y NEGOCIO, S.A., para lo que se traspasaron un conjunto de bienes que conformaban el activo de la sociedad disuelta. La mercantil Madrid Destino no tiene nada que ver con la sociedad encartada en el expediente, al carecer esta empresa de legitimación pasiva en el procedimiento, al ser una mercantil absolutamente distinta a la que se dirige la sanción del proceso. Siendo una adscripción de algunos inmuebles municipales para su gestión directa por Madrid destino, los derechos y obligaciones a los que estaba compelida Madrid Espacios y Congresos, como mercantil absolutamente autónoma y con CIF distinto al de esta sociedad, no se puede derivar la responsabilidad en que hubiera incurrido en un expediente administrativo por acción u omisión de los que se deduzcan sanciones contra la propia mercantil ya que no existió ninguna absorción por Madrid Destino de la sociedad mercantil Madrid Espacios y Congresos de tal manera que no puede existir un nexo causal de derivación de responsabilidad, ello al amparo de los explicitado en la Ley 1/2010 de Sociedades de capital, en la que se manifestaba que cada sociedad responderá de los activos que tuviere en el momento de la supuesta infracción, no pudiendo responder otra sociedad distinta de eso. A efectos de justificar dichas alegaciones aporta copia del Acuerdo de Pleno del Ayuntamiento de Madrid de 30 de julio de 2013. 3. En relación con los activos cedidos a Madrid destino por el Ayuntamiento no constaba el procedimiento sancionador de referencia. Tampoco constan antecedentes en Madrid Destino del presente procedimiento y el cambio de las oficinas de la sociedad provocó la ausencia de contestación en tiempo y forma de los escritos recibidos en las antiguas oficinas de Madrid Espacios y Congresos. 4. Madrid Destino, desde que ha asumido la gestión de los inmuebles que tiene a su cargo, por Acuerdo del Pleno del Ayuntamiento de Madrid, tiene suscrito un contrato de servicios de seguridad con la mercantil Alerta y Control, S.A., que cumple con los estándares que requiere la LOPD con respecto a la videovigilancia En resumen, la imposición de sanción trae su base en la actuación de una Sociedad ya extinguida. Los hechos se produjeron con anterioridad a que Madrid Destino asumiera su gestión de los espacios del Ayuntamiento de Madrid. DÉCIMO SÉPTIMO: A la vista de las alegaciones formuladas por Madrid Destino a la Propuesta de Resolución, según las cuales la entidad imputada MADRIDEC habría sido disuelta con fecha 30 de julio de 2013, con fecha de efectos 31 de diciembre de 2013, y que el Ayuntamiento de Madrid, accionista único de la entidad disuelta acordó que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/46 gestión directa del servicio prestado por MADRIDEC se realizara por la sociedad mercantil municipal MADRID DESTINO CULTURA TURISMO Y NEGOCIO, S.A a partir del 1 de enero de 2014, por la Directora de la Agencia, con fecha 18 de septiembre de 2015, se Acordó Autorizar una inspección a Madrid Destino Cultura Turismo y Negocio, S.A., con el fin de determinar lo siguiente: - Si la entidad actual Madrid Destino asumió los activos y pasivos de MADRIDEC, por lo que sería responsable de la infracción imputada a la entidad desaparecida. Y, no obstante lo anterior, si la actual Madrid Destino habría procedido a modificar el sistema de videovigilancia instalado en los espacios municipales Caja Mágica y Recinto Ferial de la Casa de Campo, dado que en la Propuesta de Resolución del presente procedimiento se constató que dichos espacios disponían de una serie de cámaras que captaban vía pública de forma desproporcionada. DÉCIMO OCTAVO: Con fecha 22 de septiembre de 2015, se giró visita de Inspección ante la entidad MADRID DESTINO CULTURA TURISMO Y NEGOCIO, S.A., en relación con los sistemas de videovigilancia instalados en Caja Mágica y Recinto de la Casa de Campo. A la vista de las manifestaciones realizadas por los representantes de la actual entidad Madrid Destino durante la Inspección, de la documentación aportada y de los hechos constatados se puede concluir lo siguiente: 1. Que la entidad imputada MADRIDEC fue disuelta en la sesión ordinaria del Pleno del Ayuntamiento de Madrid celebrada el 30 de julio de 2013. 2. Que el Ayuntamiento de Madrid retomó el activo y pasivo de la sociedad MADRIDEC y, posteriormente, adscribió determinados inmuebles para su gestión a Madrid Destino a partir del 1 de enero de 2014, entre ellos, Caja Mágica y Recinto de la Casa de Campo. 3. Que Madrid Destino se subrogó al contrato suscrito por MADRIDEC con Alerta y Control, S.A., para la prestación de “Servicios para la Protección y Seguridad Integral de las instalaciones y pabellones gestionados por MADRID ESPACIOS Y CONGRESOS, S.A.", incluyendo los de Caja Mágica y Recinto de la Casa de Campo y sin contemplar en el objeto del mismo la instalación de servicios de videovigilancia, ya que la prestación del servicio se efectuaría con los sistemas previamente existentes en las instalaciones y pabellones de MADRIDEC. 4. Respecto a los sistemas de videovigilancia instalados en Caja Mágica: - C/ Jorge Juan, 6 28001 – Madrid De la verificación de las imágenes captadas se concluye que en la actualidad el sistema instalado está configurado con máscaras de privacidad que impiden la captación de espacios públicos y viviendas colindantes, en especial, aquellas cámaras domo con capacidad de zoom y movimiento. www.agpd.es sedeagpd.gob.es 27/46 5. Respecto a los sistemas de videovigilancia instalados en el Recinto de la Casa de Campo: - De la verificación de las imágenes captadas se concluye que en la actualidad el sistema instalado está configurado de manera que capta viales interiores al recinto vallado y evita la captación de espacios públicos, en especial, aquellas cámaras domo con capacidad de movimiento. HECHOS PROBADOS PRIMERO: En el momento de entrada de la denuncia en esta Agencia, el 19 de noviembre de 2012, MADRID ESPACIOS Y CONGRESOS, S.A. era una Empresa Municipal que ostentaba la cesión de uso de las infraestructuras municipales: - Caja Mágica. Recinto de la Casa de Campo que comprende el Pabellón Arena, Pabellón Pipa, Pabellón de Cristal. Palacio Municipal de Congresos en donde se localizan las Oficinas Ejecutivas. (folio 25, entre otros) SEGUNDO: Consta acreditado que las entidades MADRID ESPACIOS Y CONGRESOS, S.A. y SEGURIBER, S.L.U., tenían suscritos los siguientes contratos de prestación de servicio de seguridad relativos a diferentes espacios municipales:  Contrato de 31 de mayo de 2008 - Instalaciones Casa de Campo. Tiene por objeto la prestación de un servicio de vigilancia y protección en las instalaciones del Recinto Ferial de la Casa de Campo que incluye, entre otros el Pabellón Madrid Arena… y en 2009 se amplió el servicio al Complejo Caja Mágica.  Contrato de 16 de julio de 2012 - Instalaciones Casa de Campo. Tiene por objeto la prestación del servicio de seguridad en las instalaciones del Recinto Ferial de la Casa de Campo y del edificio de la (C/.......1) de Madrid  Contrato de 16 de julio de 2012 - Instalaciones Caja Mágica.  Contrato de 16 de julio de 2012 - Instalaciones Palacio Municipal de Congresos y Edificio Apot. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 28/46 (folios 432-692). TERCERO: Respecto a la relación entre las entidades MADRID ESPACIOS Y CONGRESOS, S.A. y SEGURIBER, S.L.U.,  En la cláusula vigésimo primera del Contrato de 31 de mayo de 2008 relativa al Acceso y tratamiento de Datos personales se identifican las previsiones relativas al art 12 de la LOPD. En ellas se identifica a SEGURIBER como encargado del tratamiento: “1.- Reconoce expresamente que los datos contenidos en la información que se le proporcione son de exclusiva propiedad del Responsable del Fichero, y que no podrá aplicarlos ni utilizarlos para fines distintos a los previstos en el presente contrato, ni cederlos bajo ningún concepto a otras personas o entidades, ni siquiera para su conservación. 2. A la finalización de la prestación contractual devolverá al Responsable del Fichero cuantos soportes o documentos contengan datos de carácter personal relacionados con el objeto del tratamiento y obren en su poder en dicho momento. 3. Garantiza el cumplimiento de las medidas de seguridad de nivel básico establecidas por el Responsable del Fichero, de acuerdo con sus instrucciones y de conformidad con las previsiones contenidas en el Reglamento de medidas de seguridad de los ficheros automatizados que contengan datos de carácter personal, aprobado por Real Decreto 994/1999, de 11 de junio. 4. Guardará secreto profesional y la máxima confidencialidad respecto de todos los datos de carácter personal que conozca y a los que tenga acceso durante la realización del presente contrato. Estas obligaciones se extienden a toda persona que pudiera intervenir en cualquier fase del tratamiento por cuenta de SEGURIBER y subsistirá aun después de finalizada la relación contractual.” (folios 422 y 435)  En la cláusula NOVENA del Contrato de 16 de julio de 2012, relativa a Protección de datos se establecen las previsiones relativas al art. 12 LOPD, regulado la posición jurídica del Adjudicatario como encargado de tratamiento y, en concreto se identifica que “El adjudicatario únicamente tendrá acceso a aquellos datos que Madridec le proporcione y los tratará de acuerdo con las instrucciones recogidas en este contrato y únicamente para la prestación del servicio objeto del mismo”.  De igual modo, en el Punto nº 5.3. 5º) relativo a las Condiciones y Calidad Técnica del Servicio del Pliego de Prescripciones Técnicas Particulares que rigen este contrato, se regula la posición jurídica de SEGURIBER como encargado de tratamiento y se obliga especialmente a lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 29/46 “5ª) A cumplir todas y cada una de las medidas de seguridad (nivel básico, medio o alto) que sean de aplicación en función de la tipología de datos que se utilicen y traten para la prestación del servicio objeto del presente contrato y que vienen previstas en el Título VIII del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. A este respecto no se registrarán datos de carácter personal en ficheros que no reúnan las condiciones determinadas en el referido Titulo VIII respecto a su integridad y seguridad y a las de los Centros de tratamiento, locales, equipos, sistemas y programas. (Artículo 9.2. LOPD). Durante la realización de los servicios que se presten como consecuencia del cumplimiento del presente contrato, el adjudicatario y su personal se someterán al estricto cumplimiento de los documentos de seguridad vigentes para los ficheros de datos de carácter personal a los que tengan acceso, así como a las instrucciones de ¡os responsables de seguridad de las instalaciones en las que desarrollen su trabajo. El acceso a las bases de datos de la empresa municipal Madrid Espacios y Congresos, S.A. necesarios para la prestación del servicio se autorizará al adjudicatario para el exclusivo fin de la realización de las tareas objeto de este contrato, quedando prohibido para el adjudicatario y para el personal encargado de su realización su reproducción por cualquier medio y (a cesión total o parcial a cualquier persona física o jurídica. Lo anterior se extiende asimismo al producto de dichas tareas.” (folios 422 y 455-456 y 593-596) CUARTO: Respecto a la finalidad y usos del sistema de videovigilancia por parte de MADRIDEC. En todos los contratos de prestación de servicios, la titularidad del sistema de videovigilancia instalado en los recintos inspeccionados Casa de Campo, Caja Mágica y Palacio Municipal de Congresos, se atribuye a la entidad MADRIDEC. Esta entidad se configura como responsable del fichero y SEGURIBER como encargado de tratamiento. Asimismo, MADRIDEC es la entidad responsable del fichero de Videovigilancia inscrito en el Registro General de Protección de Datos de esta Agencia. MADRIDEC es la única entidad que decide sobre la finalidad, contenido y usos de las imágenes de videovigilancia, así como la única que ostenta la responsabilidad sobre los soportes generados con motivo del registro de las imágenes en las citadas instalaciones. SEGURIBER como encargado de tratamiento se limita a la mera visualización de las imágenes reproducidas por el sistema durante las fechas en las que prestó sus servicios, no pudiendo responder del uso del sistema de videovigilancia (folios 423-424 y los folios relativos a los contratos citados). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 30/46 QUINTO: A la vista de la documentación citada, y según manifiesta SEGURIBER, consta acreditado que “SEGURIBER únicamente tenía funciones relativas a la coordinación de los medios personales que se precisaban para la prestación del servicio de vigilancia pero no decidía sobre su organización, dirección e inspección del personal y servicios de seguridad privada, puesto que se consideraban funciones atribuidas al Director de Seguridad de MADRIDEC, en virtud del art. 95 del Reglamento de Seguridad Privada. SEGURIBER tampoco decidía sobre la instalación de cámaras de videovigilancia, ni su enfoque, ni el uso que pudiese hacerse de las imágenes captadas” (folios 424-425 y los folios relativos a los contratos citados). SEXTO: Asimismo, durante la Inspección en la sede de MADRIDEC, en fecha 20 de febrero de 2013, se comprobó lo siguiente: - El personal de seguridad de UTE SEGURIBER INTEGRALES accede únicamente a las imágenes en tiempo real desde el centro de control, a las imágenes grabadas accede únicamente el responsable de Seguridad de MADRID ESPACIOS Y CONGRESOS. El acceso a las imágenes grabadas es con usuario y contraseña que únicamente son conocidos por el Responsable de Seguridad de MADRID ESPACIOS Y CONGRESOS SA. - Existe un parte diario que elabora el Jefe de Equipo de Seguridad en el que se detallan las incidencias y donde se incluyen las incidencias ocurridas con el sistema de videovigilancia. - Las imágenes se eliminan automáticamente y nunca se extraen salvo cuando existe un requerimiento policial o judicial. En el caso “MADRID ARENA” todos los grabadores han sido retirados a requerimiento Judicial y en la actualidad no se realiza ninguna grabación únicamente se visiona en tiempo real. - Cuando existe mandamiento Judicial o Policial por el que se requieren imágenes del sistema de videovigilancia se hace entrega de un CD a las Fuerzas y Cuerpos de Seguridad o Juzgados y se conserva copia del dicho CD con el requerimiento que lo ha motivado y con el acuse de recibo de la entrega de las imágenes. Esta circunstancia se ha producido en una ocasión con relación a la Caja Mágica en el año 2009 y en el caso “Madrid Arena”. - La extracción de las imágenes la realiza el personal técnico de la entidad UTE SEGURIBER INTEGRALES a requerimiento de MADRID ESPACIOS Y CONGRESOS SA. (folio 25) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 31/46 SÉPTIMO: Durante la visita de Inspección a MADRIDEC, en fecha 20 de febrero de 2013, se constató la captación de imágenes en el exterior de las instalaciones, afectando en varios casos, a la vía pública de forma desproporcionada:  Con relación al sistema de videovigilancia instalado en Caja Mágica: - Existen carteles de zona video vigilada en los accesos al recinto en los términos referidos en el artículo 3.a de la Instrucción 1/2006. - Existen un total de treinta cámaras sin movimiento y sin zoom en el perímetro del recinto: o o o o o o o o o o o o o o o o o o o o o C/ Jorge Juan, 6 28001 – Madrid Las cámaras 135, 136 y 96 se encuentran fuera de servicio en el momento de la inspección. Cámara 164: Capta imágenes del Parking de embajadores y M30. Cámara 157: Capta imágenes de la zona inferior del puente de Embajadores por el que se accede al recinto. Cámara 156: Capta imágenes de la entrada del puente al recinto. Cámara 154: Capta imágenes de jardín interior del recinto y parte de la pista exterior que discurre junto al río Manzanares. Cámara 153: Capta imágenes de jardín interior del recinto y parte de la pista exterior que discurre junto al río Manzanares. Cámara 152: Capta imágenes de un vial interior del recinto. Cámara 151: Capta imágenes del vallado interior del recinto. Cámara 150: Capta imágenes de jardín interior del recinto y parte de la pista exterior que discurre junto al río Manzanares. Cámara 149: Capta imágenes del vallado interior del recinto. Cámara 148: Capta imágenes de una zona de acopio de materiales. Cámara 147: Capta imágenes del acceso sur al recinto. Cámara 146: Capta imágenes de una explanada interior del recinto. Cámara 145: Capta imágenes de la explanada sur del recinto y Camino de Perales. Cámara 144: Capta imágenes del Camino de Perales zona de aparcamiento público exterior y viviendas colindantes. Cámara 142: Capta imágenes del perímetro sur del recinto y parking público de Camino de Perales. Cámara 141: Capta imágenes del perímetro sur del recinto y parking público de Camino de Perales. Cámara 140: Capta imágenes del perímetro sur del recinto y parking público de Camino de Perales. Cámara 139: Capta imágenes de la puerta de acceso al recinto desde el interior. Cámara 138: Capta imágenes del perímetro sur del recinto y parking público de Camino de Perales. Cámara 137: Capta imágenes del perímetro sur del recinto y www.agpd.es sedeagpd.gob.es 32/46 o o o o o o o parking público de Camino de Perales. Cámara 161: capta imágenes de un vial del recinto y de la parcela colindante. Cámara 158: Capta imágenes de jardín interior del recinto y parte de la pista exterior que discurre junto al río Manzanares. Cámara 159: Capta imágenes de jardín interior del recinto y parte de la pista exterior que discurre junto al río Manzanares. Cámara 160: Capta imágenes de jardín interior del recinto y parte de la pista exterior que discurre junto al río Manzanares. Cámara 162: Capta imágenes de jardín interior del recinto y parcela colindante. Cámara 163: Capta imágenes de la parcela colindante y un vial interior del recinto. Cámara 97 en “Barrera F2”: Capta imágenes de una barrera de acceso, Camino de Perales y viviendas colindantes. Por otra parte, el recinto dispone de seis cámaras con movimiento y zoom: o o o o o o Cámara 127 en “Garita F2”: Capta imágenes de las viviendas colindantes al recinto y en el momento de la inspección el movimiento y zoom de la cámara se encuentran averiados. Cámara 63: Capta imágenes del acceso al recinto, Camino de Perales, parking público y viviendas colindantes. Cámara 62: Capta imágenes del acceso al recinto, Camino de Perales, parking público y viviendas colindantes. Cámara 64: Capta imágenes del parking público. Cámara 53: Capta imágenes del parking público. Cámara 119: Con movimiento y zoom fuera de servicio en el momento de la inspección. Capta imágenes de Camino de Perales, viviendas colindantes, y vallado del recinto. Se comprueba que las imágenes de las cámaras que se conservan más antiguas son de fecha 21 de enero de 2013.  Con relación al Recinto de la Casa de Campo: Existen carteles en el acceso y en el interior del recinto y pabellones en los que se advierte de zona videovigilada en los términos del artículo 3.a de la Instrucción 1/2006. El recinto dispone de once cámaras instaladas en los viales interiores del mismo: - - C/ Jorge Juan, 6 28001 – Madrid “Entrada principal”: Domo con zoom y movimiento, ubicada en Avenida Principal que es la “entrada principal” del recinto capta imágenes de la Avenida de Portugal y Avenida Principal esta última es un vial interior del recinto. “F14”: Con zoom y movimiento en la bifurcación de la Ronda Lago, vial interior del recinto. “TERCERA EDAD”: Ubicada en el interior del recinto capta imágenes de las viviendas próximas al recinto. www.agpd.es sedeagpd.gob.es 33/46 - “RESTAURANTES”: Capta imágenes del interior del recinto. “SALIDA RECINTO F3”: Capta imágenes del interior del recinto. “LAGO”: Capta imágenes de vial interior del recinto con alcance a la zona del lago de la Casa de Campo. “F2: Capta imágenes de una barrera interior del recinto. “VIAL PRINCIPAL”: Capta imágenes del interior del recinto. “EXPLANADA CRISTAL”: Capta imágenes del interior del recinto. “VIAL P 3”: Capta imágenes de un vial interior del recinto. “P3”: Capta imágenes del interior del recinto. Se constata que el lugar donde se ubicaban las oficinas ejecutivas se encuentra en el momento de la inspección diáfano y en el mismo existen en funcionamiento cinco cámaras que captan imágenes del inmueble vacío. Se comprueba que los dispositivos de grabación de imágenes en la sala de control del recinto Madrid Arena no se encuentran disponibles (folios 27-29 y 31-94) OCTAVO: No consta acreditado que los CDs conteniendo las grabaciones de los sistemas de videovigilancia y que fueron aportados por el denunciante en el momento de la denuncia, hubieran sido obtenidos por éste de la “basura pública”. NOVENO: A la vista de los contratos suscritos entre las entidades imputadas, y del resto de los documentos que obran en el presente procedimiento, no consta acreditada vulneración alguna a las medidas de seguridad por parte de ninguna de las dos entidades. DÉCIMO: Consta acreditado que la entidad MADRID ESPACIOS Y CONGRESOS, S.A. fue disuelta en la sesión ordinaria del Pleno del Ayuntamiento de Madrid de fecha 30 de 2013 (folio 814) y posteriormente publicada en Boletín Oficial del Registro Mercantil en el que se recoge que queda disuelta por cesión global del activo y pasivo de la sociedad a su socio único, el Excmo. Ayuntamiento de Madrid, con efectos de 31 de diciembre de 2013 (folio 846). DÉCIMO PRIMERO: Consta acreditado que, posteriormente, el Ayuntamiento de Madrid adscribió determinados inmuebles para su gestión a la entidad MADRID DESTINO CULTURA TURISMO Y NEGOCIO, S.A., a partir del 1 de enero de 2014, entre ellos, Caja Mágica y Recinto de la Casa de Campo. DÉCIMO SEGUNDO: Durante la visita de Inspección, cursada el 22 de septiembre de 2015 a la entidad MADRID DESTINO CULTURA TURISMO Y NEGOCIO, S.A., se verificó que el sistema de videovigilancia y todas las cámaras instaladas en los espacios municipales Caja Mágica y Recinto de la Casa de Campo cumplen la normativa de protección de datos (folios 838-950, entre otros). FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 34/46 Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
18. g)en relación con el artículo 36 de la LOPD. II Con carácter previo, debe señalarse que el artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. La LOPD, viene a regular el derecho fundamental a la protección de datos de las personas físicas, esto es, el derecho a disponer de sus propios datos sin que puedan ser utilizados, tratados o cedidos sin su consentimiento, con la salvedad de las excepciones legalmente previstas. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el apartado
19. a)del artículo 3 de la LOPD, como “Cualquier información concerniente a personas físicas identificadas o identificables”. En lo que respecta al concepto de “fichero” el artículo 3.
20. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
21. d)de la LOPD define al responsable del fichero o tratamiento como la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” El artículo 3 de la LOPD define en su letra
22. c)el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. La garantía del derecho a la protección de datos, conferida por la normativa de referencia, requiere que exista una actuación que constituya un tratamiento de datos personales en el sentido expresado. En otro caso las mencionadas disposiciones no serán de aplicación. El artículo 5.1.
23. f)del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, define datos de carácter personal como: “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2.
24. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 35/46 Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, según el cual, a efectos de dicha Directiva, se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. De lo anteriormente expuesto se desprende que el concepto de dato personal, según la definición de la LOPD, requiere la concurrencia de un doble elemento: por una parte, la existencia de una información o dato y, por otra, que dicho dato pueda vincularse a una persona física identificada o identificable. Así, de conformidad con la normativa expuesta, el denunciado dispone de datos personales y los utiliza, lo que constituye un tratamiento de datos personales del que es responsable, toda vez que es quien decide sobre la finalidad, contenido y uso del citado tratamiento. III En el presente procedimiento se imputa a las entidades las entidades MADRID ESPACIOS Y CONGRESOS, S.A., y SEGURIBER, S.L.U., la presunta infracción de los artículos 6.1, 9.1 y 10 de la LOPD, en relación con el sistema de videovigilancia instalado en diferentes infraestructuras municipales. De conformidad con lo expuesto se exige que el responsable del tratamiento de los datos cuente con el consentimiento para el tratamiento de dichos datos personales, entendido estos de conformidad con las definiciones contenidas en el artículo 3 de la LOPD como: Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” Consentimiento del interesado como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Es preciso, por tanto, determinar si en el presente caso la actividad desarrollada por las entidades MADRID ESPACIOS Y CONGRESOS, S.A. y SEGURIBER, S.L.U., puede subsumirse o no en tales definiciones legales, es decir, si es responsable del fichero y/o tratamiento, y en caso afirmativo si está o no legitimada para el tratamiento de datos del denunciante, y por ende verificar la prestación del consentimiento de éste o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 36/46 la ausencia del mismo. En el presente caso, consta acreditado que en todos los contratos de prestación de servicios, la titularidad del sistema de videovigilancia instalado en los recintos inspeccionados Casa de Campo, Caja Mágica y Palacio Municipal de Congresos, se atribuye a la entidad MADRIDEC. Esta entidad se configura como responsable del fichero y SEGURIBER como encargado de tratamiento. Asimismo, MADRIDEC es la entidad responsable del fichero de Videovigilancia inscrito en el Registro General de Protección de Datos de esta Agencia. MADRIDEC es la única entidad que decide sobre la finalidad, contenido y usos de las imágenes de videovigilancia, así como la única que ostenta la responsabilidad sobre los soportes generados con motivo del registro de las imágenes en las citadas instalaciones. SEGURIBER como encargado de tratamiento se limita a la mera visualización de las imágenes reproducidas por el sistema durante las fechas en las que prestó sus servicios, no pudiendo responder del uso del sistema de videovigilancia (folios 423-424 y los folios relativos a los contratos citados). Por todo lo cual, se ha de concluir, que tras el análisis de los hechos denunciados y de las actuaciones de investigación llevadas a cabo por esta Agencia, no se han acreditado elementos probatorios que permitan atribuir a SEGURIBER una vulneración de la normativa en materia de protección de datos, en concreto del principio del consentimiento establecido en el artículo 6 de la LOPD, ni el principio de seguridad de los datos contenido en el artículo 9.1, ni vulneración del deber de secreto establecido en el artículo 10 de la citada norma, por lo que procede acordar el archivo del presente procedimiento, respecto de la entidad imputada SEGURIBER, S.L.U. IV Se imputa, por tanto, a la entidad MADRID ESPACIOS Y CONGRESOS, S.A. como responsable del sistema de videovigilancia instalado en las siguientes infraestructuras municipales: Caja Mágica, Recinto de la Casa de Campo (que comprende el Pabellón Arena, Pabellón Pipa, Pabellón de Cristal) y Palacio Municipal de Congresos en donde se localizan las Oficinas Ejecutivas, la comisión de una infracción del artículo 6.1 de la LOPD, que dispone lo siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 37/46 responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado”. Respecto a la legitimación en el tratamiento de las imágenes, la respuesta se encuentra en el artículo 2 de la Instrucción 1/2006, que establece que: “1. Sólo será posible el tratamiento de los datos objeto de la presente instrucción, cuando se encuentre amparado por lo dispuesto en el artículo 6.1 y 2 y el artículo 11.1 y 2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. 2. Sin perjuicio de lo establecido en el apartado anterior la instalación de cámaras y videocámaras deberá respetar en todo caso los requisitos exigidos por la legislación vigente en la materia”. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. En el presente expediente, cabe apreciar que las cámaras instaladas en las infraestructuras municipales citadas captan imágenes de personas, de conformidad con lo anteriormente expuesto. Dichas imágenes, incorporan datos personales de las personas que se introducen dentro de su campo de visión y, por lo tanto, los datos personales captados están sometidos al consentimiento de sus titulares, de conformidad con lo que determina la LOPD. Dicho tratamiento, por tanto, ha de contar con el consentimiento de los afectados. V Por otro lado, en este caso concreto, con relación a las cámaras instaladas en las instalaciones de la Caja Mágica, Recinto de la Casa de Campo (que comprende el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 38/46 Pabellón Arena, Pabellón Pipa, Pabellón de Cristal) y Palacio Municipal de Congresos, hay que señalar que para entender las especialidades derivadas del tratamiento de las imágenes en la vía pública que captan las cámaras situadas en el exterior y el interior del edificio denunciado, es preciso conocer la regulación que sobre esta materia se contempla en el artículo 1 de la Ley Orgánica 4/1997, de 4 de agosto, por la que se regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad en lugares públicos que establece: “La presente Ley regula la utilización por las Fuerzas y Cuerpos de Seguridad de videocámaras para grabar imágenes y sonidos en lugares públicos abiertos o cerrados, y su posterior tratamiento, a fin de contribuir a asegurar la convivencia ciudadana, la erradicación de la violencia y la utilización pacífica de las vías y espacios públicos, así como de prevenir la comisión de delitos, faltas e infracciones relacionados con la seguridad pública”. Este precepto es preciso ponerlo en relación con lo dispuesto en el artículo 3
25. e)de la Ley Orgánica 15/1999, donde se prevé que: “Se regirán por sus disposiciones específicas y por lo especialmente previsto, en su caso, por esta Ley Orgánica los siguientes tratamientos de datos personales:
26. e)Los procedentes de las imágenes y sonidos obtenidos mediante la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad, de conformidad con la legislación sobre la materia”. En virtud de todo lo expuesto, podemos destacar que la instalación de videocámaras en lugares públicos es competencia exclusiva de las Fuerzas y Cuerpos de Seguridad, de ahí que la legitimación para el tratamiento de dichas imágenes se contemple en la Ley Orgánica 4/1997, y además en el mismo texto legal se regulan los criterios para instalar las cámaras y los derechos de los interesados. Asimismo, debe recordarse que el tratamiento de las imágenes deberá cumplir con el principio de proporcionalidad en el tratamiento, consagrado por el artículo 4.1 de la Ley Orgánica 15/1999, según el cual “los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido”. Así lo recuerda el artículo 4.1 de la Instrucción 1/2006, al señalar que “de conformidad con el artículo 4 de la Ley Orgánica 15/1999 de 13 de diciembre, de Protección de Datos de Carácter Personal, las imágenes sólo serán tratadas cuando sean adecuadas, pertinentes y no excesivas en relación con el ámbito y las finalidades determinadas, legítimas y explícitas, que hayan justificado la instalación de las cámaras o videocámaras”. En el presente procedimiento no ha quedado acreditado que el sistema de videovigilancia del denunciado estuviera acogido a las disposiciones de la Ley Orgánica 4/1997, de 4 de agosto, que regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad en lugares públicos, por lo que el tratamiento de los datos recogidos en la vía pública carece de habilitación legal. En las imágenes recabadas durante la inspección realizada en MADRIDEC con fecha 20 de febrero de 2013 se comprobó que, las cámaras exteriores ubicadas en Caja Mágica y en el Recinto de la Casa de Campo captaban imágenes de las vías públicas y se pueden distinguir los vehículos que circulan por la vía pública. En este caso, las cámaras ubicadas en el exterior de la Caja Mágica y en el Recinto de la Casa de Campo graban imágenes de los viandantes sin que tengan autorización administrativa al respecto, puesto que como ya se ha establecido “ut supra”, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 39/46 la instalación de cámaras en la vía pública es competencia exclusiva de las Fuerzas y Cuerpos de Seguridad del Estado. VI Por otra parte, la Directiva 95/46/CE en su Considerando 14 afirma: “