1/9 Expediente N.º: EXP202203860 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (*en adelante, la parte reclamante) con fecha 24 de marzo de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra ***COMUNIDAD.1 con NIF ***NIF.1 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: “la Comunidad de Propietarios reclamada ha instalado un sistema de videovigilancia en zonas comunes de la Comunidad, sin haber convocado previamente una Junta de Propietarios y sin que conste que se haya autorizado, conforme a las exigencias que para ello establece la Ley de Propiedad Horizontal, la instalación por la correspondiente mayoría de propietarios” (folio nº 1). Aporta imágenes de la ubicación de cámaras en zonas comunes de la Comunidad reclamada (Anexo probatorio I). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada en fecha 30/03/22, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), no fue recogido por el responsable, ni ha procedido al acceso de las notificaciones efectuadas. TERCERO: Con fecha 26 de mayo de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 Los antecedentes que constan en los sistemas de información son los siguientes: Dentro del procedimiento (...), esta Agencia cursó traslado de la reclamación el día 30/03/2022, sin respuesta hasta la fecha en nombre de la parte reclamada. Asimismo, se realizaron varias peticiones a la Agencia Estatal de Administración Tributaria (en adelante, AEAT) solicitando el NIF de la parte reclamada y aportando nombre completo y posible dirección postal. A esta Agencia llegaron las contestaciones de la AEAT: la primera con fecha 30/03/2022 (número de registro de entrada en la AEPD 22e00010228726), la segunda con fecha 13/05/2022 (número de registro de entrada en la AEPD 22e00018607898) y la tercera con fecha 27/05/2022 (número de registro de entrada en la AEPD 22e00021160758) en las que se comunicaba que “según los datos obrantes en la Base de Datos de la Agencia Estatal de Administración Tributaria, se comunica que no se han podido obtener los datos requeridos con la información facilitada.” Con fecha 26 de mayo de 2022, en el procedimiento (...) la Agencia Española de Protección de Datos acordó llevar a cabo las presentes actuaciones de investigación en relación con la instalación de un sistema de videovigilancia en zonas comunes de la Comunidad. RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Con fecha 02/06/2022 se solicita el NIF de la parte reclamada tanto al reclamante como a la propia parte reclamada. La notificación postal de dicha solicitud de información a la parte reclamada ha resultado devuelta a Origen por Sobrante (no retirado en oficina) con fecha 21/06/2022 tras dos intentos de entrega y aviso en buzón de la parte reclamada. Con fecha 21/06/2022, el reclamante proporciona información sobre la administración de fincas que representa a la parte reclamada. Tras los anteriores intentos que resultaron infructuosos para obtener el NIF de la parte reclamada de cara a identificarle fehacientemente, se envía requerimiento de información al representante de la parte reclamante el día 23/06/2022, mediante notificación electrónica, solicitando los datos completos de la parte reclamada, incluido el NIF, pero su notificación es rechazada automáticamente trascurrido el plazo establecido. El día 13/07/2022 se reitera el requerimiento de información al representante de la parte reclamante mediante notificación postal. Con fecha 26/07/2022, el Administrador de la Comunidad de Propietarios remite a esta agencia la siguiente información y manifestaciones: - Que los datos de dicha Comunidad de Propietarios son los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 - ***COMUNIDAD.1 de Barcelona, con NIF: ***NIF.1, domicilio en ***DIRECCIÓN.1 y domicilio a efectos de notificaciones: Asesoría Jurídica Augusta S.L. con domicilio en Barcelona, ***DIRECCIÓN.2. Correo electrónico: administracion@bufeteaugusta.com - La empresa instaladora del sistema de videovigilancia es: ***EMPRESA.1 - Adjunta factura de instalación de dicho sistema de videovigilancia, con fecha 16/02/2022. QUINTO: Con fecha 13 de diciembre de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: “En fecha 19 de julio de 2022 se celebró Junta General Extraordinaria de Propietarios, en cuyo orden del día se referenció, de forma expresa, el tratamiento de la instalación en el edificio de cámaras de videovigilancia, de conformidad con lo preceptuado en el artículo 553-21 del Código Civil de Cataluña, notificándose tras su celebración la correspondiente Acta en la que se recoge el conjunto de acuerdos adoptados por el conjunto de vecinos, adjunta al presente como Documento núm.1, sin que la misma haya sido objeto de impugnación en los términos previstos en el artículo 55331 del Código Civil de Cataluña. Concretamente, el primer apartado del Acta transcribe el acuerdo referente al primer punto del orden del día (“Tratamiento y aprobación, si procede, instalación portero electrónico o videoportero en finca.”), adoptado por la mayoría de los asistentes, tal y como prevé el artículo 553-25.2-
- b)del Código Civil de Cataluña, siendo el tenor literal del mismo el siguiente: “En el presente apartado, se presenta presupuesto de la empresa ***EMPRESA.1 para la instalación de cámaras de vigilancia en la Comunidad, dicho presupuesto asciende a un importe de 1.154,40.-€ (IVA incluido). Tras amplia deliberación, los Sres. Propietarios asistentes, acuerdan por unanimidad, aceptar dicho presupuesto y que de forma urgente procedan a su instalación.” SÉPTIMO: En fecha 20/01/23 se emite Propuesta de resolución en la que se considera probado que la instalación del sistema de cámaras de video-vigilancia se realizó sin contar con el consentimiento informado del conjunto de propietarios (as), no habiendo acreditado fehacientemente tal extremo la reclamada, actuación constitutiva de infracción del artículo 6.1
- e)RGPD, proponiendo una sanción cifrada en la cuantía de 1000€. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 OCTAVO: En fecha 06/02/23 se recibe escrito de alegaciones de la parte reclamada a la Propuesta de este organismo argumentando “error” en la transcripción del Acta de la Junta extraordinaria, señalando que la adopción del acuerdo era de fecha anterior a la reclamación presentada motivo por el que solicita el Archivo del presente procedimiento. Que, esta parte incurrió en un error de transcripción numérico al referenciar la fecha de celebración del Acta de Junta General Extraordinaria de propietarios, siendo la fecha efectiva de celebración el día 19 de julio de 2021, adjuntándose la presente corrección de Acta, debidamente notificada al conjunto de propietarios como Documento núm.1. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS Primero. En fecha 24/03/22 se recibe reclamación poniendo en conocimiento de este organismo la presencia de un sistema de video-vigilancia por parte de la reclamada sin contar con el consentimiento de los propietarios (as), ni informar al conjunto de vecinos del inmueble, realizando un “tratamiento de datos” no ajustado a la ley. Segundo. Consta acreditado como principal responsable la Comunidad de propietarios ***COMUNIDAD.1 con NIF ***NIF.1. Tercero. La Comunidad de propietarios aporta dos documentos con fechas distintas 19/07/21 y 19/07/22 en dónde se plasma lo siguiente: “Tras amplia deliberación, los Sres. Propietarios asistentes, acuerdan por unanimidad, aceptar dicho presupuesto y que de forma urgente procedan a su instalación.” Cuarto. Consta acreditado que la documentación aportada adolece de defectos formales, no siendo suficiente para acreditar que la instalación del sistema de cámaras se produjo contando con el respaldo exigido por la normativa en vigor. Quinto. No se ha aportado documentación alguna que constate fehacientemente la puesta en conocimiento al conjunto de propietarios de la instalación del sistema, ni consta aportado su consentimiento expreso reflejado en modo alguno. 48-110422 FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos. II En el presente caso, se procede a examinar la reclamación de fecha de entrada en esta Agencia 24/03/22 por medio de la cual se traslada la presencia de cámara de video-vigilancia sin contar con la autorización a priori de la Junta de Propietarios. Según el Artículo 17.1 de la Ley de Propiedad Horizontal, para incorporar en la comunidad servicios o mejoras no imprescindibles para la conservación, habitabilidad y accesibilidad del inmueble, como podrían ser las cámaras de videovigilancia, hará falta el voto favorable de las tres quintas partes de los propietarios, que a su vez supongan las tres quintas partes de las cuotas de participación. No será necesario que se alcance esta mayoría por tres quintas partes durante la Junta de Propietarios. Si en esta se alcanzara una mayoría simple de propietarios a favor que a su vez poseyeran una mayoría de cuotas de participación, deberá notificarse el acuerdo a los vecinos que no hayan acudido a la junta, quienes tendrán 30 días desde que reciban la notificación para oponerse, en caso de no hacerlo, sus votos computarán como favorables para alcanzar la mayoría de las tres quintas partes. Solo podrá acceder a las imágenes el responsable del fichero, que en este caso será la propia comunidad de propietarios representada por el presidente. Así la instalación de cámaras de videovigilancia en el caso de una comunidad de propietarios con el fin de evitar determinadas situaciones de inseguridad para los residentes o sus visitantes, ha de ser una medida proporcional en relación con la infracción que se pretenda evitar y en ningún caso, debe suponer el medio inicial para llevar a cabo funciones de vigilancia, por lo que desde un punto de vista objetivo, la utilización de estos sistemas debe ser proporcional al fin perseguido, que en todo caso deberá ser legítimo. Las cámaras de videovigilancia no podrán grabar la vía pública, ya que la seguridad del espacio público será competencia exclusiva de las Fuerzas y Cuerpos de Seguridad del Estado. El artículo 6 apartado 1º letra
- e)RGPD dispone: “El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; III C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 De conformidad con las pruebas de las que se dispone en el presente procedimiento sancionador, se considera que la parte reclamada ha procedido a instalar un sistema de video-vigilancia sin contar con el consentimiento informado del conjunto de propietarios (
- as)del inmueble. El RGPD define al “responsable del tratamiento” (art. 4 apartado 7º) de datos como la persona física o jurídica, servicio, organismo o entidad similar que determina los fines y medios del tratamiento. Es decir, es quien debe informar sobre la finalidad del tratamiento y los medios elegidos para ello, siendo en el presente caso la Comunidad de propietarios (reclamada). La instalación de cámaras de video-vigilancia en Comunidades de propietarios requiere el consentimiento informado del conjunto de vecinos, debiendo ser conocedores de la presencia de un sistema de video-vigilancia que controle en su caso la entrada del inmueble, debiendo estar el citado acuerdo plasmado en el correspondiente <Orden del día> y debidamente aprobado en los términos expuestos. Según el RGPD se entenderá por consentimiento «la manifestación de voluntad libre, específica, informada e inequívoca por la cual una persona acepta, mediante una clara acción afirmativa, el tratamiento de sus datos personales» (art. 4 punto 11º). Las alegaciones de la reclamada entran en contradicción pues inicialmente aporta documental de celebración de Junta Extraordinaria de fecha 19/07/22, mientras que en contestación a la Propuesta de este organismo manifiesta que debido a un “error de transcripción” la misma se celebró en fecha 19/07/21. El artículo 19.3 de la LPH (Ley 49/1960) dispone que el acta "deberá cerrarse con las firmas del presidente y del secretario...". Sin entrar en las formalidades estrictas que debe cumplir la redacción del Acta de una Junta de propietarios, desde el punto de vista de protección de datos, no se aporta documental alguna que acredite la notificación real y efectiva al conjunto de propietarios (
- as)informándoles de la instalación del sistema, finalidad del mismo o modo en su caso de ejercitar los derechos en el marco del actual RGPD. Tampoco se aporta a pesar del tiempo transcurrido desde la celebración de la misma, si nos atenemos a las segundas alegaciones, copia del Acta debidamente firmada por el conjunto de propietarios (
- as)del inmueble, que respalde documentalmente un “consentimiento informado” sobre la instalación del sistema en cuestión. El artículo 28 “in fine” Ley 39/2015 (1 octubre) dispone lo siguiente: “Los interesados se responsabilizarán de la veracidad de los documentos que presenten”. Artículo 72 LOPDGDD (LO 3/2018, 5 diciembre). Infracciones consideradas muy graves En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. Por tanto, ni de las alegaciones iniciales, ni de la documental presentada se infiere que la reclamada hubiera adoptado las medidas necesarias para que el sistema instalado se ajuste a los requisitos determinados en la normativa expuesta, considerando el relato de los hechos del reclamante acorde a lo plasmado en su reclamación, esto es, la instalación sorpresiva de un sistema de video-vigilancias sin que le (
- s)hubiera informado al respecto recabando su consentimiento expreso o la oportunidad de manifestarse al respecto. Los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada del artículo 6 apartado 1 letra
- e)RGPD, anteriormente mencionado. IV El art. 83.5 RGPD dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)Los principios básicos para el tratamiento incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9 (…)”. El artículo 83 RGPD apartado 2º contempla dentro de las “Condiciones generales para imponer las multas administrativas” atendiendo a las “circunstancias individuales” los criterios para su imposición, valorándose en el presente caso las letras
- a)y b). En el presente caso, se tiene en cuenta que se trata de una Comunidad de propietarios, valorándose la falta de información a los propietarios del inmueble sobre la presencia del sistema y la nula colaboración inicial de la reclamada a pesar de ser conocedora de la existencia de reclamación, para imponer finalmente una sanción de 1000€, sanción situada en la escala inferior para este tipo de conductas, considerando la conducta descrita como negligencia grave. V En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 De manera que a juicio de esta Agencia se debe proceder a la legalización del sistema de cámaras instalados en los términos expuestos, debiendo proceder a la suspensión/interrupción de la grabación en tanto en cuanto no se cumpla lo establecido. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a ***COMUNIDAD.1, con NIF ***NIF.1, por una infracción del artículo 6.1
- e)del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 1000€. SEGUNDO: ORDENAR de conformidad con el artículo 58.2 RGPD para que, en el plazo de 1 mes desde la notificación del presente acto, proceda en los siguientes términos: -Regularizar el sistema objeto de reclamación procediendo en su caso a la acreditación de la suspensión de las grabaciones mediante Informe técnico o Acta notarial o cualquier otro documento que acredite fehacientemente la suspensión de las grabaciones en el acceso al inmueble. TERCERO: NOTIFICAR la presente resolución a la entidad ***COMUNIDAD.1. CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-181022 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es