1/6 Expediente Nº: EXP202101337 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (*en adelante, la parte reclamante) con fecha 2 de agosto de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra B.B.B. con NIF ***NIF.1. (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: “las cámaras de seguridad de este establecimiento enfocan hacia el exterior donde captaron a mi tío, el cual tiene discapacidad mental reconocida y difunden estas imágenes a la prensa, con el único objetivo de difamar y denigrar su persona para así ellos conseguir la atención del público y ganar público y/o fama (…)”—folio nº 1--. Se adjunta diversas imágenes de un hombre con mascarilla enfrente del escaparate de la galería de arte (Anexo I). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada en fecha 20/08/21 y 09/09/21, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 25/10/21 se recibe en esta Agencia escrito de respuesta indicando lo siguiente: “Contamos con dos sistemas de video-vigilancia debido a que nuestra actividad es una galería de arte en dónde habitualmente se encuentran obras de mucho valor (…) El primer sistema de seguridad está contratado con la empresa de seguridad Securitas Direct, para ello hay instalado una serie de sensores sonoros (…) y otros dos sensores de grabación de imágenes, uno ubicado en la zona de uso público y otro (…) Tal y como marca la Ley existe una placa de color amarillo que avisa “Zona Video-vigilada” ubicada en la recepción de la entrada del local, en un lugar visible dónde todos los usuarios pueden verla con claridad. Durante más de cuatro días una persona de actitud sospechosa pasaba mañana y tarde pegado al escaparate de mi galería de arte. Se estaba masturbando delante de mí, delante de mí establecimiento en plena calle, con gente pasando junto a él (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 Las imágenes aparecidas en los medios de comunicación NO pertenecen a las imágenes captadas por las cámaras, son fotografías realizadas con una cámara digital. Tampoco le importó que hiciera las fotografías pues me vio con la cámara y en ningún momento dejó de masturbarse”. Se adjunta prueba documental que acredita la presencia de las cámaras, así como un cartel informativo con referencia a una normativa derogada como es la LOPD (LO 15/99, 13 diciembre). TERCERO: Con fecha 11 de noviembre de 2021 la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 10 de enero de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD. El acuerdo de inicio fue debidamente notificado a la parte reclamada con fecha 24 de enero de 2022. QUINTO: Consultada las entradas del Registro de este organismo en fecha 21/02/22 no consta, salvo error u omisión, presentación de escrito alguno o explicación se ha realizado en relación a los hechos detallados. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS Primero. Los hechos traen causa de la reclamación de fecha 02/08/21 por medio de la cual se traslada lo siguiente: “las cámaras de seguridad de este establecimiento enfocan hacia el exterior donde captaron a mi tío, el cual tiene discapacidad mental reconocida y difunden estas imágenes a la prensa, con el único objetivo de difamar y denigrar su persona para así ellos conseguir la atención del público y ganar público y/o fama (…)”—folio nº 1--. Segundo. Consta identificado como principal responsable B.B.B.. Tercero. Consta acredita la instalación de un sistema de cámaras de video-vigilancia que está operativo, obteniendo imágenes proporcionadas del exterior del establecimiento. Cuarto. No consta la presencia en zona de acceso del establecimiento de cartel homologado a la normativa en vigor, informando que se trata de una zona video-vigilada, así como en su caso del responsable del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 Quinto. No consta acreditado la disponibilidad de formulario (
- s)informativo a disposición de los clientes (usuarios) que en su caso pudieran requerirlo. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II Antes de entrar en el fondo del asunto, recordar que en el Acuerdo de Inicio del presente procedimiento se mencionó que, en el caso de no efectuar alegación alguna al mismo, este podría ser considerado “propuesta de resolución”. El artículo 64.2.
- f)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP) -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
- f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. III En el presente caso, los hechos traen causa de la reclamación de fecha 02/08/21 por medio de la cual se traslada la presunta “difusión de imágenes de un particular” tomadas según manifiesta el reclamante desde el sistema de cámaras del establecimiento objeto de reclamación. Los hechos anteriores se van a limitar a la “irregularidad” del cartel informativo colocado en la zona frontal del escaparate de la galería de arte, pues el mismo no se ajusta a la normativa en vigor, así como en el ubicado en el interior del mismo infor mando que se trata de una zona video-vigilada. La propia reclamada aporta fotografía en dónde lo que se constata es la empresa instaladora Securitas Direct, pero no se indica que se trata de una zona video-vigilada, ni de la finalidad y/o responsable del tratamiento de los datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 Para adaptarse a las normativas vigentes, la AEPD publicó el nuevo cartel obligatorio que ha de situarse en los espacios colectivos que estén sometidos a videovigilancia. Esta actuación estuvo destinada, en su día, a cumplir de forma escrupulosa con el RGPD aprobado por el Parlamento Europeo en el año 2016. Informar sobre la videovigilancia según RGPD es una obligación recogida en nuestro marco legislativo—art. 13 RGPD--. Para adaptarse a las normativas vigentes, la AEPD publicó el nuevo cartel obligatorio que ha de situarse en los espacios que estén sometidos a videovigilancia. El artículo 22 apartado 4º de la LOPDGDD (LO 3/2018, 5 diciembre) dispone: “El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información”. IV De conformidad con las pruebas de las que se dispone en el presente procedimiento sancionador, se considera que la parte reclamada dispone de un sistema de videovigilancia que no está debidamente informado de conformidad con la normativa en vigor. Los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada, por vulneración del art. 13RGPD, al carecer de cartel informativo adaptado a la actual normativa en vigor. V El art. 83.5 RGPD dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- b)los derechos de los interesados a tenor de los artículos 12 a 22; VI Sin perjuicio de lo establecido en el artículo 83 del RGPD, el art. 58.2
- b)dispone lo siguiente: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6
- b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” En el presente caso, se tiene en cuenta la naturaleza de los hechos descritos, así como la ausencia de infracciones previas y la colaboración inicial con este organismo, bastando con la colocación de un cartel en zona visible adaptado a la normativa en vigor, así como acreditando que dispone de formulario (
- s)a disposición de los clientes de la galería en caso de requerirlos; motivos estos que justifican un apercibimiento como sanción inicial. VII Entre los poderes correctivos que contempla el artículo 58 del RGPD, en su apartado 2
- d)se establece que cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. La parte reclamada deberá cambiar los carteles (interior/exterior) adaptándolos a la normativa en vigor, así como deberá acreditar que dispone de formulario (
- s)en el interior del establecimiento a disposición de los clientes (
- as)que pudieran requerirlo, pudiendo adaptarlos de los modelos informativos que esta Agencia dispone en la página web www.aepd.es “Áreas de actuación-Videovigilancia” en dónde dispone de copia del modelo de cartel. En el caso de los formularios deberá constar el responsable del tratamiento, una dirección a la que poder dirigirse, así como el modo de ejercitar los derechos (vgr. cancelación, acceso) de las imágenes obtenidas, pudiendo confeccionarlos en formato Word en caso de estimarlo preciso. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR a B.B.B., con NIF ***NIF.1., por una infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD, un APERCIBIMIENTO. SEGUNDO: ORDENAR a la reclamada para que en el plazo de UN MES de conformidad con el artículo 58.2
- d)RGPD, proceda colocar un cartel (
- es)homologado a la normativa en vigor, así como a confeccionar los correspondientes formulario (
- s)a disposición de los usuarios del establecimiento. TERCERO: NOTIFICAR la presente resolución a Doña B.B.B.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 938-150222 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es