PS-00543-2023

1/9  Expediente N.º: EXP202311971 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 30 de julio de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra NUBELCO SECURITY, S.L. con NIF B70423777 (en adelante, la parte reclamada o NUBELCO). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que la entidad reclamada cuenta con cámaras de videovigilancia en la fachada de sus instalaciones ubicadas en ***DIRECCIÓN.1 que, por su ubicación y orientación, son susceptibles de captar imágenes de la vía pública, y vecinos que accedan al garaje comunitario. Junto a la reclamación se aportan imágenes de ubicación de las cámaras, las cuales reflejan la existencia de una cámara situada en la fachada de un edificio cuya orientación se dirige claramente a la vía pública, y una segunda cámara situada en la fachada de un edificio orientada a la entrada de un garaje y la vía pública. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 19 de septiembre de 2023, como consta en el certificado que obra en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal que fue notificada fehacientemente en fecha 29 de septiembre de 2023. En dicha notificación, se le recordaba su obligación de relacionarse electrónicamente con la Administración, y se le informaban de los medios de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios electrónicos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/9 No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 30 de octubre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad NUBELCO SECURITY, S.L. es una microempresa constituida en el año 2014, y con un volumen de negocios de 13.925 euros en el año 2023. QUINTO: Con fecha 23 de diciembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 13 del RGPD y Artículo 5.1.

1. c)del RGPD, tipificada en el Artículo 83.5 del RGPD. SEXTO: Con fecha 14 de enero de 2025, tiene entrada en la AEPD, un escrito de la empresa EXON DYNAMICS S.L. con NIF B70334578 (en adelante, EXON) en el que, a grandes rasgos, señala que, por error de un antiguo empleado no se contestó al escrito de traslado al que se hace referencia en el antecedente de hecho segundo. Por ello, manifiesta sus disculpas y asegura haber adoptado medidas para que ese tipo de situaciones no se vuelvan a producir. Además, remite un documento fechado a 18 de octubre de 2023 suscrito por el administrador de EXON y representante legal de NUBELCO en el que expone que el responsable del sistema de videovigilancia y, por tanto, del tratamiento es “EXON DYNAMICS, S.L. con CIF B70334578 y correo electrónico de contacto ***EMAIL.1”. En particular, se indica: “(…) Aunque la reclamación se presenta ante la sociedad NUBELCO SECURITY, SL, la respuesta a la misma se realiza desde EXON DYNAMICS, S.L, ya que es la sociedad a la que pertenecen las cámaras de seguridad objeto de la reclamación, y por lo tanto la RESPONSABLE DE TRATAMIENTO. Como aclaración de la situación, informamos que NUBELCO SECURITY, SL forma parte de un holding empresarial, del cual EXON DYNAMICS, SL es la sociedad matriz, que se encarga de la mayoría de los trámites que generan las sociedades del grupo. Asimismo, EXON es la propietaria de las instalaciones físicas donde se encuentran instalados los sistemas de seguridad a los que se hace alusión en el requerimiento. En dichas instalaciones, se encuentran también, los servidores de otras sociedades del holding empresarial, en los que se almacenan datos y documentación de seguridad de clientes de dichas sociedades, como sucede con los de NUBELCO SECURITY, SL. Al contar las instalaciones de EXON, con información de clientes de otras sociedades de su holding, y haber sufrido, en numerosas ocasiones intentos de robo, así como actos vandálicos (entre otros, rotura de placas de la fachada ventilada, pantalla exterior valorada en 25000€, cristales traseros; silicona en las cerraduras; robo de material de almacén; pinturas exteriores en las fachadas...), desde la sociedad se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/9 tomó la decisión de instalar los sistemas, con la única finalidad de seguridad, evitando de esta manera incidentes similares que puedan ocasionar daños y perjuicios, tanto a la propia entidad como a los datos/información almacenada. (…) Existen 6 dispositivos instalados actualmente en la parte exterior del local, de los cuales se encuentran en funcionamiento únicamente 5, ya que una de ellas tiene problemas de conexión, debido al cableado, por lo que simplemente se ha dejado a nivel disuasivo. Los mismos están instalados de manera que se evite la posible sustracción o tapado de los mismos, en algún intento de acto delictivo. Asimismo, se dispone de 3 cámaras interiores. El sistema está señalizado con distintivos informativos en los que se da una capa básica de información. Asimismo, el sistema cuenta con una máscara de privacidad, con la que se limita la visión lo máximo posible, accediendo de este modo al espacio mínimo imprescindible de vía pública (visualización única de la fachada, para que se pueda identificar cualquier acto delictivo que implique el acercamiento o tocamiento de la misma) para asegurar la seguridad de las instalaciones y evitar de este modo actos delictivos, como los que se produjeron previos a la instalación. Con esta limitación, se cumplen al máximo con los principios de minimización y proporcionalidad, al mismo tiempo que se entiende realizada la función de seguridad que se perseguía. Se considera necesario aclarar que, la instalación se ha tenido que realizar de esta manera para cumplir con los requisitos mínimos de seguridad puesto que el local da a 3 caras diferentes, al hacer esquina. El sistema está colocado, de manera que las cámaras enfrentadas cuenten con un respaldo. Es decir, que una cámara esté cubierta con la grabación de la que está enfrente, para que, en caso de que se utilicen dispositivos que pretendan enmascarar alguna de las cámaras por la parte de atrás (fuera de su propio campo de visión), la otra cámara que da cobertura pueda grabar las imágenes de la persona que está cometiendo el tapado/enmascarado. Asimismo, es reseñable el hecho de que los dispositivos están enfrentados también debido a las circunstancias de visualización, ya que hay momentos del día en los que alguno de los dos dispositivos se ven deslumbrados por el sol y la captación de las imágenes queda prácticamente invalidada, por lo que la función de grabación en estos casos se realiza con la cámara enfrentada. (…) Con respecto al acceso a las imágenes capturadas, se confirma que el mismo queda limitado al personal autorizado y de hecho, tanto es así que no existen monitores en los que se visualice el contenido de las imágenes de manera constante, si no que disponemos de un acceso a través de una plataforma web, para la que son necesarias las credenciales de acceso, utilizando usuario y contraseña. (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/9 Haciendo hincapié en el holding empresarial al que pertenecemos, la instalación y mantenimiento de los dispositivos se realiza desde NUBELCO SECURITY SL, encargado de tratamiento actual de los sistemas. La gerencia de dicha entidad coincide en ambos casos. Aún así, se ha formalizado el contrato de encargado de tratamiento correspondiente entre ambas sociedades. (…) Con respecto a la conservación de las imágenes, se cumple con lo establecido en la normativa vigente, ya que las mismas se eliminan antes del mes desde su captación. Concretamente el borrado se produce entre 10 y 12 días después de la grabación. (…) Por todo lo expuesto, solicitamos se aprecie la buena fe de EXON DYNAMICS SL, pues los dispositivos se han instalado de la manera menos intrusiva posible y atendiendo en todo momento a los principios fundamentales de Protección de Datos, junto con el objetivo de asegurar los bienes e instalaciones del holding empresarial. ” Junto a su escrito, se aporta la siguiente documentación: - Tres fotografías en las que se observa el edificio en el que se encuentra el sistema de videovigilancia controvertido con pinturas y roturas en la fachada. - Tres fotografías en las que se observan las diferentes caras de la fachada del edificio con identificación de las 6 cámaras de videovigilancia exteriores. - Fotografía de un cartel informativo de videovigilancia en el que figura: “(…) 1. El responsable de tratamiento de sus datos es EXON DYNAMICS, S.L. 2. Puede ejercitar sus derechos de protección de datos, así como solicitar información adicional en: ***DIRECCIÓN.1. (…)”. - Fotografías fechadas a 18 de octubre de 2023 en las que se observa el campo de visión de las cámaras de videovigilancia operativas. Todas ellas cuentan con máscara de privacidad y únicamente captan la correspondiente pared del edificio en el que se sitúan. - Fotografías fechadas a 18 de octubre de 2023 en las que se observa el campo de visión 3 cámaras interiores. - Fotografías de los carteles informativos de zona videovigilada ubicados tanto en la puerta de entrada del edificio como en diferentes ventanas exteriores. Todos ellos cuentan con la siguiente información: “(…) 1. El responsable de tratamiento de sus datos es EXON DYNAMICS, S.L. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/9 2. Puede ejercitar sus derechos de protección de datos, así como solicitar información adicional en: ***DIRECCIÓN.1. (…)”. - Fotografía del acceso al sistema de visionado, que exige usuario y contraseña. - Contrato de encargo de tratamiento de datos personales celebrado el 1 de febrero de 2019 entre EXON (responsable del tratamiento) y NUBELCO (encargado del tratamiento). - Copia de un correo electrónico de 18 de octubre de 2023 dirigido a ***EMAIL.1 en el que establece entre otros aspectos: “(…) adjunto remito el escrito de respuesta al requerimiento de información de la AEPD, así como los archivos que debéis adjuntar junto con la presentación de dicho escrito. Comentar que la presentación al debéis realizar vía telemática vosotros mismos, ya que es necesario el uso de certificado digital (…)”. SEPTIMO: Con fecha 6 de marzo de 2025 se formuló propuesta de resolución, proponiendo lo siguiente: Que por la Presidencia de la Agencia Española de Protección de Datos se acuerde ARCHIVAR el procedimiento sancionador dirigido contra NUBELCO SECURITY, S.L. con NIF B70423777 por las presuntas infracciones de los artículos 5.1
2. c)y 13 del RGPD tipificadas respectivamente en los artículos 83.5
3. a)y
4. b)del RGPD. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: El edificio sito en la ***DIRECCIÓN.1 dispone de un sistema de videovigilancia en sus fachadas exteriores. SEGUNDO: El responsable del tratamiento es EXON DYNAMICS, S.L. con NIF B70334578. TERCERO: El mencionado sistema de videovigilancia cuenta con los preceptivos carteles informativos de zona videovigilada debidamente cumplimentados con identificación del responsable del tratamiento, así como con el lugar en el que ejercitar los derechos en materia de protección de datos y obtener más información. CUARTO: Las cámaras de videovigilancia que conforman el citado sistema únicamente captan la fachada del edificio al disponer de máscaras de privacidad que impiden la captación excesiva de vía pública. QUINTO: NUBELCO SECURITY, S.L. con NIF B70423777 y EXON DYNAMICS, S.L. forman parte del mismo grupo empresarial. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/9 SEXTO: NUBELCO SECURITY, S.L. actúa como encargado de tratamiento de EXON DYNAMICS, S.L. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II La imagen es un dato personal La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. En el artículo 4.2 del RGPD se define el concepto de “tratamiento” de datos personales, indicando: “«tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” Las imágenes generadas por un sistema de cámaras o videocámaras son datos de carácter personal, por lo que su tratamiento está sujeto a la normativa de protección de datos. Es, por tanto, pertinente analizar si el tratamiento de datos personales (imagen de las personas físicas) llevado a cabo a través del sistema de videovigilancia denunciado es acorde con lo establecido en el RGPD. III Obligaciones en materia de videovigilancia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/9 De conformidad con lo expuesto, el tratamiento de imágenes a través de un sistema de videovigilancia, para ser conforme con la normativa vigente, debe cumplir los requisitos siguientes: 1.- La personas físicas o jurídicas, públicas o privadas, pueden establecer un sistema de videovigilancia con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. Se ha de valorar si la finalidad pretendida puede lograrse de otra forma menos intrusiva para los derechos y libertades de los ciudadanos. Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios, considerando 39 del RGPD. “Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios”, 2.- Las imágenes obtenidas no puedan utilizarse para una finalidad ulterior incompatible con la que motivó la instalación del sistema de videovigilancia. 3.- El tratamiento de las imágenes mediante la instalación de sistemas de cámaras o videocámaras deberá ser lícito y ajustarse al principio de proporcionalidad y al de minimización de datos, en los términos ya señalados. 4.- Las imágenes podrán conservarse por un plazo máximo de un mes, salvo en aquellos supuestos en que se deban conservar para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En este segundo supuesto, deberán ser puestas a disposición de la autoridad competente en un plazo máximo de 72 horas desde que se tuviera conocimiento de la existencia de la grabación. 5.- Cuando el sistema esté conectado a una central de alarma, únicamente podrá ser instalado por una empresa de seguridad privada que reúna los requisitos contemplados en el artículo 5 de la Ley 5/2014 de Seguridad Privada, de 4 de abril. La Agencia Española de Protección de Datos ofrece a través de su página web [https://www.aepd.es] acceso a:  la legislación en materia de protección de datos personales, incluyendo el RGPD y la LOPDGDD (apartado “Informes y resoluciones” / “normativa”),  la Guía sobre el uso de videocámaras para seguridad y otras finalidades,  la Guía para el cumplimiento del deber de informar (ambas disponibles en el apartado “Guías y herramientas”). También resulta de interés, en caso de realizar tratamientos de datos de bajo riesgo, la herramienta gratuita Facilita (en el apartado “Guías y herramientas”), que, mediante unas preguntas concretas, permite valorar la situación del responsable respecto del tratamiento de datos personales que lleva a cabo, y en su caso, generar diversos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/9 documentos, cláusulas informativas y contractuales, así como un anexo con medidas de seguridad orientativas consideradas mínimas. IV Conclusiones El artículo 4.7 del RGPD define al «responsable del tratamiento» o «responsable» como “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. De acuerdo con los principios básicos del derecho sancionador recogidos en la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP), solo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos a título de dolo o culpa. En el presente caso, el responsable del tratamiento (EXON) no se corresponde con NUBELCO, parte reclamada, por lo que, aun cuando los hechos fueran constitutivos de infracción, no procede dirigir un procedimiento sancionador contra esta última. En consecuencia, el responsable del tratamiento en los términos determinados por el artículo 4.7 del RGPD y, por tanto, el presunto responsable en los términos descritos por la LRJSP no se corresponde con la persona jurídica contra la que se inició el procedimiento sancionador, cuyo acuerdo de inicio fue notificado el 7 de enero de 2025. Atendiendo a lo anterior, se entiende que NUBELCO no es el responsable del tratamiento de acuerdo con el artículo 4.7 del RGPD en relación con el artículo 28.1 de la LRJSP, y que, en consecuencia, procede el archivo del presente procedimiento sancionador. A mayor abundamiento, durante la instrucción del procedimiento ha quedado acreditado que el sistema de videovigilancia del que es responsable EXON cuenta con los preceptivos carteles informativos en los que se informa debidamente de lo exigido por el artículo 13 del RGPD en relación con el artículo 22 de la LOPDGDD. Asimismo, las cámaras de videovigilancia cuentan con máscaras de privacidad y su campo de visión se limita a la fachada del edificio por lo que el tratamiento se realiza conforme al artículo 5.1
5. c)del RGPD. A la vista de lo expuesto se procede a emitir la siguiente, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento sancionador dirigido contra NUBELCO SECURITY, S.L. con NIF B70423777 por las presuntas infracciones de los artículos 5.1
6. c)y 13 del RGPD tipificadas respectivamente en los artículos 83.5
7. a)y
8. b)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/9 SEGUNDO: NOTIFICAR la presente resolución a NUBELCO SECURITY, S.L. TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
9. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-250625 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es