1/10 Expediente Nº: PS/00558/2021 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 24 de noviembre de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a FRUTAS Y VERDURAS LOS CAMPEONES, S.L. (en adelante la parte reclamada). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 1 de febrero de 2022 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente nº: PS/00558/2021 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: HECHOS PRIMERO: A.A.A. (*en adelante, la parte reclamante) con fecha 11 de junio de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra FRUTAS Y VERDURAS LOS CAMPEONES, S.L con CIF B87791588 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: “instalación de cámaras en Frutería ***FRUTERÍA.1 sin contar con cartel informativo al respecto”. Adjunta Boletín de denuncia con fotografía que acredita la total ausencia de cartel (
- s)informativo en el citado establecimiento (Doc. nº 1). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/10 TERCERO: Cabe indicar que la reclamada ya había sido advertida previamente por esta Agencia mediante carta informativa de la necesidad de ajustar el sistema a la legalidad vigente en el marco del E/00758/2020, contestando a las Fuerzas y Cuerpos de Seguridad (reclamante) sobre las posibles consecuencias en caso de incumplimiento. CUARTO: La mencionada reclamación dio lugar a la apertura del Procedimiento nº 307/2021, que finalizó con la imposición de sanción pecuniaria en la cuantía de 1.500€ a Don B.B.B. (frutería ***FRUTERÍA.1), dictada en fecha 27/09/21, por la infracción acreditada del art. 13 RGPD. QUINTO: En fecha 08/11/21 se recibe escrito calificado como recurso reposición por medio del cual el representante legal del inculpado acredita que su patrocinado no es el responsable de la instalación del sistema, sino un mero asalariado del establecimiento. SEXTO: Con fecha 15/11/21 se dicta resolución Estimatoria de Recurso de reposición acordando la apertura de nuevo procedimiento contra la entidad responsable Frutas y Verduras Los campeones S.L. ESTIMAR el recurso de reposición interpuesto por el letrado ICAM C.C.C. (B.B.B.) contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 27 de septiembre de 2021, en el procedimiento sancionador PS/00307/2021, indicando al sancionado que queda sin efecto la obligación de abonar la multa impuesta en la resolución recurrida. SÉPTIMO: Con fecha 24 de noviembre de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD. OCTAVO: En fecha 31/12/21 se recibe en esta Agencia escrito de alegaciones al Acuerdo de Inicio notificado en legal forma, argumentado lo siguiente: “Falta de Legitimación Pasiva e Indefensión. No se insto la reclamación frente a esta Mercantil sino frente a un tercero, y por ello el procedimiento debe decaer, pues de lo contrario supone una indefensión en nuestro mandante. Inexistencia de Hecho Punible. Sentando lo anterior, no cabe sanción alguna por cuanto NO se ha respetado el procedimiento legal, no habiendo reclamado a esta parte y no habiendo informado en ningún momento de la existencia de reclamación (…) o advertido de corregir ninguno de los supuestos incumplimientos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/10 No obstante cabe informar en este acto que la mercantil NO ha incumplido la normativa de protección de datos en ningún momento. Por este motivo, además de lo anteriormente señalado que deben hacer decaer la sanción, queda acreditado que esta parte cumplía con lo previsto en la Legislación y cumple actualmente con ello (…) por lo que no procede dicha sanción pecuniaria que puede acarrear graves consecuencias para un negocio que apenas rinde suficiente para pagar los salarios de los trabajadores (…)”. NOVENO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS Primero. Los hechos traen causa de la reclamación de fecha 11/06/21 por medio de la cual la Policía Local (Madrid) traslada lo siguiente: “instalación de cámaras en Frutería ***FRUTERÍA.1 sin contar con cartel informativo al respecto”. Adjunta Boletín de denuncia con fotografía que acredita la total ausencia de cartel (
- s)informativo en el citado establecimiento. Segundo. Consta identificado como principal responsable la mercantil Frutas y Verduras Los Campeones, S.L, con CIF B877915** Tercero. Consta acreditado que en el momento desplazarse la fuerza actuante no contaba con cartel informativo alguno, si bien se adjunta fotografía por la reclamada en su escrito de alegaciones 31/12/21 dónde se constata la presencia del mismo, si contar con fecha alguna. Cuarto. En el cartel instalado se observa la referencia a la normativa derogada LO 15/1999, 13 diciembre, sin mención alguna a los derechos regulados en los actuales 12-22 RGPD, ni referencia al “responsable del tratamiento”. Quinto. No consta acreditado que disponga de formulario (
- s)a disposición de los clientes del establecimiento que en su caso puedan requerirlo. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/10 de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II Antes de entrar en el fondo del asunto, cabe responder la Queja de la reclamada acerca de una supuesta indefensión al “serles desconocidos los hechos que se le imputan”. A tal efecto huelga decir que la misma tiene conocimiento de los hechos en el momento de notificación del Acuerdo de Inicio del PS, pudiendo esgrimir en el ejercicio de su derecho a la defensa, la legalidad del sistema en cuestión, no prejuzgando el actual procedimiento actuaciones previas. Al contrario, la mercantil pudo conocer por su propio empleado (
- a)la existencia de diversas inspecciones oculares de la Policía Local (Madrid) o incluso comunicarle que se le estaba tramitando un procedimiento sancionador con motivo de las “irregularidades” en la cartelería que afectaba plenamente al establecimiento en cuestión, pudiendo inclusive haberse debidamente informado y corregir todas las irregularidades del sistema de video-vigilancia. A mayor abundamiento, consta una advertencia previa de esta Agencia al mismo establecimiento en el marco del E/00758/2020, notificado en tiempo y forma, en dónde se le informaba de los requisitos que debía cumplir el sistema en cuestión, dándole la oportunidad sin sanción alguna de legalizar el mismo. De manera “errónea” se menciona indefensión en la fase de “propuesta” cuando lo cierto es que la reclamada está contestando a la notificación del Acuerdo de Inicio de fecha 24/11/21 firmado por la Directora de esta Agencia, dándole traslado de los hechos de la reclamación constatados, no olvidemos, por las Fuerzas y Cuerpos de Seguridad del Estado en el propio establecimiento. En base a lo expuesto, procede desestimar la solicitud inicial de nulidad, al no constatarse indefensión en el conocimiento de los hechos, pues los mismos han sido concretados y la mercantil ha tenido la oportunidad de esgrimir frente a los mismos con los medios de prueba que ha considerado precisos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/10 III Los hechos traen causa de la reclamación remitida por la Policía local (Madrid) en fecha 11/06/21 por medio de la cual se traslada la “instalación de cámaras en Frutería ***FRUTERÍA.1 sin contar con cartel informativo al respecto”. Adjunta Boletín de denuncia con fotografía que acredita la total ausencia de cartel (
- s)informativo en el citado establecimiento. El artículo 77 apartado 5º de la Ley 39/2015 (1 octubre) dispone lo siguiente: “5. Los documentos formalizados por los funcionarios a los que se reconoce la condición de autoridad y en los que, observándose los requisitos legales correspondientes se recojan los hechos constatados por aquéllos harán prueba de éstos salvo que se acredite lo contrario”. Los hechos anteriores suponen una infracción del contenido del art. 13 RGPD, al carecer de distintivo informativo indicando que se trata de una zona video-vigilada, no informando del responsable del tratamiento, la finalidad del uso dado a las imágenes captadas, etc. Informar sobre la videovigilancia según RGPD es una obligación recogida en este marco legislativo. Se debe disponer de un dispositivo informativo en zona visible (vgr. puerta de acceso) indicando que se trata de una zona video-vigilada, en el mismo se deberá indicar: C/ Jorge Juan, 6 28001 – Madrid la existencia del tratamiento. la identidad del responsable. posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. www.aepd.es sedeagpd.gob.es 6/10 La imagen de una persona en la medida que identifique o pueda identificar a la misma constituye un dato de carácter personal, que puede ser objeto de tratamiento para diversas finalidades. El artículo 22 de la Ley Orgánica 3/2018 (5 diciembre)-LOPDGDD- dispone: “1. Las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. La AEPD, en un informe relacionado, estipula que no es necesario que los carteles se sitúen justo debajo de las cámaras. Basta con hacerlo en un lugar visible y que incluya los espacios abiertos y cerrados donde el circuito de videocámaras esté operativo. Este distintivo se exhibirá en lugar visible, y como mínimo, en los accesos a las zonas vigiladas ya sean interiores o exteriores. En caso de que el espacio videovigilado disponga de varios accesos deberá disponerse de dicho distintivo de zona videovigilada en cada uno de ellos. III De conformidad con las pruebas de las que se dispone en el presente procedimiento sancionador se considera que la parte reclamada dispone de un sistema de videovigilancia que incumple lo preceptuado en el art. 13 RGPD, al carecer de cartelería informativa homologada a tal efecto. Cabe recordar que la normativa actualmente en vigor en la materia está constituida por el RGPD (en aplicación desde mayo del año 2018), supliendo a la derogada LO 15/1999, 13 diciembre, estableciendo requisitos adicionales en materia de protección de datos. El establecimiento ha sido advertido ampliamente, inclusive por la Policía Local desplazada al lugar de los hechos, debiendo contar igualmente con formulario (
- s)a disposición de los clientes y de las fuerzas actuante en su caso. El Acta Policial aportada crea prueba objetiva en derecho que en el momento de extenderse la misma el establecimiento no disponía de cartel alguno, con independencia de su colocación con motivo de la notificación del presente Acuerdo de Inicio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/10 Los hechos conocidos son por tanto constitutivos de una infracción, imputable a la parte reclamada por vulneración del citado art. 13 RGPD. IV El art. 83.5 RGPD dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- b)los derechos de los interesados a tenor de los artículos 12 a 22; A la hora de motivar la sanción se tiene en cuenta lo siguiente: -la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (art. 83.2
- a)RGPD). La cámara está instalada en el interior de un establecimiento de acceso de clientes (
- as)de tal forma que permite ejercer un control sobre mismos que son monotorizados sin haber recibido explicación alguna sobre la finalidad (
- es)del tratamiento de sus datos personales. - la intencionalidad o negligencia en la infracción (art. 83.2
- b)RGPD), al no haber adoptado medida alguna para informar de la presencia de las cámaras en el interior del establecimiento a pesar de las diversas recomendaciones recibidas. - la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida (art. 83.2 h), al ser notificados los hechos por la Policía Local desplazada nuevamente al lugar de los hechos. Por todo ello se considera acertado imponer una sanción cifrada en la cuantía de 1.500€ (mil euros), sanción situada en la escala más baja para este tipo de infracciones administrativas, teniendo en cuanta las diversas advertencias al respecto sobre la “irregularidad” de la conducta descrita. La reclamada debe por tanto acreditar el cambio efectivo de la cartelería por una homologada a la actual normativa (RGPD), reflejando la manera de ejercer los derechos por los ciudadanos en su caso, acreditar disponer de formulario (
- s)a disposición de los clientes y concretar la finalidad de las grabaciones en un documento informativo (vgr. contrato que formalice, etc), debiendo estar los mismos debidamente ordenados en una carpeta en el establecimiento en caso de cualquier nueva inspección por la Policía Local (Madrid). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/10 V Entre los poderes correctivos que contempla el artículo 58 del RGPD, en su apartado 2
- d)se establece que cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. A la vista de lo expuesto se procede a emitir la siguiente PROPUESTA DE RESOLUCIÓN Que por la Directora de la Agencia Española de Protección de Datos se sancione a FRUTAS Y VERDURAS LOS CAMPEONES, S.L, con CIF B87791588, por una infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 1.500€. Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en 1.200€ euros y su pago implicará la terminación del procedimiento. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. 926-260122 D.D.D. INSPECTOR/INSTRUCTOR C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/10 >> SEGUNDO: En fecha 7 de febrero de 2022, la parte reclamada ha procedido al pago de la sanción en la cuantía de 1.200 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción, en relación con los hechos a los que se refiere la propuesta de resolución. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/10 Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento PS/00558/2021, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a FRUTAS Y VERDURAS LOS CAMPEONES, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 968-240122 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es