1/6 Expediente Nº: EXP202101487 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (*en adelante, la parte reclamante) con fecha 13 de agosto de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra CONTIMAG INVEST, S.L. con NIF B55266779 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: “Soy trabajadora del restaurante ***EMPRESA.1, cuando entre a trabajar el día 15/05/2021 no me dieron para firmar la autorización e información de las cámaras que graban y tienen sonido por la ley de protección de datos, el jefe nos estaba mirando cada día desde su casa ,no tienen carteles legales de señalización de cámaras de videovigilancia, la cámara que tienen en la parte trasera del restaurante la que tienen para vigilar el módulo prefabricado graba gran parte de la plaza y vía pública, al enterarse de que quería denunciar han puesto dos pegatinas que sale el dibujo de una cámara y pone cámara adjuntaré fotos de antes sin pegatina y actuales con pegatina” (folio nº 1). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada en fecha 26/08/21 y 06/09/21, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. No se ha recibido respuesta a este escrito, ni aclaración alguna acerca del sistema instalado se ha realizado en legal forma. TERCERO: Con fecha 23 de noviembre de 2021 la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 5 de enero de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Consultada la base de datos de esta Agencia en fecha 09/03/22 no se ha recibido contestación alguna, ni explicación alguna se ha realizado sobre los hechos objeto de traslado se ha producido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS Primero. Los hechos traen causa de la reclamación de fecha 13/08/21 por medio de la cual se traslada la “ausencia del deber de información” ante la existencia de un sistema de cámaras de video-vigilancia. Segundo. Consta acreditado como principal responsable la entidad Contimag Invest, S.L con NIF B55266779. Tercero. Consta la presencia de cartel (a modo de pegatina) en dónde se observa la palabra “camera”, sin que el mismo (
- s)este homologado a la normativa en vigor, careciendo de la indicación del responsable del tratamiento o modo de ejercitar los derechos regulados en los artículos 12-22 RGPD. Lo anterior está corroborado por las pruebas documentales (Anexo I) aportadas por la parte reclamante junto con su reclamación. Cuarto. Consta acreditada la presencia de dispositivos de video-vigilancia aportando la reclamante (Anexo I fotografía 2) prueba documental objetiva que lo corrobora. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II Antes de entrar en el fondo del asunto, recordar que en el Acuerdo de Inicio del presente procedimiento se mencionó que, en el caso de no efectuar alegación alguna al mismo, este podría ser considerado “propuesta de resolución”. El artículo 64.2.
- f)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP) -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 lo establecido en el artículo 64.2.
- f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. III En el presente caso, se procede a examinar la reclamación de fecha 13/08/21 por medio de la cual se traslada como hecho principal la presencia de un sistema de cámaras de video-vigilancia “sin contar con la debida señalización” informando que se trata de una zona video-vigilada. Los hechos anteriormente descritos pueden suponer una afectación al artículo 13 del actual RGPD, dado que se cuenta con un sistema de cámaras de video-vigilancia que no ha sido debidamente informado al conjunto de empleados (
- as)y clientes del establecimiento. De conformidad con el mencionado artículo, el responsable del “tratamiento” le facilitará toda la información indicada a continuación:
- a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
- b)los datos de contacto del delegado de protección de datos, en su caso;
- c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento; (…). En principio los trabajadores(
- as)del establecimiento deben estar informados de la presencia de las cámaras, así como respetar los límites establecidos en la grabación de sus actividades (vgr. exclusión de ciertas zonas), sin perjuicio de la presencia en zona visible de cartel (
- es)informativos adaptados a la normativa en vigor, principalmente el RGPD. De cara a que al trabajador (
- a)le conste la existencia de un sistema de videovigilancia, y en cumplimiento de la Ley en materia de protección de datos, la empresa deberá colocar un dispositivo informativo indicando la existencia de un sistema de videovigilancia, en lugar suficientemente visible, identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos. IV De conformidad con las amplias evidencias de las que se dispone en el presente procedimiento sancionador, se considera que la parte reclamada dispone de un sistema de cámaras de video-vigilancia que carece de la debida señalización informativa al respecto. El reclamado (
- a)dispone de un sistema de video-vigilancia sin estar debidamente señalizado, al carecer de cartel (
- es)homologados a la normativa en vigor, en dónde se indique el responsable del tratamiento, la finalidad o el modo de ejercitar los derechos en el marco de la normativa de protección de datos. Recordar que puede obtener la debida información en la página web de esta Agencia www.aepd.es “Áreas de actuación”-Videovigilancia” en dónde encontrará el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 modelo de cartel actual, así como la información precisa para cumplir con la normativa actualmente en vigor. Los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada, por vulneración del contenido del art. 13 RGPD. V Informar sobre la videovigilancia según RGPD es una obligación recogida en nuestro marco legislativo—art. 13 RGPD--. Para adaptarse a las normativas vigentes, la AEPD publicó el nuevo cartel obligatorio que ha de situarse en los espacios que estén sometidos a videovigilancia. El artículo 22 apartado 4º de la LOPDGDD (LO 3/2018, 5 diciembre) dispone: “El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información”. El art. 83.5 RGPD dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- b)los derechos de los interesados a tenor de los artículos 12 a 22; A la hora de motivar la sanción se tiene en cuenta lo siguiente: - la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido; (art. 83.2
- a)RGPD), al disponer de un sistema que no ha sido debidamente informado al conjunto de trabajadores (
- as)del centro. - la intencionalidad o negligencia en la infracción; (art. 83.2
- b)RGPD), al controlar en exceso presuntamente zona de tránsito público, disponiendo solamente de pegatinas que indican la palabra “camera”, pudiendo ser considera la conducta descrita una negligencia grave por los motivos expuestos. De acuerdo a lo expuesto, se considera acertado imponer una sanción cifrada en la cuantía de 1200€ (Mil doscientos euros), al disponer de un sistema de cámaras cuya grabación es excesiva a la finalidad perseguida, valorándose la ausencia de sanciones previas, si bien se tiene en cuenta el tipo de establecimiento de que se trata, afectando con las cámaras a los datos tanto del personal como de los clientes (
- as)del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 mismo, sin contar con la debida señalización a tal efecto, sanción situada en la escala inferior para este tipo de comportamientos. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad CONTIMAG INVEST, S.L., con NIF B55266779, por una infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 letra
- b)del RGPD, una multa de 1200€ (Mil doscientos euros). SEGUNDO: ORDENAR a la parte reclamada para que en el plazo de UN MES desde la notificación del presente acto, proceda en los términos siguientes: -Colocación de cartel (
- s)en zona visible informando que se trata de zona videovigilada cumpliendo los requisitos de la normativa en vigor, aportando fotografía con fecha y hora a esta Agencia. -Disponibilidad en el establecimiento de formulario (
- s)a disposición de los clientes (
- as)del mismo que pudieran requerirlo o en su defecto en la página web en caso de tenerla, debiendo ser fácilmente localizable. TERCERO: NOTIFICAR la presente resolución a CONTIMAG INVEST, S.L.. CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-150222 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es