PS-00574-2015

1/16 Procedimiento Nº PS/00574/2015 RESOLUCIÓN: R/00108/2016 En el procedimiento sancionador PS/00574/2015, instruido por la Agencia Española de Protección de Datos a la entidad HOTELES KRYSTAL S.L., vista la denuncia presentada por la DIRECCION GENERAL DE LA POLICIA, y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 25 de noviembre de 2014 tiene entrada en esta Agencia escrito remitido por la DIRECCION GENERAL DE LA POLICIA (en adelante el denunciante) comunicando la posible infracción a la Ley Orgánica 15/1999 motivada por la existencia de cámaras de videovigilancia en el Club de Alterne denominado “KRYSTAL”, situado en (C/....1), término municipal de XXXX (Sevilla), cuyo titular es la entidad Hoteles Krystal S.L. (en adelante el denunciado). En su escrito la Policía Nacional manifiesta que en el ejercicio de las funciones que esa Unidad tiene asignadas, el día 12 de noviembre de 2014 se realizó una Inspección en el establecimiento mencionado, tramitándose atestado policial que fue remitido al Juzgado de Primera Instancia e Instrucción en funciones de guardia de XXXX (Sevilla). En su escrito pone de manifiesto lo siguiente: “Durante el transcurso de esta diligencia se detectó en el inmueble la instalación de un Circuito Cerrado de Televisión, compuesto por varias videocámaras que proyectaban las imágenes a tiempo real sobre dos monitores situados en la recepción del establecimiento, lugar en el que se encuentra de forma ininterrumpida durante todo el horario de apertura, el encargado del negocio que fue identificado... Realizada una requisa en todo el establecimiento no fue posible localizar el grabador de las imágenes en el que se crea el fichero, ya que la persona responsable en ese momento (el encargado) manifestó no saber el lugar exacto en el que se ubicaba y el propietario y explotador del negocio no facilitó esta información ni compareció en el lugar, pese al requerimiento policial, con la evidente intención de dificultar la actividad inspectora y las comprobaciones necesarias. Preguntado el encargado por la finalidad de este sistema de video vigilancia, manifiesta que es para vigilar el establecimiento en prevención de sufrir hechos delictivos, descartando desde el primer momento que lo utilizaran para vigilar a sus empleados. En las puertas de acceso al inmueble (principal y trasera) se encuentran sendos distintivos informativos (cartel de color amarillo) de los regulados en la Instrucción 1/2006 de la Agencia Española de Protección de Datos, en los que figura la leyenda “ZONA VIDEOVIGILADA”, la mención a la Ley Orgánica 15/1999 de protección de datos y como persona responsable del fichero y ante la que se pueden ejercitar los derechos: “ARKUMI GUAUAK SL. - HOTEL KRYSTAK”, sin ningún otro dato identificativo como C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 CIF, domicilio o medio para contactar con la misma. (…) Careciendo sin embargo, de los impresos que obligatoriamente debe tener la persona responsable, a disposición de los interesados en los que se detalle la información prevista en el artículo 5.1 de la referida Ley Orgánica 15/1999 (derechos de acceso, rectificación y cancelación de las personas afectadas). (…) …se considera que, el Circuito Cerrado de Televisión (CCTV) detectado en el establecimiento CLUB KRYSTAL, incumple la normativa vigente y se ha instalado al margen de cualquier cobertura legal, no superando los juicios de idoneidad, necesidad y proporcionalidad con el fin perseguido (ya que se podrían utilizar otros medios menos intrusivos para la intimidad de las personas), todo ello en base a los siguientes argumentos: 1. Capta imágenes de cualquier dependencia del inmueble, incluidas zonas RESERVADAS donde se realizan stripteases y/o se llevan a cabo prácticas sexuales. 2. Capta los alrededores del edificio incluyendo varios espacios y vías públicas al haberse orientado de forma caprichosa y sin respetar la proporcionalidad, existiendo la posibilidad de una instalación alternativa que no capte imágenes de la vía pública (sólo debe orientarse la cámara adecuadamente). 3. Las imágenes y los lugares de captación han sido elegidos de forma indiscriminada y sin ningún criterio invadiendo zonas comunes de uso privado como los vestuarios, el comedor, la cocina e incluso los llamados RESERVADOS de la ZONA VIP. 4. Por todo ello, la captación que se lleva a cabo en este establecimiento, puede llegar a generar situaciones abusivas de vigilancia omnipresente que vulnerarían los derechos fundamentales a la intimidad y a la protección de datos. Además de comprobarse que las imágenes se reproducen o emiten en tiempo real, se cree que las mismas quedan almacenadas en un dispositivo (tipo Disco Duro o similar) que no ha podido ser localizado debido a la nula colaboración de los explotadores del negocio generando un fichero de video vigilancia, cuya creación no consta que haya sido previamente notificada a esa Agencia Española de Protección de Datos para su inscripción en el Registro General de la misma, imposibilitando así el ejercicio de los derechos de acceso, rectificación y cancelación de las personas afectadas. Tampoco ha podido constatarse que el responsable haya adoptado ninguna medida de índole técnica u organizativa que garantice la seguridad de los datos y eviten su alteración, pérdida, tratamiento o acceso no autorizado. No puede argumentarse de ninguna manera que el uso de estas videocámaras se hagan con fines de control empresarial amparándose en el artículo 20.3 deI Estatuto de los Trabajadores, ya que no se limita al uso estrictamente necesario captando imágenes en los espacios indispensables para satisfacer las finalidades de control laboral (si sólo hubiese una cámara enfocando la caja registradora, por ejemplo). Muy al contrario, las cámaras se encuentran instaladas por todas las dependencias del establecimiento como ya se ha apuntado, enfocando espacios comunes (sala donde se encuentra la barra de bar, reservados, cocina, escaleras de acceso al primer piso, aparcamientos, etc...), creando una vigilancia intensiva y permanente sobre las personas que acceden al establecimiento, las que allí desarrollan su trabajo y, lo que es más preocupante e invasivo para la intimidad y propia imagen, las que tienen su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 residencia en el interior del inmueble. (…) Todo ello se comunica por si estas actividades pudieran ser constitutivas de infracción administrativa y, en caso positivo, para que se proceda al inicio del expediente sancionador correspondiente y las medidas necesarias para evitar la continuidad de la acción infractora.” Se adjunta reportaje fotográfico del sistema. Fotografía del “Monitor uno” en la que se ven 8 imágenes captadas por las cámaras a las que la Policía ha añadido rótulos con el nombre de las estancias que pueden verse en ellas: sala principal, cocina y reservados. Fotografía del “Monitor dos” con 13 imágenes captadas por las cámaras a las que la Policía ha añadido los rótulos de: vía pública, pasillos acceso habitaciones y comedor. Fotografía del distintivo informativo mencionado en su informe. Fotografías de las cámaras instaladas en los “reservados” y fotografía del acceso a los reservados. TERCERO: Con fecha 20 de noviembre de 2015, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la entidad Hoteles Krystal S.L., por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. b)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. CUARTO: El acuerdo de inicio, fue notificado a denunciante y denunciado de forma fehaciente, según consta en el procedimiento. QUINTO: El artículo 13.2 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, señala que: “El acuerdo de iniciación se comunicará al instructor, con traslado de cuantas actuaciones existan al respecto, y se notificará al denunciante, en su caso, y a los interesados, entendiendo en todo caso por tal al inculpado. En la notificación se advertirá a los interesados que, de no efectuar alegaciones sobre el contenido de la iniciación del procedimiento en el plazo previsto en el artículo 16.1, la iniciación podrá ser considerada propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, con los efectos previstos en los artículos 18 y 19 del Reglamento.” SEXTO: Durante la tramitación del procedimiento sancionador, se ha tenido constancia de que en el Juzgado de Primera Instancia e Instrucción de XXXX se presentó atestado policial nº *****/2014 por, posiblemente, los mismos hechos denunciados ante esta Agencia. Con fecha 5 de febrero de 2016, la Instructora del expediente solicita información C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 al citado Juzgado sobre la identidad de sujeto, hecho y fundamento entre la presunta infracción administrativa y la infracción penal que pudiera corresponder. Con fecha 11 de febrero de 2016 la Directora de la Agencia Española de Protección de Datos ha dictado acuerdo de suspensión del procedimiento sancionador con referencia PS/00574/2015 incoado a la entidad Hoteles Krystal SL, de conformidad con lo preceptuado en el artículo 7 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora. Dicho Acuerdo de suspensión fue trasladado al Juzgado de Primera Instancia e Instrucción de XXXX, con domicilio en la calle Nuestra Señora del Carmen, 6 de XXXX y a los interesados en el procedimiento. Con fecha 23 de febrero de 2016, se recibe escrito del Juzgado de Primera Instancia e Instrucción nª 7 de XXXX, donde, en relación con la petición de información sobre el atestado policial nº *****/2014, se informa de que en el procedimiento cuya información se solicita, se dictó auto de archivo en fecha 16 de diciembre de 2014, siendo la misma firme y no adoptándose ninguna actuación. HECHOS PROBADOS PRIMERO: La Policía Nacional ha comunicado a esta Agencia que el día 12 de noviembre de 2014 se realizó una Inspección en el Club de Alterne denominado “KRYSTAL”, situado en (C/....1) del término municipal de XXXX (Sevilla), cuyo titular es la entidad Hoteles Krystal S.L. Comunica la posible infracción a la Ley Orgánica 15/1999 motivada por la existencia de cámaras de videovigilancia en el establecimiento inspeccionado. SEGUNDO: En su informe expone la Policía que en el inmueble está instalado un Circuito Cerrado de Televisión, compuesto por varias videocámaras que proyectan las imágenes a tiempo real en dos monitores situados en la recepción donde se encuentra el encargado del negocio. Informan de que el encargado manifiesta que la finalidad del sistema de cámaras es vigilar el establecimiento en prevención de sufrir hechos delictivos, descartando que lo utilizaran para vigilar a sus empleados. Que no pudieron localizar el grabador de las imágenes TERCERO: Sobre la información del sistema informan de que en las puertas de acceso al inmueble (principal y trasera) se encuentran sendos distintivos informativos de los regulados en la Instrucción 1/2006 de la Agencia Española de Protección de Datos, en los que figura la leyenda “ZONA VIDEOVIGILADA”, la mención a la Ley Orgánica 15/1999 de protección de datos y como persona responsable del fichero y ante la que se pueden ejercitar los derechos: “ARKUMI GUAUAK SL. - HOTEL KRYSTAK”, sin ningún otro dato identificativo como CIF, domicilio o medio para contactar con la misma. CUARTO: La Policía adjunta reportaje fotográfico del sistema. Fotografía del “Monitor uno” en la que se ven 8 imágenes captadas por las cámaras a las que la Policía ha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 añadido rótulos con el nombre de las estancias que pueden verse en ellas: sala principal, cocina y reservados. Fotografía del “Monitor dos” con 13 imágenes captadas por las cámaras con los rótulos de: vía pública, pasillos acceso habitaciones y comedor. Fotografías de las cámaras instaladas en los “reservados” y fotografía del acceso a los reservados. Fotografía del distintivo informativo mencionado en el informe. QUINTO: La Policía denunciante expone que: ”se considera que, el Circuito Cerrado de Televisión (CCTV) detectado en el establecimiento CLUB KRYSTAL, incumple la normativa vigente y se ha instalado al margen de cualquier cobertura legal, no superando los juicios de idoneidad, necesidad y proporcionalidad con el fin perseguido (ya que se podrían utilizar otros medios menos intrusivos para la intimidad de las personas), todo ello en base a los siguientes argumentos: 1. Capta imágenes de cualquier dependencia del inmueble, incluidas zonas RESERVADAS donde se realizan stripteases y/o se llevan a cabo prácticas sexuales. 2. Capta los alrededores del edificio incluyendo varios espacios y vías públicas al haberse orientado de forma caprichosa y sin respetar la proporcionalidad, existiendo la posibilidad de una instalación alternativa que no capte imágenes de la vía pública (sólo debe orientarse la cámara adecuadamente). 3. Las imágenes y los lugares de captación han sido elegidos de forma indiscriminada y sin ningún criterio invadiendo zonas comunes de uso privado como los vestuarios, el comedor, la cocina e incluso los llamados RESERVADOS de la ZONA VIP. 4. Por todo ello, la captación que se lleva a cabo en este establecimiento, puede llegar a generar situaciones abusivas de vigilancia omnipresente que vulnerarían los derechos fundamentales a la intimidad y a la protección de datos”. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II El artículo 13.2 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora., dispone que “El acuerdo de iniciación se comunicará al instructor, con traslado de cuantas actuaciones existan al respecto, y se notificará al denunciante, en su caso, y a los interesados, entendiendo en todo caso por tal al inculpado. En la notificación se advertirá a los interesados que, de no efectuar alegaciones sobre el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 contenido de la iniciación del procedimiento en el plazo previsto en el artículo 16.1, la iniciación podrá ser considerada propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, con los efectos previstos en los artículos 18 y 19 del Reglamento.” De conformidad con lo expuesto, el acuerdo de iniciación correctamente notificado podrá ser considerado directamente propuesta de resolución cuando contenga un pronunciamiento preciso a cerca de la responsabilidad imputada. Para ello son necesarios varios requisitos: Que dicha posibilidad sea advertida expresamente al inculpado en el acuerdo de notificación. Que el acuerdo de iniciación cumpla todas las exigencias que sobre el contenido se exigen en el apartado primero del citado artículo. Que el inculpado no presente alegaciones en plazo sobre el contenido de la iniciación. Que como consecuencia de la instrucción no resulte modificada la determinación inicial de los hechos, de su posible calificación, de las sanciones imponible o de las responsabilidades susceptibles de sanción. (Art. 16.3 del citado Real decreto. La STS de 19 de diciembre de 2000 (RJ 2001, 2617) recaída en recurso de casación en interés de ley, interpretando el artículo 13.2 del Real Decreto 320/1994 por el que se aprueba el Reglamento de Procedimiento Sancionador en Materia de Tráfico, circulación de Vehículos a Motor y Seguridad Vial, declara que basta que el interesado no haya formulado alegaciones sobre el contenido del boletín de denuncia que inicia el procedimiento, para que no sea preceptiva la notificación de la propuesta de resolución, ni necesario, en consecuencia, el trámite de audiencia, al servir el acuerdo de iniciación como propuesta de resolución. En el presente caso, se han observado las prescripciones citadas al respecto, por lo que es conforme a derecho considerar el citado acuerdo de iniciación como propuesta de resolución. III Se imputa a la entidad Hoteles Krystal S.L. como responsable del sistema de videovigilancia instalado en el Club de Alterne denominado “KRYSTAL”, situado en (C/....1) del término municipal de XXXX, Sevilla, la comisión de una infracción del artículo 6.1 de la LOPD, que dispone lo siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado”. Respecto a la legitimación en el tratamiento de las imágenes, la respuesta se encuentra en el artículo 2 de la Instrucción 1/2006, que establece que: “1. Sólo será posible el tratamiento de los datos objeto de la presente instrucción, cuando se encuentre amparado por lo dispuesto en el artículo 6.1 y 2 y el artículo 11.1 y 2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. 2. Sin perjuicio de lo establecido en el apartado anterior la instalación de cámaras y videocámaras deberá respetar en todo caso los requisitos exigidos por la legislación vigente en la materia”. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. Las cámaras de videovigilancia captan imágenes de personas, de conformidad con lo anteriormente expuesto. Dichas imágenes, incorporan datos personales de las personas que se introducen dentro de su campo de visión y, por lo tanto, los datos personales captados están sometidos al consentimiento de sus titulares, de conformidad con lo que determina la LOPD. Dicho tratamiento, por tanto, ha de contar con el consentimiento de los afectados. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 Por otro lado, en este caso concreto, con relación a las cámaras instaladas en el exterior del establecimiento denunciado, hay que señalar que para entender las especialidades derivadas del tratamiento de las imágenes en la vía pública que captan las cámaras situadas en el exterior, es preciso conocer la regulación que sobre esta materia se contempla en el artículo 1 de la Ley Orgánica 4/1997, de 4 de agosto, por la que se regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad en lugares públicos que establece: “La presente Ley regula la utilización por las Fuerzas y Cuerpos de Seguridad de videocámaras para grabar imágenes y sonidos en lugares públicos abiertos o cerrados, y su posterior tratamiento, a fin de contribuir a asegurar la convivencia ciudadana, la erradicación de la violencia y la utilización pacífica de las vías y espacios públicos, así como de prevenir la comisión de delitos, faltas e infracciones relacionados con la seguridad pública”. Este precepto es preciso ponerlo en relación con lo dispuesto en el artículo 3
3. e)de la Ley Orgánica 15/1999, donde se prevé que: “Se regirán por sus disposiciones específicas y por lo especialmente previsto, en su caso, por esta Ley Orgánica los siguientes tratamientos de datos personales:
4. e)Los procedentes de las imágenes y sonidos obtenidos mediante la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad, de conformidad con la legislación sobre la materia”. En virtud de todo lo expuesto, podemos destacar que la instalación de videocámaras en lugares públicos es competencia exclusiva de las Fuerzas y Cuerpos de Seguridad, de ahí que la legitimación para el tratamiento de dichas imágenes se contemple en la Ley Orgánica 4/1997, y además en el mismo texto legal se regulan los criterios para instalar las cámaras y los derechos de los interesados. Asimismo, debe recordarse que el tratamiento de las imágenes deberá cumplir con el principio de proporcionalidad en el tratamiento, consagrado por el artículo 4.1 de la Ley Orgánica 15/1999, según el cual “los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido”. Así lo recuerda el artículo 4.1 de la Instrucción 1/2006, al señalar que “de conformidad con el artículo 4 de la Ley Orgánica 15/1999 de 13 de diciembre, de Protección de Datos de Carácter Personal, las imágenes sólo serán tratadas cuando sean adecuadas, pertinentes y no excesivas en relación con el ámbito y las finalidades determinadas, legítimas y explícitas, que hayan justificado la instalación de las cámaras o videocámaras”. En este caso, respecto de las cámaras denunciadas, ubicadas en el exterior del Club de Alterne denominado “KRYSTAL”, situado en (C/....1) del término municipal de XXXX, Sevilla, se comprueba que graban imágenes de la vía pública, tal y como consta en las imágenes captadas por las cámaras que aporta la Policía Nacional, sin que tengan autorización administrativa al respecto, puesto que como ya se ha establecido “ut supra”, la instalación de cámaras en la vía pública es competencia exclusiva de las Fuerzas y Cuerpos de Seguridad del Estado. En las imágenes aportadas se observa la captación de la gasolinera inmediata y de la carretera nacional. V C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 Por otra parte, la Directiva 95/46/CE en su Considerando 14 afirma: “