1/9 Expediente N.º: EXP202102397 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: C.P. ***COMUNIDAD PROPIETARIOS .1 (en adelante, la parte reclamante), con fecha 31 de agosto de 2021, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra la vecina del inmueble Doña A.A.A., con NIF ***NIF.1 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son de manera sucinta los siguientes: La Comunidad de Propietarios reclamante manifiesta en este caso “que una vecina cuenta con una cámara de videovigilancia instalada en su terraza, que se orienta a zonas comunes de la Comunidad, estando dicha cámara orientada al exterior y siendo susceptible de captar imágenes de dichas zonas comunes, entre otras la piscina comunitaria, sin contar con autorización para ello” (folio nº 1). Aportan comunicaciones realizadas mediante correo electrónico por la Comunidad a la reclamada solicitando la retirada o reorientación de la cámara e imágenes de la ubicación de la misma (anexo I). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada en fecha 28/09/21, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. No se ha recibido contestación o alegación alguna se ha producido en relación a los hechos expuestos. TERCERO: Con fecha 30 de noviembre de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 14 de marzo de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.
- c)del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: En fecha 05/04/21 se recibe escrito de alegaciones de la reclamada manifestando en síntesis lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 “Esta parte desea informar, que la cámara no tiene otra finalidad que la de proteger un espacio privado (terraza del inmueble) de manera estacional (sólo para la fecha de verano) y sólo en la franja horaria de la noche (ya que necesita un suministro de enchufe que sólo se realiza en dicho momento). Como se puede cotejar con la documentación gráfica aportada, no se graba ni siquiera una porción de la vía pública. A tales efectos, se aportan las fotografías donde se refleja claramente el campo de visión de la cámara. En cualquier caso, se informa que dicha cámara no se encuentra operativa en la actualidad (debido a su finalidad de vigilancia en período estival/nocturno), por lo que esta parte entiende que ha cumplido en todo momento con el principio de responsabilidad proactiva. Por todo lo cual SOLICITA, Que, teniendo por presentado en tiempo y forma este escrito, junto con la documentación que se acompaña, se sirva para atender en tiempo y forma la solicitud de información arriba referenciada”. SEXTO: En fecha 23/05/22 se emite “propuesta Resolución” en el que se propone una sanción cifrada en la cuantía de 600€, por la infracción acreditada del art. 5.1
- c)RGPD, al disponer de una cámara de video-vigilancia mal orientada, que afecta al derecho de terceros. SÉPTIMO: En fecha 11/07/22 se intenta contactar con la reclamada en el número de móvil ***TELÉFONO.1, sin que se haya podido establecer contacto alguno. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS Primero. Los hechos traen causa de la reclamación de fecha 31/08/21 por medio de la cual se traslada como hecho principal “que una vecina cuenta con una cámara de videovigilancia instalada en su terraza, que se orienta a zonas comunes de la Comunidad, estando dicha cámara orientada al exterior y siendo susceptible de captar imágenes de dichas zonas comunes, entre otras la piscina comunitaria, sin contar con autorización para ello” (folio nº 1). Segundo. Consta acreditada como principal responsable A.A.A., quien confirma ser la responsable de la instalación del dispositivo. Tercero. Consta acreditado que con el dispositivo en cuestión se obtienen imágenes de terrazas colindantes con carácter temporal, justificando la presencia del dispositivo en motivos de seguridad. Cuarto. No consta que dispongan autorización de la Junta de propietarios, ni se dispone de cartel informativo indicando que se trata de una zona video-vigilada. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II En el presente caso, se procede a examinar la reclamación de fecha 31/08/21 por medio de la cual se traslada como hecho principal el siguiente: “instalación de cámara en terraza privativa afectando a derechos de terceros sin cumplir la normativa de protección de datos”(folio nº 1). Junto con la reclamación se observa la presencia de un dispositivo (web-cam) orientado hacia la zona exterior de la terraza instalada por la propietaria haciendo caso omiso a las recomendaciones de los órganos rectores de la Comunidad de propietarios (as). El artículo 5.1.
- c)del RGPD dispone que los datos personales serán «adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados (“minimización de datos”).» Cabe recordar que los particulares son responsables de velar por que los sistemas instalados se ajusten a la legalidad vigente, acreditando que la misma cumpla con todos los requisitos exigidos por la normativa en vigor. La instalación de este tipo de dispositivos debe contar con el preceptivo cartel informativo, indicando los fines y responsable del tratamiento en su caso de los datos de carácter personal. El artículo 22.4 de la LOPDGDD dispone que: “El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información”. En todo caso, las cámaras deben estar orientadas hacia el espacio particular, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 evitando intimidar a vecinos colindantes con este tipo de dispositivos, así como controlar zonas de tránsito de los mismos sin causa justificada. Tampoco con este tipo de dispositivos se puede obtener imágenes de espacio público, al ser esta competencia exclusiva de las Fuerzas y Cuerpos de Seguridad del Estado. Conviene recordar que aun en el caso de tratarse de una cámara “simulada” la misma debe estar orientada preferentemente hacia espacio privativo, dado que se considera que este tipo de dispositivos pueden afectar a la intimidad de terceros, que se ven intimidados por la misma en la creencia de ser objeto de grabación permanente. Por parte de los particulares no se puede instalar aparatos de obtención de imágenes de espacio público, fuera de los casos permitidos en la normativa. III De conformidad con las pruebas de las que se dispone en el presente procedimiento sancionador, se considera que la parte reclamada dispone de un dispositivo de captación de imágenes (web cam) que está orientado hacia zonas privativas y/o comunitarias de terceros sin causa justificada. La parte reclamada con este dispositivo, que entendemos utiliza por motivos de seguridad, está “tratando datos personales” de manera desproporcionada, afectando con ellos a derechos de terceros que se ven intimidados por el mismo y sin ajustarse a los requisitos de la normativa en vigor. El dispositivo (web-cam) hace las veces de cámara de video-vigilando, siendo el mismo una medida desproporcionada a los fines pretendidos, ejerciendo con el mismo una cierta intimidación a los vecinos colindantes, que se han visto afectados por la presencia del mismo. Existen medidas menos invasivas del espacio privativo de terceros (vgr. una cámara falsa) siempre orientada hacia el espacio privativo particular, siendo recomendable en todo caso una actitud colaborativa con los órganos rectores de la Comunidad de propietarios. Es indiferente que la misma esté operativa ciertos periodos del año, que pueden coincidir con los periodos de permanencia de la misma, dado que mientras permanezca mal orientada hacia zonas exteriores y/o colindantes se produce un “tratamiento de datos” con las lógicas molestias a los vecinos, cumpliendo la misma finalidad si está en el interior de la vivienda, pero orientada hacia la puerta corredera de la terraza. Los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada, por vulneración del contenido del art. 5.1
- c)RGPD, anteriormente mencionado. IV C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 El artículo 83.5 RGPD dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; A los meros efectos de prescripción, el artículo 72.1 de la LOPDGDD califica de muy grave:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679; V Los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, se establecen en el artículo 58.2 del RGPD. Entre ellos se encuentran la potestad de imponer una multa administrativa con arreglo al artículo 83 del RGPD -artículo 58.2 i)-, o la potestad de ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un plazo especificado -artículo 58. 2 d). Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en el artículo 58.2
- d)del citado Reglamento es compatible con la sanción consistente en multa administrativa. En el presente caso, atendiendo a los hechos, se considera que la sanción que correspondería imponer es de multa administrativa. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, de acuerdo con el artículo 83.1 del RGPD. A fin de determinar la multa administrativa a imponer se han de observar las previsiones del artículo 83.2 del RGPD, que indica: “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
- b)la intencionalidad o negligencia en la infracción;
- c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9
- d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
- f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
- g)las categorías de los datos de carácter personal afectados por la infracción;
- h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
- i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
- j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42,
- k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, en relación con la letra
- k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
- k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
- a)El carácter continuado de la infracción.
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
- c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- d)La posibilidad de que la conducta del afectado hubiera podido incluir a la comisión de la infracción.
- e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9
- f)La afectación a los derechos de los menores
- g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
- h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, a la hora de motivar la sanción se tiene en cuenta lo siguiente: -la naturaleza de la infracción, al estar afectando al derecho de terceros que se han visto intimidados por la mismas, obteniendo imágenes de una zona privativa y/o comunitaria de manera desproporcionada (art. 83.2
- a)RGPD). -La intencionalidad o negligencia de la conducta, existiendo una “intencionalidad” del reclamado (a), dado que ha sido advertido por los órganos rectores de la Comunidad sobre la mala orientación de las cámaras (art. 83.2
- b)RGPD). El principio de culpabilidad se encuentra previsto en el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP), y este dispone que “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. De conformidad con las “pruebas” de las que se dispone en el presente procedimiento sancionador, se considera que la parte reclamada ha procedido instalar un sistema de cámaras de video-vigilancia mal orientado hacia zona privativa y/o comunitaria, creando una situación de cierto malestar en el resto de propietarios (
- as)de la Comunidad. De acuerdo a lo expuesto, se considera acertado imponer una sanción cifrada en la cuantía de 600€ (seiscientos euros), por la infracción del art. 5.1
- c)RGPD, sanción situada en la escala inferior para este tipo de infracciones y acorde a la condición de particular del reclamado (a). No se imponen medidas ya que la parte reclamante indica que la cámara no está operativa en el momento actual. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER A.A.A., con NIF ***NIF.1, por una infracción del Artículo 5.1.
- c)del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 600€. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 SEGUNDO: NOTIFICAR la presente resolución a Doña A.A.A.. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-050522 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es