1/7 Expediente Nº: EXP202103891 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Don A.A.A. (*en adelante, la parte reclamante) con fecha 25 de octubre de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra AYUNTAMIENTO DE ***LOCALIDAD.1 con CIF P2804400F (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: “…en la Plaza de la Constitución de la localidad de ***LOCALIDAD.1, en Madrid, se encuentra instalada una cámara domo que captaría imágenes de la vía pública, de la que sería responsable la Administración Local reclamada, y que carece de señalización mediante carteles informativos de zona videovigilada” (folio nº 1). Aporta imagen de la ubicación de la cámara (Anexo documental I). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada en fecha 28/10/21, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. No se ha recibido contestación alguna por parte de la reclamada. TERCERO: Con fecha 22 de diciembre de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 8 de marzo de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Consultado el sistema informático de esta Agencia en fecha 19/04/22, consta que se ha realizado la notificación de manera electrónica a la entidad reclamada constando como “Entregado”, si bien no se ha realizado alegación alguna al respecto en relación a los hechos objeto de reclamación. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 HECHOS PROBADOS Primero. Los hechos tren causa de la reclamación de fecha 25/10/21 por medio de la cual se traslada lo siguiente: “…en la Plaza de la Constitución de la localidad de ***LOCALIDAD.1, en Madrid, se encuentra instalada una cámara domo que captaría imágenes de la vía pública, de la que sería responsable la Administración Local reclamada, y que carece de señalización mediante carteles informativos de zona videovigilada” (folio nº 1). Segundo. Consta acreditado como principal responsable Ayuntamiento de ***LOCALIDAD.1, quien no ha realizado aclaración sobre el dispositivo objeto de reclamación. Tercero. Consta acreditada la presencia de un dispositivo de video-vigilancia, a modo de cámara domo con posibilidad de obtención de imágenes de toda la plaza pública afectando con ello al derecho de terceros. Cuarto. No se ha realizado aclaración alguna sobre los hechos, ni explicación documental se ha producido a tal efecto por la reclamada. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Antes de entrar en el fondo del asunto, recordar que en el Acuerdo de Inicio del presente procedimiento se mencionó que, en el caso de no efectuar alegación alguna al mismo, este podría ser considerado “propuesta de resolución”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 El artículo 64.2.
- f)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP) -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
- f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. III En el presente caso, se procede a examinar la reclamación presentada en esta Agencia por medio de la cual se traslada la presencia “cámara en plaza de la localidad sin estar debidamente informada“ (folio nº 1). La instalación de este tipo de dispositivos debe contar con el preceptivo cartel (
- es)informativo, indicando los fines y responsable del tratamiento en su caso de los datos de carácter personal. Los ayuntamientos, como cualquier otra entidad pública, están obligados al cumplimiento del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos -RGPD-. Los ayuntamientos son responsables del tratamiento de los datos personales que manejen, entendiendo por responsable del tratamiento la "persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento”. El artículo 13 RGPD establece la obligación de informar a los interesados (
- as)del responsable del tratamiento, finalidad del tratamiento y modo de ejercitar los derechos regulados art. 12-22 RGPD, así como en su caso del “plazo de conservación de los datos de carácter personal”. El artículo 22.4 de la LOPDGDD dispone que: “El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 dispositivo informativo un código de conexión o dirección de internet a esta información”. La instalación de dispositivos--sistemas de video-vigilancia-- debe informarse al conjunto de vecinos (
- as)de la localidad mediante los correspondientes carteles informativos indicando que se trata de “zona video-vigilada”, así como poner a disposición de los mismos la información a la que se refiere el artículo 13 del RGPD, sin perjuicio de informarlo por otros medios (v.gr. Sede electrónica del Ayuntamiento, etc.) Los datos han de ser recogidos con fines determinados, explícitos y legítimos, y no tratados después de manera incompatible con dichos fines. Es decir, los datos recabados para un fin concreto no pueden utilizarse para un fin distinto del inicialmente autorizado. El art. 16 apartado 5º Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales. “Los ciudadanos serán informados de manera clara y permanente de la existencia de estas videocámaras fijas, sin especificar su emplazamiento, así como de la autoridad responsable del tratamiento ante la que poder ejercer sus derechos” El RGPD introduce como obligatoria en el ámbito de las Administraciones Públicas la figura del Delegado (
- a)de Protección de Datos -DPD-, por lo que los ayuntamientos deben proceder a su designación y comunicar su nombramiento a la AEPD para su inclusión en el Registro público de Delegados de Protección de Datos IV De conformidad con las “evidencias” de las que se dispone en el presente procedimiento sancionador, se considera que la parte reclamada ha instalado una cámara tipo domo en una zona pública sin informar a los vecinos (
- as)de la localidad. La prueba documental aportada (Anexo I) permite constatar la presencia de una cámara tipo “domo” en lo alto de un mástil enfocada hacia una zona de carácter público, sin que se haya acreditado la debida señalización de esta, indicando que se trata de una zona “video-vigilada”. Los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada, por vulneración del contenido del artículo 13 RGPD, la cual no ha realizado aclaración alguna sobre la causa (
- s)de la instalación del dispositivo reseñado. V El art. 83.5 RGPD dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalenC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 te al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- b)los derechos de los interesados a tenor de los artículos 12 a 22 (…)”. En el presente caso, se tiene en cuenta la naturaleza de Administración Pública de la denunciada, así como la ausencia de contestación inicial al traslado de los hechos objeto de reclamación, para imponer en todo caso una sanción de Apercibimiento, a la que corresponde la carga de probar las medidas adoptadas en el marco del actual RGPD a este organismo. VI El artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD en su apartado 7 establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. (…) 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.” VII C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 Entre los poderes correctivos que contempla el artículo 58 del RGPD, en su apartado 2
- d)se establece que cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR a la entidad AYUNTAMIENTO DE ***LOCALIDAD.1, con CIF P2804400F, por una infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD, una sanción de APERCIBIMIENTO. SEGUNDO: NOTIFICAR la presente resolución a la entidad AYUNTAMIENTO DE ***LOCALIDAD.1. TERCERO. ORDENAR de conformidad con el artículo 58 RGPD, que en el plazo de UN MES desde la notificación del presente acto, la entidad reclamada proceda a acreditar la legalidad del sistema: -Aportación de cartel (
- es)informativo indicando que se trata de una zona videovigilada, mediante fotografía con fecha y hora. -Determinación de la causa (
- s)para la instalación del dispositivo en cuestión. -Disponibilidad de formulario (
- s)a disposición de los vecinos (
- as)de la localidad para poder ejercitar los derechos reconocidos legalmente. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 do manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-100322 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es