1/9 Expediente N.º: EXP202208420 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 12/07/2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra B.B.B. con NIF ***NIF.1 (en adelante, la parte reclamada), por la instalación de un sistema de videovigilancia ubicado en ***DIRECCION.1, existiendo indicios de un posible incumplimiento de lo dispuesto en los Artículos 13 del RGPD y 6.1 del RGPD. Los motivos que fundamentan la reclamación son los siguientes: La parte reclamante manifiesta que es arrendatario de una habitación en una vivienda de la parte reclamada, con derecho a estancia en zonas comunes, y que al regresar de una ausencia de varios días, observa que en el pasillo de la vivienda se ha instalado una cámara de vigilancia que aparentemente graba video y audio, que se mueve en 360 grados según detecte un movimiento, es decir, graba cuando entra y sale alguien del piso e igualmente cuando la parte reclamante sale de su habitación, y que no ha dado su consentimiento para la instalación de dicha cámara. Junto a la reclamación aporta -Nota simple informativa de la inscripción de la finca en el Registro de la propiedad, a nombre de la parte reclamada en un 75%. -Burofax dirigido a la parte reclamada en el que solicita la retirada de la cámara, con el resultado de “rehusado” -Imágenes del interior de la vivienda donde está ubicada la cámara, en las que se observa que está instalada en el techo. La parte reclamante no aporta contrato de arrendamiento. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. No se ha recibido respuesta a este escrito de traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), y que fue recogido por el responsable en las dos ocasiones en las que se realizó el traslado: en fechas 18/08/2022 y 26/10/2022 respectivamente, según certificación de entrega que consta en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 TERCERO: Con fecha 12 de octubre de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 13 de abril de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 13 del RGPD y Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), en fecha 27/04/2023, y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. El artículo 64.2.
- f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
- f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Consta, según la documentación obrante en el expediente, que en la vivienda en la que residen tanto la parte reclamante como la parte reclamada, se ha instalado una cámara de vigilancia en el techo, que aparentemente graba video y audio, que se mueve en 360 grados según detecte un movimiento. SEGUNDO: Consta, según documentación obrante en el expediente, que no hay ningún cartel informativo avisando de la existencia de videocámaras. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. En el artículo 4.2 del RGPD se define el concepto de “tratamiento” de datos personales. “«tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” Las imágenes generadas por un sistema de cámaras o videocámaras son datos de carácter personal, por lo que su tratamiento está sujeto a la normativa de protección de datos. Es, por tanto, pertinente analizar si el tratamiento de datos personales (imagen de las personas físicas) llevado a cabo a través del sistema de videovigilancia denunciado es acorde con lo establecido en el RGPD. III El artículo 18 apartado 4º CE dispone: “La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”. En el Considerando número 40 RGPD se indica que para que un “tratamiento sea lícito, los datos personales deberán ser tratados sobre alguna de las bases legitimadoras establecidas conforme a Derecho (…)”. Por tanto, el “tratamiento de datos” efectuados con la cámara (
- s)instalada en el interior del inmueble debe poder justificarse en las denominadas bases legitimadoras, esto es, que se pueda acreditar la licitud del tratamiento en el listado de situaciones o supuestos concretos en los que es posible tratar datos personales El artículo 6.1 del RGPD establece los supuestos que permiten considerar lícito el tratamiento de datos personales. “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.”. La presencia de cámaras en el interior de la vivienda supone una afectación a un espacio que deja de ser “privativo” del titular, para ser objeto de disfrute de un tercero cuyos derechos han de ser respetados, tanto el derecho a la intimidad como el derecho a la “protección de datos personales”. Por tanto, el ámbito “personal y doméstico” en la captación de imágenes del interior del domicilio privativo (artículo 22.5 LOPDGDD) desaparece al ceder el uso y disfrute temporal de la vivienda privativa a un tercero pasando a convertirse en un ámbito reservado a su más estricta intimidad personal y familiar y amparado igualmente por la normativa de protección de datos, que no permite con carácter general la capación y tratamiento de los mismos. La reclamación se basa en la presunta ilicitud de la instalación de una cámara de videovigilancia en el pasillo del inmueble en el que la parte reclamante manifiesta tener un contrato de arrendamiento de habitación (no aportado en la reclamación), con derecho a uso de zonas comunes, propiedad en un 75% de la parte reclamada, quien también reside en la vivienda, sin haber solicitado su consentimiento y sin haber procedido a retirarla una vez requerida por la parte reclamante mediante burofax. Como prueba de estas manifestaciones, la parte reclamante aportó 2 fotografías en las que se observan la existencia de un dispositivo en el techo del interior de la vivienda, sin que en dichas fotografías se pueda precisar exactamente si corresponde a un pasillo, a un hall o a alguna otra dependencia, si bien no cabe duda de que corresponde al interior, pudiéndose ver en las fotografías un radiador, una ventana y dos puertas. El derecho a la intimidad recordemos consiste en garantizar el libre desarrollo de la vida privada individual de cada uno, sin “que existan intromisiones de terceros”, la presencia de cámaras interiores no solo supone un control excesivo de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 entradas/salidas del mismo del morador y/o acompañantes, sino un “tratamiento de datos” que no se justifica en el presente expediente. En este sentido, el Tribunal Constitucional afirma en la STC 22/1984, que el derecho a la inviolabilidad del domicilio constituye un auténtico derecho fundamental de la persona, establecido, según hemos dicho, para garantizar el ámbito de privacidad de ésta dentro del espacio que la propia persona elige y que tiene que caracterizarse precisamente por quedar exento o inmune a las invasiones o agresiones exteriores, de otras personas o de la autoridad pública. En este sentido-- Sentencia Contencioso-Administrativo Nº 2923/2020, Tribunal Superior de Justicia de Cataluña, Sala de lo Contencioso, Sección 3, Rec 237/2019 de 02 de Julio de 2020--. "Como se afirmaba en la STC 10/2002, de 17 de enero (FFJJ 5 y 6), citada por el Fiscal y por el recurrente en amparo, y se ha recordado después en la STC 22/2003, de 10 de febrero, la norma constitucional que proclama la inviolabilidad del domicilio y la interdicción de la entrada y registro domiciliarios ( art. 18.2 CE), a pesar de la autonomía que la Constitución española reconoce a ambos derechos, constituye una manifestación de la norma precedente ( art. 18.1 CE) que garantiza el derecho fundamental a la intimidad personal y familiar. De modo que si el derecho proclamado en el art. 18.1 CE tiene por objeto la protección de un ámbito reservado de la vida de las personas excluido del conocimiento de terceros, sean éstos poderes públicos o particulares, en contra de su voluntad, el derecho a la inviolabilidad domiciliaria protege "un ámbito espacial determinado" dado que en él ejercen las personas su libertad más íntima, libres de toda sujeción a los usos y convenciones sociales, siendo objeto de protección de este derecho tanto el espacio físico en sí mismo considerado, como lo que en él hay de emanación de la persona y de su esfera privada. Por ello, hemos afirmado que la protección constitucional del domicilio es una protección de carácter instrumental, que defiende los ámbitos en que se desarrolla la vida privada de la persona. Entre otras consecuencias, tal carácter instrumental determina que el concepto constitucional de domicilio tiene mayor amplitud que el concepto jurídico privado o jurídico administrativo de domicilio y no admite "concepciones reduccionistas" (por todas SSTC 94/1999, de 31 de mayo, FJ 5, y 10/2002, de 17 de enero, FJ 6 in fine). Por ello, hemos afirmado en el fundamento jurídico 8 de la citada STC 10/2002 que "el rasgo esencial que define el domicilio a los efectos de la protección dispensada por el art. 18.2 CE reside en la aptitud para desarrollar en él vida privada y en su destino específico a tal desarrollo aunque sea eventual. Ello significa, en primer término, que su destino o uso constituye el elemento esencial para la delimitación de los espacios constitucionalmente protegidos, de modo que, en principio, son irrelevantes su ubicación, su configuración física, su carácter mueble o inmueble, la existencia o tipo de título jurídico que habilite su uso, o, finalmente, la intensidad y periodicidad con la que se desarrolle la vida privada en el mismo. En segundo lugar, si bien el efectivo desarrollo de vida privada es el factor determinante de la aptitud concreta para que el espacio en el que se desarrolla se considere domicilio, de aquí no se deriva necesariamente que dicha aptitud no pueda inferirse de algunas de estas noC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 tas, o de otras, en la medida en que representen características objetivas conforme a las cuales sea posible delimitar los espacios que, en general, pueden y suelen ser utilizados para desarrollar vida privada". Así como que "el propio carácter instrumental de la protección constitucional del domicilio respecto de la protección de la intimidad personal y familiar exige que, con independencia de la configuración física del espacio, sus signos externos revelen la clara voluntad de su titular de excluir dicho espacio y la actividad en él desarrollada del conocimiento e intromisiones de terceros". De ahí extrajimos la consecuencia, al declarar la inconstitucionalidad de lo dispuesto en el art. 557 de la Ley de enjuiciamiento criminal que "las habitaciones de los hoteles pueden constituir domicilio de sus huéspedes, ya que, en principio, son lugares idóneos, por sus propias características, para que en las mismas se desarrolle la vida privada de aquéllos habida cuenta de que el destino usual de las habitaciones de los hoteles es realizar actividades enmarcables genéricamente en la vida privada" (*la negrita y el subrayado pertenece a este organismo). Es irrelevante que, en el presente caso, la parte reclamada conviva con la parte reclamante en esa vivienda, ya que, en todo caso, la misma sigue constituyendo su propio domicilio, aunque sea compartido. Por todo lo expuesto en el supuesto examinado no hay presente ninguna de las bases jurídicas del art 6.1 del RGPD que pudiera legitimar el tratamiento. Asimismo, la instalación de una videocámara, aun cuando se demuestre que no está legitimada, conlleva la obligación ineludible de advertir la presencia de la misma mediante un dispositivo informativo, en lugar suficientemente visible, identificando al menos la existencia del tratamiento, la identidad del responsable, y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del RGPD. IV Se considera que los hechos expuestos vulneran lo establecido en los Artículos 6.1 y 13 del RGPD, por lo que podrían suponer la comisión de sendas infracciones tipificadas en el artículo 83.5 del RGPD, que dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
- b)los derechos de los interesados a tenor de los artículos 12 a 22; (…)”. A efectos del plazo de prescripción de las infracciones, la infracción señalada en el párrafo anterior se considera muy grave conforme al artículo 72.1 de la LOPDGDD, que establece que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 “En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
- b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. (…)
- h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta Ley Orgánica. (…)” VI La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Por tanto, procede graduar la sanción a imponer de acuerdo con los criterios que establece el artículo 83.2 del RGPD, y con lo dispuesto en el artículo 76 de la LOPDGDD, respecto al apartado
- k)del citado artículo 83.2 RGPD. En el presente caso, se han tenido en cuenta, en especial, los siguientes hechos como agravantes: -La naturaleza, gravedad y duración de la infracción (art. 83.2.a RGPD), habida cuenta de que, como ya se ha reseñado, el domicilio es inviolable, y la instalación de videocámaras implica un importante atentado a la intimidad de las personas que en el mismo conviven. Por todo ello, se considera que la sanción que correspondería es de multa administrativa. Hay que recordar que el pago voluntario de las cuantías propuestas no exime de acreditar la regularización del sistema de videovigilancia de conformidad con la normativa en vigor. VII Posibles medidas De acuerdo con lo establecido en el artículo 58.2
- d)del RGPD, cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Se indica que la parte reclamada deberá proceder, en el plazo de 30 días desde la recepción de la presente resolución, a • proceder a la retirada del sistema de cámaras o videocámaras del lugar actual. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 Se advierte que no atender a los requerimientos de este organismo puede ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a B.B.B., con NIF ***NIF.1, por una infracción del Artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD, una sanción de 5.000 euros (CINCO MIL EUROS), y por una infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 300 euros (TRESCIENTOS EUROS). SEGUNDO: NOTIFICAR la presente resolución a B.B.B.. TERCERO: ORDENAR a B.B.B., con NIF ***NIF.1, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo de 30 días desde la recepción de la presente resolución, acredite haber procedido a: • la retirada del sistema de cámaras o videocámaras del lugar actual. CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-010623 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es