1/8 Expediente N.º: EXP202210207 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 23 de septiembre de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra A.A.A. con NIF ***NIF.1 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que es arrendatario de una vivienda, siendo vecino de la parte reclamada y que este ha instalado en la entrada de su vivienda una cámara de videovigilancia que enfoca un espacio común existente entre ambas viviendas, sin que se haya señalizado la zona mediante carteles informativos de zona videovigilada. Junto a la reclamación aporta imágenes de la ubicación de la cámara y lo captado por esta, así como una conversación con el propietario de la finca donde se encuentran ambas viviendas. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), no fue recogido por el responsable; reiterándose el traslado en fecha 25/10/2022 por correo postal certificado, fue nuevamente devuelto por “ausente”. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 29 de noviembre de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 14 de marzo de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 5.1.
- c)del RGPD y Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Recibido el acuerdo de inicio, la parte reclamada presentó alegaciones en las que, en síntesis, manifestaba: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 -Que tienen el permiso del propietario para instalar las cámaras, y que en ningún caso afectan a la intimidad de los vecinos. Que la zona donde mira la cámara de la puerta principal es de su propio disfrute, y no de los vecinos, siendo la única que visualiza espacios comunes. -Que tiene los carteles de aviso, que es instalador de CCTV y sabe lo que hace. SEXTO: con fecha 11/04/2023, se acordó abrir periodo de practica de prueba, solicitando a la parte reclamada que, “con respecto a la imagen que aporta como prueba del campo de visión grabado por la cámara de vigilancia instalada, especifique qué parte corresponde a zona común y que parte a zona privativa de su vivienda”. SEPTIMO: Con fecha 24 de abril de 2023 se formuló propuesta de resolución, proponiendo: Que por la Directora de la Agencia Española de Protección de Datos se sancione a A.A.A., con NIF ***NIF.1, -Por una infracción del Artículo 5.1.
- c)del RGPD tipificada en el Artículo 83.5 del RGPD, con una multa de TRESCIENTOS EUROS (300 euros). -Por una infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de TRESCIENTOS EUROS (300 euros). Que por la Directora de la Agencia Española de Protección de Datos se ordene a A.A.A., con NIF ***NIF.1, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo de 30 acredite haber procedido a: -La retirada del sistema de cámaras o videocámaras del lugar actual o bien a su reorientación, de tal manera que el visionado de las imágenes que se observan evidencie que no se capta: ◦ zonas comunes de la vivienda. ◦ la vivienda colindante. -La instalación de un dispositivo informativo, en lugar suficientemente visible y con las especificaciones reguladas en el artículo 22 de la LOPDGDD. OCTAVO: Con fecha 24/04/2023, la parte reclamada presenta nuevo escrito de alegaciones a la propuesta de resolución, en el que en síntesis, indica: “Hoy he recibido la notificación de la sanción y hay algo que no entiendo! Las imágenes que capta la cámara quedan efectivamente guardadas en un xvr no más de un mes y el uso es por si tenemos algún robo. Los vecinos que han denunciado, este mes se mudan a otra casa pero todo lo han hecho porque tienen una perra encerrada 24 horas al día 7 días a la semana en un antiguo gallinero y no quieren que se vean imágenes de ello. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 El cartel cumple con normativa y está puesto el nombre de mi empresa, que me dedico a instalar equipos de cctv. Si quieren, lo que puedo hacer, es la zona "común", que no queda grabado, pero creo que si el propietario acepta las cámaras, está en su derecho y los inquilinos tienen que aceptarlo” A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Consta acreditado, según imagen adjuntada al expediente por la parte reclamada, que al menos una cámara tiene un campo de visión que afecta a partes comunes. SEGUNDO: Consta acreditado que, si bien según la imagen aportada por la parte reclamada, hay carteles avisando de la existencia de videocámaras, la información que proporcionan es insuficiente y no cumple con los requisitos exigidos por el articulo 22 de la LOPDGDD, al no constar en el mismo ni la identidad del responsable ni la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del RGPD. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II En relación a las alegaciones presentadas a la propuesta de resolución, se procede a dar respuesta a las mismas: -Alega la parte reclamada que las imágenes que capta la cámara quedan guardadas en un xvr no más de un mes y el uso es por si tienen algún robo. Que Los vecinos que han denunciado, este mes se mudan a otra casa, pero todo lo han hecho porque tienen una perra encerrada 24 horas al día 7 días a la semana en un antiguo gallinero y no quieren que se vean imágenes de ello. A este respecto, esta Agencia recuerda que el artículo 22 de la LOPDGDD establece que las personas físicas o jurídicas, públicas o privadas, podrán C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. El tratamiento debe ser ajustado y proporcional a la finalidad a la que se dirige, por lo que debe restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. Es decir, las cámaras y videocámaras instaladas con fines de seguridad no podrán afectar a los espacios públicos circundantes, edificios contiguos y vehículos distintos de los que accedan al espacio vigilado. En el presente caso, las imágenes facilitadas por la parte reclamante ponen de manifiesto que el campo de visión de las cámaras incide en zonas de uso común de las viviendas de la parte reclamante y la parte reclamada. -Alega la parte reclamada que el cartel cumple con normativa y está puesto el nombre de su empresa. A este respecto, como ya se indicó con anterioridad, hay que señalar que, si bien hay un cartel avisando de que se trata de una zona videovigilada, no es cierto que cumpla con los requisitos exigidos por el articulo 22 de la LOPDGDD, al no constar en el mismo ni la identidad del responsable ni la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del RGPD. III Se considera que los hechos expuestos vulneran lo establecido en el Artículo 5.1.c del RGPD que dispone: Los datos personales serán: “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»)”. por lo que podría suponer la comisión de una infracción tipificada en el artículo 83.5 del RGPD, que dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
- b)los derechos de los interesados a tenor de los artículos 12 a 22; (…)”. A efectos del plazo de prescripción de las infracciones, la infracción señalada en el párrafo anterior se considera muy grave conforme al artículo 72.1 de la LOPDGDD, que establece que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 “En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…) IV De conformidad con lo expuesto, el tratamiento de imágenes a través de un sistema de videovigilancia, para ser conforme con la normativa vigente, debe cumplir los requisitos siguientes: 1.- La personas físicas o jurídicas, públicas o privadas, pueden establecer un sistema de videovigilancia con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. 2.- Se deberá cumplir con el deber de informar a los afectados previsto en los artículos 12 y 13 del RGPD, y 22 de la LOPDGDD. En tal sentido, el artículo 22 de la LOPDGDD prevé en relación con la videovigilancia un sistema de “información por capas”. La primera capa ha de referirse, al menos, a la existencia del tratamiento (videovigilancia), la identidad del responsable, la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del RGPD y dónde obtener más información sobre el tratamiento de los datos personales. Esta información se contendrá en un dispositivo colocado en un lugar suficientemente visible y debe suministrarse por adelantado. La información de la segunda capa debe estar disponible en un lugar fácilmente accesible al afectado, ya sea una hoja informativa en una recepción, cajero, etc…, colocada en un espacio público visible o en una dirección web, y ha de referirse al resto de elementos del artículo 13 del RGPD. Se considera que los hechos expuestos vulneran lo establecido en el Artículo 13 del RGPD, por lo que podrían suponer la comisión de una infracción tipificada en el artículo 83.5 del RGPD, que dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8
- b)los derechos de los interesados a tenor de los artículos 12 a 22; (…)”. A efectos del plazo de prescripción de las infracciones, la infracción señalada en el párrafo anterior se considera leve conforme al artículo 74.a de la LOPDGDD, que establece que: “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes:
- a)El incumplimiento del principio de transparencia de la información o el derecho de información del afectado por no facilitar toda la información exigida por los artículos 13 y 14 del Reglamento (UE) 2016/679”. V De acuerdo con lo establecido en el artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”, se indica que la parte reclamada deberá proceder a: -La retirada del sistema de cámaras o videocámaras del lugar actual o bien a su reorientación, de tal manera que el visionado de las imágenes que se observan evidencie que no se capta: ◦ zonas comunes de la vivienda. ◦ la vivienda colindante. -La instalación de un dispositivo informativo, en lugar suficientemente visible y con las especificaciones reguladas en el artículo 22 de la LOPDGDD La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a A.A.A., con NIF ***NIF.1, por una infracción del Artículo 5.1.
- c)del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 300 euros (TRESCIENTOS euros). IMPONER a A.A.A., con NIF ***NIF.1, por una infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 300 euros (TRESCIENTOS euros) SEGUNDO: Ordenar a A.A.A., con NIF ***NIF.1 a tenor del artículo 58.2.
- d)del RGPD, por una infracción del artículo 5.1.
- c)del RGPD tipificada en el artículo 83.5 del citado Reglamento, y por una infracción del articulo 13 RGPD, tipificada en el artículo 83.5 del RGPD que, en el plazo de 30 días computado desde que la presente resolución sea ejecutiva, proceda a: -La retirada del sistema de cámaras o videocámaras del lugar actual o bien a su reorientación, de tal manera que el visionado de las imágenes que se observan evidencie que no se capta: ◦ zonas comunes de la vivienda. ◦ la vivienda colindante. -La instalación de un dispositivo informativo, en lugar suficientemente visible y con las especificaciones reguladas en el artículo 22 de la LOPDGDD TERCERO: NOTIFICAR la presente resolución a A.A.A.. CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-181022 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es