PS-00687-2022

1/9  Expediente N.º: EXP202211119 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 28 de abril de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a BENOTAC, S.L. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202211119 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (*en adelante, la parte reclamante) con fecha 18 de octubre de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra BENOTAC, S.L. con NIF B80255425 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: “(…) la parte reclamada es responsable de un establecimiento que cuenta con un sistema de videovigilancia no señalizado mediante los preceptivos carteles informativos de zona videovigilada, señalando asimismo que sus cámaras son susceptibles de captar imágenes de la vía pública junto al establecimiento, sin que conste autorización administrativa para ello. Junto a lo anterior manifiesta que se ha remitido a terceros una grabación procedente del referido sistema de videovigilancia, en la que aparece la parte reclamante, siendo difundida sin su consentimiento”—folio nº 1Aporta imágenes de la ubicación de las cámaras y grabación del sistema donde aparece la parte reclamante (Anexo probatorio I). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada en fecha 20/10/22, para que procediese a su análisis e informase a esta Agencia en el plaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 zo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. TERCERO: En fecha 13/12/22 se recibe escrito de la parte reclamada por medio del cual confirma la presencia de cámara (

1. s)de video-vigilancia en los siguientes términos: “En la actualidad se disponen de 17 cámaras de videovigilancia, las cuales previamente fueron silenciadas (no pueden captar voz). Dichas cámaras están repartidas entre las dos instalaciones pertenecientes a Benotac S.L., la primera de ellas es en ***DIRECCIÓN.1; siendo el segundo lugar el almacén situado en Ronda de Segovia 44. La visualización de las imágenes de las mismas se realiza desde dos monitores que se encuentran bajo llave y contraseña. En todo momento se cuentan con carteles informativos, en ambos dos locales, donde se explica que son zonas videovigiladas; los mismos pueden verse de forma clara y sin dificultades Con respecto a la cuestión planteada por el reclamante A.A.A., la denuncia se produce a raíz de su visita a la tienda Benotac S.L en octubre para reclamar el pago de una factura por unos servicios prestados a Macberry. Durante la visita A.A.A. actuó de forma desagradable y ese comportamiento fue grabado por la cámara que recoge imágenes de la tienda, en presencia de varios clientes y empleados (…) De forma adicional aportamos una declaración de responsabilidad, en la cual dejamos constancia que todos los equipos que fueron sustituidos por otros más actualizados tienen los micrófonos bloqueados. De igual manera, se redactó un nuevo comunicado para los trabajadores donde se les advierte de que están siendo grabados por motivos de seguridad.” CUARTO: Con fecha 15 de diciembre de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 II En el presente caso, se procede a examinar la reclamación de fecha 18/10/22 por medio de la cual se pone de manifiesto diversas irregularidades del sistema de video-vigilancia del establecimiento reclamado, como la “ausencia de cartel informativo”, así como la presunta difusión de video del reclamante “vía mail a terceros” sin causa justificada. Entre las imágenes aportadas por la parte reclamante se observa que al menos un dispositivo obtenía imágenes del espacio público adyacente al estar la misma orientada hacia el exterior del establecimiento, con el consiguiente “tratamiento excesivo” de datos de terceros sin causa justificada. La parte reclamada debió prever que el tipo de cámaras instaladas es excesivo en la captación del espacio físico de la tienda, al afectar a la zona de tránsito de una calle concurrida, debiendo haber procedido a la reinstalación de la misma o instalar otro tipo de dispositivo menos invasivo de la privacidad y datos de los transeúntes. El art. 5.1
2. c)RGPD dispone lo siguiente: Los datos personales serán: “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»). Cabe recordar que los particulares son responsables de velar por que los sistemas instalados se ajusten a la legalidad vigente, acreditando que la misma cumpla con todos los requisitos exigidos por la normativa en vigor. La instalación de este tipo de dispositivos debe contar con el preceptivo cartel informativo, indicando los fines y responsable del tratamiento en su caso de los datos de carácter personal. En todo caso, las cámaras deben estar orientadas hacia el espacio particular, evitando intimidar a vecinos colindantes con este tipo de dispositivos, así como controlar zonas de tránsito de los mismos sin causa justificada. Tampoco con este tipo de dispositivos se puede obtener imágen (
3. es)de espacio público, al ser esta competencia exclusiva de las Fuerzas y Cuerpos de Seguridad del Estado. Conviene recordar que aun el caso de tratarse de una cámara “simulada” la misma debe estar orientada preferentemente hacia espacio privativo, dado que se considera que este tipo de dispositivos pueden afectar a la intimidad de terceros, que se ven intimidados por la misma en la creencia de ser objeto de grabación permanente. Por parte de los particulares no se puede instalar aparatos de obtención de imágenes de espacio público y/o tránsito de terceros, fuera de los casos permitidos en la normativa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 La finalidad de este tipo de dispositivos debe ser la seguridad del inmueble y de sus moradores, evitando la afectación de derechos de terceros que se vean intimidados con los mismos. III De conformidad con las pruebas iniciales de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que la parte reclamada dispone un sistema de video-vigilancia mal orientado que pudiera afectar a derechos de terceros y/o espacio público, tratando datos de carácter personal. Los hechos conocidos podrían ser constitutivos de una infracción, imputable a la parte reclamada, por vulneración del contenido del artículo 5.1
4. c)RGPD. El artículo 72 apartado 1º letra
5. a)establece un plazo de prescripción de tres años “las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: “
6. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. IV De igual manera las imágenes (datos personales) obtenidos fueron objeto de traslado al menos al propio reclamante, sin que se haya justificado el motivo de tal traslado, al tratarse de imágenes asociadas a un sistema vinculado para la protección del establecimiento, sus bienes y enseres. El artículo 22 apartado 3º de la LOPDGDD dispone: “En tal caso, las imágenes deberán ser puestas a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación”. Este hecho puede suponer una afectación al artículo 5.1
7. f)RGPD en los siguientes términos:
8. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). Las imágenes obtenidas con este tipo de dispositivos deben en su caso ser objeto de <conservación> para su puesta a disposición de las Fuerzas y Cuerpos de Seguridad o Juzgado competente, sin que se haya explicado el motivo de acceso, conservación y traslado al menos al propio reclamante, que las aporta a esta Agencia como documento probatorio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 El artículo 72 apartado 1º letra
9. a)establece un plazo de prescripción de tres años “las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: “
10. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. V El art. 83.5 RGPD dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
11. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
12. b)los derechos de los interesados a tenor de los artículos 12 a 22 (..). El art. 83.2 RGPD “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
13. a)a
14. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
15. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
16. b)la intencionalidad o negligencia de la infracción (…) En el presente caso, se tiene en cuenta a la hora de motivar la propuesta de sanción que se trata de una empresa (persona jurídica) que no tiene debidamente implementadas las medidas técnicas acordes al RGPD a pesar del tiempo transcurrido desde la entrada en vigor del mismo, al margen que los hechos han de calificarse de graves, al afectar los dispositivos instalados a zonas de tránsito público afectando de manera determinada a un número de transeúntes indiscriminadamente de una concurrida calle de la localidad, de manera desproporcionada a la finalidad del sistema; así como la traslación a terceros (al menos el propio reclamante) fuera del marco legal reseñado, lo que justifica una propuesta de sanción inicial de 2500€, por la infracción del artículo 5.1
17. c)(500€), por la infracción del artículo 5.1
18. f)(2000€), al ser considerada la conducta como negligencia grave, sanción situada en la escala inferior para este tipo de comportamientos, teniendo en cuenta las medidas adoptadas con motivo del traslado de los presentes hechos. VII De confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
19. d)del RGPD, según el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a la entidad BENOTAC, S.L., con NIF B80255425, por la presunta infracción de los artículos 5.1 c), 5.1 f), tipificada en el artículo 83.5 letras
20. a)y
21. b)RGPD. SEGUNDO: NOMBRAR como instructor a B.B.B. y, como secretario, a C.C.C., indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
22. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería 2500€ (500€+ 2000€), sin perjuicio de lo que resulte de la instrucción. QUINTO: NOTIFICAR el presente acuerdo a BENOTAC, S.L., con NIF B80255425, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
23. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 ción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 2000 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 2000 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 1500 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente 2000€ ò 1500€ deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-121222 Mar España Martí Directora de la Agencia Española de Protección de Datos >> C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 SEGUNDO: En fecha 21 de junio de 2023, la parte reclamada ha procedido al pago de la sanción en la cuantía de 1500 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. CUARTO: En el Acuerdo de inicio transcrito anteriormente se señalaba que, de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
24. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de las medidas incluidas en el Acuerdo de inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202211119, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: ORDENAR a BENOTAC, S.L. para que en el plazo de un mes notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho del Acuerdo de inicio transcrito en la presente resolución. TERCERO: NOTIFICAR la presente resolución a BENOTAC, S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
25. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1259-121222 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es