1/8 Expediente nº.: EXP202313159 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por A.A.A. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 20 de noviembre de 2024, y en base a los siguientes, HECHOS PRIMERO: Con fecha 20 de noviembre de 2024, se dictó resolución por la Directora de la AEPD en el expediente EXP202313159, procediéndose al archivo de las actuaciones previas de investigación. Dicha resolución fue notificada a la parte recurrente en fecha 20/11/2024 según consta en el acuse de recibo que figura en el expediente. SEGUNDO: La parte recurrente presentó recurso de reposición, en fecha 20/12/2024 ante esta Agencia, fundamentándolo básicamente en “la cesión de imágenes por el responsable a un tercero, la conservación de las imágenes del sistema de videograbación más allá del plazo legalmente establecido y la denegación del derecho de acceso al ahora recurrente.” FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). II Contestación a las alegaciones presentadas En relación con las manifestaciones efectuadas por la parte recurrente, cabe señalar lo siguiente: - Por lo que respecta la cesión de imágenes por el responsable a un tercero: Manifiesta el ahora recurrente que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/8 “La denuncia presentada ante la Guardia Civil con fecha 21/10/2022 por parte de la empresa ***EMPRESA.1, empresa prestataria del servicio entre el 01/10/2022 y el 31/07/2023 (pág. 10 del expediente, documentación aportada por el reclamante), manifiesta lo siguiente: “Que se nos ha dado traslado por parte de la empresa ***EMPRESA.2 una serie de incidencias cometidas por los Vigilantes de Seguridad adscritos al citado servicio de seguridad en las instalaciones (...) de la entidad ***EMPRESA.2, sucedidos el 5 de julio de 2022, el 2 de septiembre de 2022 y el 22 de septiembre de 2022. (el subrayado es de la AEPD) Pues bien, en base a las declaraciones del responsable, ***EMPRESA.2, y a la información proporcionada por la empresa ***EMPRESA.1 ante la Guardia Civil, se acredita que: •Con fecha 21/10/2022, la empresa ***EMPRESA.1 empleó datos de carácter personal, los cuales y en su totalidad estarían relacionados con otra empresa, ***EMPRESA.4 (según declaraciones del responsable, con contrato en vigor entre el 01/12/2016 y el 30/09/2022), siendo obtenidas en fechas diferentes y en todo caso previas al 01/10/2022, fecha de inicio de la actividad de ***EMPRESA.1 en ***EMPRESA.2, entendiendo por todo ello, que se materializó una más que evidente cesión de datos personales a terceros, siendo el único responsable, fuente de obtención y cesión de estos datos el propio responsable del tratamiento, ***EMPRESA.2.” (el subrayado es de la AEPD) Consta en el expediente el escrito de fecha 9/08/2023 de la Directora de Seguridad de ***EMPRESA.2, por el que se contesta a las alegaciones del ahora recurrente, en un procedimiento tramitado ante la Subdelegación del Gobierno en ***LOCALIDAD.1, en el que manifiesta: “Ha de indicarse con carácter previo que la planta de ***LOCALIDAD.2, donde habrían sucedido los hechos es una infraestructura crítica con número ***REFERENCIA.1, designada en resolución del Ministerio del Interior, Secretaría de Estado de Seguridad… Para la protección de la planta existen zonas videovigiladas adecuadamente informadas del tratamiento de datos realizado mediante la exhibición, tanto exterior como interior y de forma visible, de carteles informativos, como el que se encuentra en el puesto de control de los vigilantes y que se muestra a continuación: Sobre las personas con acceso a las imágenes, la responsable de los vigilantes (contratada por la empresa que presta los servicios de seguridad y vigilancia), actualmente B.B.B., tiene entre sus funciones la de hacer un seguimiento de las medidas de seguridad. Entre otras actuaciones, realiza comprobaciones y visionados aleatorios para verificar que se cumplen todos los protocolos y actuaciones de seguridad. De acuerdo con el protocolo establecido, cuando detecta alguna conducta irregular o incidente, lo traslada a la responsable de Security de ***EMPRESA.2 (Directora de Seguridad), que las revisa en cumplimiento de sus funciones, previstas en el artículo 36 de la Ley 5/2014, de 4 de abril, de Seguridad Privada. Siempre que ocurran incidentes que afectan al buen funcionamiento y cumplimiento del servicio, el Director de Seguridad realiza tareas de "identificación, análisis y evaluación de situaciones de riesgo que puedan afectar a la vida e integridad de las personas y al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/8 patrimonio ", procediendo a notificar al prestador de los servicios los incidentes que puedan suponer un riesgo y/o un incumplimiento contractual. Es decir, el director de seguridad de ***EMPRESA.2 y la responsable de los vigilantes son las personas con acceso único y exclusivo a las grabaciones de las cámaras de videovigilancia, con la finalidad de garantizar la seguridad de la infraestructura y realizar un seguimiento del contrato. En caso de que se detecte alguna incidencia o irregularidad, se recoge en los informes de seguimiento del servicio de vigilancia, junto con los fotogramas que expliquen las diferentes situaciones. A continuación, salvo que medie una petición de autoridad competente o una denuncia en el plazo establecido de 72 horas, las imágenes de las cámaras proceden a eliminarse en el plazo de 30 días, sin perjuicio de que se conserven los informes de seguimiento de incidencias al amparo de las finalidades descritas anteriormente. (…) Se realizaron informes de incidencias correspondientes a cada uno de los días. Se trata de informes que describen los hechos identificados y añaden capturas de imágenes que los explican. A continuación, estos informes fueron trasladados a la empresa que presta servicios de seguridad, con el fin de que adopte las medidas que proceda, y se garantice la seguridad de los bienes y las personas en todo momento. (…) Por último, se informa que ***EMPRESA.2 no tiene conocimiento de las actuaciones llevadas a cabo para poner en conocimiento de Intervención de Armas las conductas descritas, ni ha intervenido en modo alguno en tales actuaciones.” De la documentación aportada, se deduce que lo que se traslada son informes de incidencias correspondientes a diferentes días, en los que se detallan las actuaciones de los vigilantes de seguridad y que según manifiesta la responsable de seguridad de ***EMPRESA.2, se notifican al prestador de los servicios de seguridad, por si pudieran suponer un riesgo y/o un incumplimiento contractual. Se recuerda que las instalaciones referidas de ***EMPRESA.2, tienen la consideración de críticas - Por lo que respecta a la limitación del plazo de conservación: La letra
- e)del artículo 5.1 del RGPD establece: "1. Los datos personales serán: (…)
- e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);"Asimismo y según lo previsto en el artículo 22 de la LOPDGDD “Tratamientos con fines de videovigilancia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/8 1. Las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. 2. Solo podrán captarse imágenes de la vía pública en la medida en que resulte imprescindible para la finalidad mencionada en el apartado anterior. No obstante, será posible la captación de la vía pública en una extensión superior cuando fuese necesario para garantizar la seguridad de bienes o instalaciones estratégicos o de infraestructuras vinculadas al transporte, sin que en ningún caso pueda suponer la captación de imágenes del interior de un domicilio privado. 3. Los datos serán suprimidos en el plazo máximo de un mes desde su captación, salvo cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En tal caso, las imágenes deberán ser puestas a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación. No será de aplicación a estos tratamientos la obligación de bloqueo prevista en el artículo 32 de esta ley orgánica…”. Se reproduce la argumentación de la resolución impugnada por su claridad: “En el presente caso, consta acreditado que ***EMPRESA.2 tiene implementado un sistema automático de conservación de los datos y accesibilidad como medida de responsabilidad proactiva y para asegurar el cumplimiento de los principios de protección de datos, conservando las imágenes del sistema de videograbación por un periodo máximo de 30 días, salvo que como consecuencia de un incidente de seguridad haya sido comunicado, en el plazo de 72 horas, a las autoridades competentes. La configuración del software de gestión del sistema de video vigilancia, en el que se ha establecido automáticamente un tiempo de conservación de las grabaciones de 30 días, evidencia el cumplimiento de las previsiones normativas en materia de protección de datos por parte de ***EMPRESA.2. Tras ese plazo de 30 días, el software realiza de modo automático la sobreescritura de las grabaciones almacenadas en el sistema. ***EMPRESA.2 ha manifestado que, en caso de que se detecte alguna incidencia o irregularidad, se recoge en los informes de seguimiento del servicio de vigilancia, junto con los fotogramas que expliquen las diferentes situaciones, con la finalidad de acreditar un posible incumplimiento contractual o de proponer mejoras en la prestación del servicio. A continuación, salvo que medie una petición de autoridad competente o una denuncia en el plazo establecido de 72 horas, las imágenes de las cámaras proceden a eliminarse en el plazo de 30 días, sin perjuicio de que se conserven los informes de seguimiento de incidencias al amparo de las finalidades descritas anteriormente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/8 Por tanto, detectada una incidencia o una irregularidad, se recoge en los informes de seguimiento del servicio de vigilancia los fotogramas que explican las diferentes situaciones; sin que ello, implique la no supresión de las grabaciones de los sistemas de videovigilancia. En definitiva, la inclusión de fotogramas en los informes de seguimiento y verificación del cumplimiento del servicio de videovigilancia y seguridad, que persigue esclarecer e ilustrar las actuaciones descritas en estos, implicaría la realización de un nuevo tratamiento de datos personales (en caso de que los mencionados fotogramas los contuvieran) por parte del responsable. Este nuevo tratamiento no impediría cumplir con los plazos máximos de conservación de las grabaciones establecidos por la normativa vigente. En consecuencia, no hay conservación de las imágenes del sistema de videograbación más allá del plazo legalmente establecido, tampoco se han puesto las imágenes a disposición de un tercero ni se han utilizado para interponer denuncia ante la GUARDIA CIVIL contra la parte reclamante, tal y como se manifiesta en la reclamación presentada, simplemente se tratan de capturas de imagen o fotogramas que se añaden a los informes de seguimiento del servicio de vigilancia que describen los hechos que estos se incluyen y con las que se ilustran los mismos. Dado lo expuesto, no se ha producido una vulneración de la normativa de protección de datos vigente, en relación a la conservación y custodia de las imágenes obtenidas por el sistema de videovigilancia de la reclamada.” El ahora recurrente manifiesta expresamente en su escrito de recurso: “ iv. A su vez, se debe tener en consideración un aspecto no mencionado por el responsable del tratamiento en su respuesta remitida a la AEPD con fecha 27 de octubre de 2023, en relación con la conservación de las grabaciones en su sistema de videovigilancia Se hace mención a la sobreescritura de las grabaciones en sus sistemas de video vigilancia una vez alcanzado el plazo legalmente establecido de 30 días, pero al mismo tiempo, el responsable del tratamiento, ***EMPRESA.2, manifiesta: El responsable del equipo de vigilancia (DSO) puede acceder a visualizar las imágenes en tiempo real y visualizar y extraer grabaciones. Es decir, no se estaría haciendo mención alguna por parte del responsable, ***EMPRESA.2, a la posibilidad de que dichas grabaciones puedan ser extraídas y almacenadas externamente en otros dispositivos, fijos o portátiles, resultando por ello, ser medios diferentes al sistema donde se almacenan “oficialmente” las grabaciones, entendiendo que dicha operación, estaría igualmente afectada por la limitación de conservación de 30 días. (el subrayado es de la AEPD) (…) A través de los hechos descritos, se acredita la posibilidad de eludir la eliminación automática una vez superado el límite de 30 días, pudiendo registrarse externamente dichas grabaciones, y que, a su vez, no existiese ninguna trazabilidad sobre su existencia o si efectivamente se ha efectuado su eliminación.” (el subrayado es de la AEPD) No se entiende bien, si lo que el recurrente quiere dar a entender, es que el responsable del equipo de vigilancia pudo extraer las imágenes del recurrente, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/8 externamente en otros dispositivos fijos o portátiles y almacenarlas por un plazo superior a 30 días. Para ello, no aporta prueba fehaciente alguna, más bien una posibilidad, y si dispusiera de ella, debiera ponerla a disposición de la autoridad. - Por lo que respecta a la denegación del derecho de acceso: Consta en el procedimiento, por haber sido aportado por el recurrente, el Anexo I Respuesta de ***EMPRESA.2 a la solicitud de acceso a datos, de fecha 13/02/2023: ***EMPRESA.3, como responsable del tratamiento del tratamiento de datos de videovigilancia y control de acceso, cumple estrictamente con lo establecido en la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras, “los datos serán cancelados en el plazo máximo de un mes desde su captación”. Por ello, a fecha del ejercicio del derecho de acceso, el responsable del tratamiento comunica al interesado que no conserva de las grabaciones realizadas en los días sobre los que solicita acceso, el 05/07/2022 (Inicio 22:45 horas. Finalización 23:00 horas), el 5/10/2022 (Inicio 14:45 horas. Finalización 15:50 horas) y el 6/10/2022 (Inicio 22:30 horas. Finalización 23:00 horas), y, en consecuencia, no es posible el acceso a la información que solicita. En todo caso, ponemos en su conocimiento que, en relación con los datos recogidos a través del sistema de videovigilancia de ***EMPRESA.3., los interesados son informados, a través de iconos normalizados, que incluyen en una primera capa la información básica requerida y ofrecen en una segunda capa información detallada, incluyendo los plazos de conservación de la información. Además, se informa que ***EMPRESA.3., en cumplimiento de una misión de interés público para la gestión de la seguridad de personas bienes e instalaciones, en cumplimiento de obligaciones contractuales y también legales, que le resultan exigibles como infraestructura crítica para garantizar la seguridad integral, física y lógica, de sus infraestructuras y en cumplimiento de la normativa de protección de datos, de forma accesoria y ocasional, efectúa controles y comparte datos con las Administraciones Públicas y organismos con competencia en la materia, siempre que dicho tratamiento sea procedente y legítimo.” Se reproduce la argumentación de la resolución impugnada por su claridad: “Tal y cómo se expone en el presente documento, ***EMPRESA.2 no conserva las grabaciones obtenidas a través por el sistema de videovigilancia por periodos superiores a 30 días. Por esta circunstancia se deniega el derecho de acceso al interesado A.A.A., que ejercita el derecho el 15 de enero de 2023 y solicita acceso a grabaciones de julio y octubre de 2022. Adicionalmente, se pone en conocimiento de la AEPD que esta información sobre el periodo de supresión de las imágenes grabadas por el sistema de videovigilancia ya había sido trasladada con anterioridad al interesado a través de las respuestas proporcionadas por ***EMPRESA.2 en la atención de los derechos de acceso, ejercitados por A.A.A., y según consta en el Registro interno de ejercicio de derechos “Registro de derechos RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/8 En la respuesta al ejercicio del derecho se informa sobre datos tratados, incluyendo la información relativa a la gestión y tratamiento de los datos obtenidos por el sistema de videovigilancia y de forma expresa se le informa de que estos datos serán cancelados en el plazo máximo de un mes desde su captación. Además, se hace saber al interesado que el tratamiento de sus datos se enmarca en la prestación de los servicios que su empleador presta a la citada, en el ámbito de la vigilancia y la seguridad. En base a esta consideración le informamos que ***EMPRESA.2 trata sus datos para gestionar su acceso a las instalaciones, a fin de garantizar la seguridad de personas, bienes, información y recursos responsabilidad de ***EMPRESA.2. También trata sus datos para gestionar y verificar el adecuado cumplimiento de los servicios de seguridad y vigilancia, y cumplir con las obligaciones legales establecidas para las subcontrataciones de servicios a terceros, su empleador, y todas aquellas que le resultan exigibles a ***EMPRESA.2 como infraestructura crítica, para garantizar la seguridad integral (física y lógica) de sus infraestructuras y el cumplimiento de la normativa de protección de datos. Respecto al tratamiento de sus datos, incluyendo la imagen, se le informa que “…de forma accesoria y ocasional, sus datos personales, en su totalidad o en parte, pueden ser tratados para finalidades vinculadas al control contractual efectuado sobre las actividades que el encargado del tratamiento desarrolla en favor de ***EMPRESA.2, entre ellas, efectuar las comunicaciones, notificaciones e informes de seguimiento y verificación de cumplimiento del servicio de vigilancia y seguridad. En todo caso, los datos de las personas vinculadas a estas actuaciones de seguimiento no son tratados individualmente en ficheros de datos, sino como referencia de las actuaciones informadas”. Queda acreditado en el procedimiento que ***EMPRESA.2 contestó a la solicitud de acceso realizada por el recurrente. III Conclusión En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. IV Obligación de dictar resolución expresa De acuerdo con lo establecido en el artículo 24 de la LPACAP, el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. No obstante, a pesar de que haya transcurrido el plazo legalmente establecido para resolver, la Administración mantiene la obligación de dictar resolución expresa y de notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, incluidos los recursos administrativos que se hayan podido interponer, según dispone el artículo 21.1 de la citada LPACAP. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/8 En los casos de desestimación por silencio administrativo, la resolución expresa posterior al vencimiento del plazo se adoptará por la Administración sin vinculación alguna al sentido del silencio, según dispone el artículo 24.3 de la misma ley. Por tanto, aunque no se resuelva el recurso en plazo, procede emitir la resolución expresa que lo finalice. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A. contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 20 de noviembre de 2024, en el expediente EXP202313159. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contenciosoadministrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 181-071125 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es