1/8 Procedimiento nº.: E/00790/2017 ASUNTO: Recurso de Reposición Nº RR/00654/2017 Examinado el recurso de reposición interpuesto por D. B.B.B. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/00790/2017, y en base a los siguientes HECHOS PRIMERO: Con fecha 19 de junio de 2017, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/00790/2017, procediéndose al archivo de actuaciones. Dicha resolución fue notificada al recurrente en fecha 28 de junio de 2017, según acuse de recibo del servicio de Correos, que figura en el expediente. SEGUNDO: D. B.B.B. (en lo sucesivo el recurrente) ha presentado en el Registro del Gobierno Vasco en fecha 26 de julio de 2017 y fecha de entrada en esta Agencia el 2 de agosto de 2017, recurso de reposición, fundamentándolo básicamente en: - - - - - Que considera desafortunado el que la Agencia haya extraído parte del texto que redactó y se hayan obviado anotaciones realizadas en él, exponiéndolo como una “pataleta personal” en lugar de presentarlo como un cúmulo de anomalías detectadas en su Comunidad. Que denunciaba actuar con abuso de confianza, vulnerar derecho a la intimidad, vulnerar el artículo 5.4 , 10, 4.7, 6 y 15 de la LOPD. Que las actuaciones previas de investigación han consistido en solicitar información al denunciado, mientras que él recopiló múltiple información en textos legales, se entrevistó con la empresa instaladora del CCTV, y otras muchas gestiones más, para realizar la denuncia. Que C.C.C. fue la que realizó la instalación de las diez cámaras autorizadas por la Junta de Propietarios y de las dos que mandó instalar el denunciado sin consultar con nadie. Que resulta extraño no haberles encargado a ellos la adecuación de las cámaras del garaje a la normativa de protección de datos. Que en aplicación del artículo 14 de la LPH debería basarse el nombramiento del responsable del tratamiento y el de las personas autorizadas al acceso a los datos del interesado. Que la instalación de las cámaras en los accesos peatonales que dan a la calle C/......, 1 no fue sometida a votación por la Junta, si no que fue una decisión personal del denunciado, incumpliendo el artículo 4 de la LOPD. Que cuando se produce la grabación de un delito o infracción administrativa que deba ser puesta en conocimiento de una autoridad deberán conservarse las imágenes para ponerlas a su disposición, y a él se le negó esa posibilidad por una decisión arbitraria del denunciado. Que nunca se informó de nada relacionado con el CCTV hasta que lo solicitó por escrito al anterior Presidente de la Comunidad, después de observar las irregularidades que acontecen por parte del denunciado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 - - Que en ningún momento se solicitó a los interesados su consentimiento expreso para que un responsable tratase de sus datos personales, ni se les informó de los derechos ARCO. No se les entregó el modelo de cláusula informativa de la AEPD. Que los denunciados han reconocido públicamente que visionan las imágenes “para ver si hay algo que denunciar”. Que no está de acuerdo con que la Comunidad cumpla el deber de información porque en los accesos peatonales al garaje ubicado en la calle C/......, 1 no hay señalización al respecto. Que el denunciado actuando como responsable no veló por la seguridad de los datos ni por su protección cuando le comunicó que iba a presentar una denuncia por daños causados en su vehículo. Aporta diversa documentación: modelo de cláusula informativa, copia Acta Junta Propietarios, proyecto-presupuesto de C.C.C. , ampliación del sistema CCTV por C.C.C. , fotografías de accesos peatonales sin señalizar, contrato de encargo de tratamiento con acceso a datos de carácter personal, solicitud de información en Junta de Propietarios… FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II El recurrente manifiesta su disconformidad con la resolución, ahora recurrida, en varias cuestiones que serán seguidamente analizadas. En primer lugar, respecto a que considera desafortunado el que la Agencia haya extraído parte del texto que el recurrente redactó, cabe decir que lo único que realiza esta Agencia al respecto es recoger en los hechos de la resolución, las manifestaciones vertidas por el denunciante, sin entrar a realizar ningún tipo de valoración subjetiva al respecto. En segundo lugar, respecto a que las actuaciones previas de investigación han consistido en solicitar información al denunciado, hay que señalar que, el artículo 122 del RD 1720/2007, de 21 de Diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, establece que : “Con anterioridad a la iniciación del procedimiento sancionador, se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación”, o lo que es lo mismo, no existe una obligatoriedad en la realización de dichas actuaciones, sino que deberán llevarse a cabo cuando existan elementos con la suficiente fuerza, que permita entender que, en efecto, se ha producido la infracción alegada. Es más, las SSAN de 8 de abril y 22 de julio de 2010, ponen de relieve que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 aunque los artículos 122 y siguientes del RLOPD se desprende la posibilidad de llevar a cabo las denominadas actuaciones previas con anterioridad a la iniciación del procedimiento sancionador con el objeto de determinar si concurren circunstancias que justifiquen tal iniciación, puede haber sin embargo supuestos en los que, a tenor de las circunstancias concurrente, y desprendiéndose del somero análisis del relato de hechos de la denuncia que los mismos en ningún caso son susceptibles de vulnerar la LOPD, que ni siquiera sea necesario, ni haya justificación ninguna para iniciar dichas actuaciones de inspección. Asimismo al hilo de todo lo anterior, ha de recordarse al recurrente, los principios aplicables al procedimiento sancionador y su iniciación. Los expedientes sancionadores de la Agencia Española de Protección de Datos son expedientes siempre iniciados de oficio por el Director de la Agencia Española de Protección de Datos, de conformidad a lo previsto en el artículo 122.2 del RGLOPD, como así ha mantenido la Audiencia Nacional en sentencias como, entre otras, la dictada en marzo de 2006(REC 319/2004). Por tanto es competencia exclusiva de la Agencia Española de Protección de Datos valorar si existen responsabilidades administrativas que han de ser depuradas en un procedimiento sancionador y, en consecuencia, la decisión sobre su apertura, no existiendo obligación de iniciar procedimiento ante cualquier petición realizada por tercero, sino que la misma ha de basarse en la existencia de elementos que justifiquen dicho inicio de actividad sancionadora. Junto a ello debe tenerse en cuenta el criterio restrictivo mantenido por la Audiencia Nacional en Sentencia de 1 de abril de 2011 acerca de la puesta de la protección de datos al servicio de otros intereses por legítimos que sean: “La seriedad que conlleva el ejercicio de la potestad sancionadora aconseja que se pongan en marcha los mecanismos administrativos y jurisdiccionales correspondientes solo cuando se suponga que se ha producido una verdadera violación del derecho fundamental a la protección de datos”. En tercer lugar, respecto a las cuestiones planteadas por el recurrente relativas a que en aplicación del artículo 14 de la LPH, debería basarse el nombramiento del responsable del tratamiento y el de las personas autorizadas al acceso a los datos del interesado, cabe decir que como ya se recogió en la resolución recurrida: “ los vecinos eligieron a los denunciados durante sucesivos años para ejercer la Presidencia y administración de la comunidad, por lo que en representación de la misma, realizarían los contratos necesarios en nombre de la Comunidad. Circunstancia distinta planteada, por el denunciante, es la relativa al incumplimiento de requisitos de las Actas y las tareas asumidas supuestamente por los denunciados sobre el sistema de videovigilancia no estando de acuerdo la Comunidad, cuestiones éstas que no son de la competencia de esta Agencia”. En cuarto lugar, respecto a las manifestaciones del recurrente relativas a que no está de acuerdo con que la Comunidad cumpla el deber de información porque en los accesos peatonales al garaje ubicado en la calle C/......, 1 no hay señalización al respecto, no cabe nuevamente sino reiterar lo recogido en la resolución recurrida: “En el caso que nos ocupa, se aporta en la documentación aportada por el denunciante, fotografías de la existencia de carteles informativos de zona videovigilada, de conformidad con el artículo 3.
- a)de la Instrucción 1/2006, en relación al artículo 5 de la LOPD, figurando como responsable la A.A.A.. Por lo tanto, la citada comunidad cumple el deber de información recogido en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 artículo 5 de la LOPD. Ahora bien, en cuanto a la ubicación del cartel informativo, no es necesario que se coloque debajo de cada cámara, siendo suficiente conforme a lo dispuesto en el artículo 3
- a)de la Instrucción 1/2006, “Colocar, en las zonas videovigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados” Este requisito se complementa con el criterio establecido por el legislador en la Ley orgánica 4/1997, de 4 de agosto, por la que se regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad en lugares públicos, en cuyo artículo 9.1 prevé que el público será informado de manera clara y permanente de la existencia de videocámaras fijas, sin especificar su emplazamiento… Por otra parte, es preciso tener en cuenta otras circunstancias que pueden condicionar la ubicación del cartel informativo. Frecuentemente su aplicación presentará dificultades debido a que el cartel informador no podría situarse en un espacio ajeno a la propiedad o espacio videovigilado por parte de quien no ostenta la propiedad de dicho espacio. Piénsese por ejemplo en la instalación de una cámara que enfoque de forma proporcionada a la entrada de un inmueble. La persona que pretende acceder a dicho inmueble lee el cartel informativo, pero lógicamente ya está siendo grabada. Para evitarlo se tendrían que instalar carteles fuera de la propiedad y en los diversos sentidos de circulación de los viandantes. Por tanto, los responsables de la videovigilancia difícilmente podrían cumplir con la obligación de informar en los términos propuestos. Por tanto, la falta de previsiones normativas sobre la ubicación de los carteles informativos por las razones señaladas, la aceptación por el legislador del criterio de que la información sobre videovigilancia no especifique el emplazamiento de las cámaras, las dificultades jurídicas y prácticas para facilitar la información en supuestos como el señalado en que la videovigilancia cumple los criterios de proporcionalidad de la Instrucción 1/2006, haría que no se dedujera una clara discordancia con la normativa de protección de datos, al no imponer –con la certeza exigida en vía sancionadora- que los carteles precedan a las cámaras”. Respecto al formulario informativo puedan estar preimpresos y preparados por el responsable del tratamiento, o tener la posibilidad de imprimirlos en el momento de su demanda, bien por tener preparado un documento Word o por tener conexión a Internet que permita acceder a la página web de la Agencia Española de Protección de Datos y poder descargarse el modelo de formulario referido. En quinto lugar, respecto a que la instalación de las cámaras en los accesos peatonales que dan a la calle C/......, 1 no fue sometida a votación por la Junta, cabe decir que en Junta de Propietarios de 23 de mayo de 2009 se acordó por mayoría la instalación de cámaras de viogilancia en el garaje. Posteriormente se ampliaron en el año 2014, dos cámaras más (las denunciadas por el recurrente), siendo indiferente a efectos de esta Agencia el número de cámaras instaladas, siempre que se cumplan con los requisitos legalmente establecidos, como es en el caso que nos ocupa. A efectos de legitimación del sistema de videovigilancia, esta Agencia entiende que se acordó por mayoría la instalación de cámaras, con independencia a efectos de la normativa de protección de datos, que se hayan ido instalando progresivamente las mismas o el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 número de ellas. Al hilo de lo recogido, cabe citar la Sentencia dictada por la Audiencia Nacional de fecha 19 de mayo de 2012, que recoge en el Fundamento de Derecho Segundo lo siguiente: “En relación al consentimiento para la instalación de cámaras en garajes para evitar actos de vandalismo, esta Sala se ha pronunciado recientemente en el sentencia correspondiente al recurso 591/2009: Si bien el artículo 6.1 de la Ley Orgánica 15/1999 de 13 de diciembre, de Protección de Datos de Carácter Personal, requiere el consentimiento inequívoco del afectado para tratar sus datos de carácter personal, salvo que la Ley disponga otra cosa, dicho consentimiento ha de ser inequívoco, en cuanto no quepa duda de que se efectivamente ha sido prestado, más inequívoco no significa previo (tal y como sí exige, no obstante, el artículo 11 de la LOPD para la comunicación o cesión de datos personales)sino que también puede otorgarse con posterioridad al tratamiento de los datos, siempre que su existencia no ofrezca duda. Se entendía que el consentimiento manifestado por el acuerdo de la Junta de la Comunidad de Propietarios, aún efectuado después de la instalación de las cámaras era suficiente para entender prestado válidamente el consentimiento: “tal consentimiento inequívoco, aunque posterior a los hechos y en definitiva a la instalación y grabación de imágenes por las mencionadas cámaras de videovigilancia, se otorgó por los vecinos de la Comunidad de Propietarios en la Junta General Ordinaria celebrada el 8 de enero de 2008 (…). Junta en la que el Presidente, tras poner los hechos en conocimiento de los vecinos, e informarles de que con la instalación particular de tales cámaras se había localizado a la persona que realizaba los actos vandálicos, plantea que los gastos de la instalación sean asumidos por la Comunidad, por haber redundado en beneficio de todos, aprobándose por mayoría la sunción de tales gastos originados por la instalación de las repetidas cámaras de videovigilancia, Junta en la que además se acordó pedir presupuesto de vigilancia para la instalación de cámaras , peo que abarcara todo el garaje…” Por último, respecto a las manifestaciones del recurrente relativas a que cuando se produce la grabación de un delito o infracción administrativa que deba ser puesta en conocimiento de una autoridad deberán conservarse las imágenes para ponerlas a su disposición, y a él se le negó esa posibilidad por una decisión arbitraria del denunciado, no cabe sino reiterar lo recogido el Fundamento de Derecho IV de la resolución, ahora recurrida: “A este respecto, manifiesta el denunciante que ambos han tratado los datos del sistema de videovigilancia sin autorización ni consentimiento de la Junta de Propietarios. A este respecto, y según toda la documentación aportada por el denunciante cabe decir en primer lugar, que el responsable de todo el sistema de videovigilancia es la Comunidad de Propietarios, que tiene personas físicas como representantes. A este respecto en las Junta de propietarios del año 2003 se nombra como PresidenciaAdministración General a Dª. D.D.D.. En el año 2005 se la vuelve a elegir. En el año 2006 se elige como Presidente a D. C.C.C. y a Dª. Dª. D.D.D. como secretaria y tesorera, ejerciendo la Administración. En el año 2008 se vuelve a elegir a estos últimos en los mismos cargos. En el año 2009 cuando se acuerda la instalación de las cámaras siguen figurando las mismas personas denunciadas en los citados cargos e igualmente en las Acta del 2011, hasta que en el 2015 al no existir voluntarios se realiza por sorteo. Por lo tanto, los vecinos eligieron a los denunciados durante sucesivos años para ejercer la Presidencia y administración de la comunidad, por lo que en representación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 de la misma, realizarían los contratos necesarios en nombre de la Comunidad. Circunstancia distinta planteada, por el denunciante, es la relativa al incumplimiento de requisitos de las Actas y las tareas asumidas supuestamente por los denunciados sobre el sistema de videovigilancia no estando de acuerdo la Comunidad, cuestiones éstas que no son de la competencia de esta Agencia. Por último respecto al acceso a las imágenes captadas por las cámaras de videovigilancia por parte del denunciante cabe decir que, el ejercicio del derecho de acceso es personalismo, lo que significa que el titular de los datos personalmente deberá dirigirse a dicha entidad, salvo poder expreso y por escrito del titular de los datos y fotocopia de los dos DNI (del titular de los datos y su representante) utilizando cualquier medio que permita acreditar el envío y la recogida de su solicitud, para el ejercicio de sus derechos, acompañando copia de su D.N.I. En cuanto al acceso a imágenes hay que tener en cuenta la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras, que regula este supuesto de acceso, en su artículo 5, referido a los derechos de las personas, determina: “1. Para el ejercicio de los derechos a los que se refieren los artículos 15 y siguientes de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, el/la afectado/a deberá remitir al responsable del tratamiento solicitud en la que hará constar su identidad junto con una imagen actualizada. El ejercicio de estos derechos se llevará a cabo de conformidad con lo dispuesto en la citada Ley Orgánica y su normativa de desarrollo. 2. El responsable podrá facilitar el derecho de acceso mediante escrito certificado en el que, con la mayor precisión posible y sin afectar a derechos de terceros, se especifiquen los datos que han sido objeto de tratamiento. Posteriormente en el supuesto de que en el plazo de un mes no recibiese contestación o esta fuese insatisfactoria, puede presentarse reclamación de tutela de derechos ante esta Agencia Española de Protección de Datos, acompañando la documentación que acredite la solicitud y recepción del referido ejercicio del derecho ante la entidad correspondiente. Asimismo, el derecho de acceso reviste caracteres especiales en materia de grabaciones de imágenes. Así, el artículo 27 del Reglamento de desarrollo de la Ley Orgánica 15/1999, dispone que : “1. El derecho de acceso es el derecho del afectado a obtener información sobre si sus propios datos de carácter personal están siendo objeto de tratamiento, la finalidad del tratamiento que, en su caso, se esté realizando, así como la información disponible sobre el origen de dichos datos y las comunicaciones realizadas o previstas de los mismos”. Ahora bien, debe tenerse en cuenta que la grabación realizada puede contener no solamente imágenes de la persona que ejerce el derecho de acceso sino de terceras personas siendo así que la visualización o la entrega de una copia de la grabación que contenga imágenes de personas distintas a quien ejerce dicho derecho de acceso constituirá una cesión de datos, definida por el artículo 3
- j)de la LOPD como “Toda revelación de datos realizada por persona distinta del interesado”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 Tomando en consideración la posibilidad de que el otorgamiento del acceso pueda dar lugar a una cesión de datos de terceros, esta Agencia ha venido sosteniendo, que el derecho de acceso reviste características especiales en el ámbito de la videovigilancia, quedando restringidos los sistemas de consulta, tal y como prevé el número 2 del artículo 28 de modo que no supone un derecho a obtener copia de la grabación efectuada ni siquiera a una visualización de la misma, sino solamente a tener conocimiento de aquellos aspectos a que se refiere el artículo 27.1 del Reglamento, anteriormente transcrito”. En el caso que nos ocupa, no consta por la documentación aportada, que el recurrente ejercitara formalmente su derecho de acceso, en las condiciones descritas anteriormente, ante el responsable del fichero. Así, en el Acta de fecha 18 de marzo de 2017 se recoge: “En el segundo requerimiento se personaron dos agentes de la Policía Municipal en nuestro domicilio con una solicitud de videograbación acotada en fecha y horas porque el vecino B.B.B. (1ºA) había presentado una denuncia por “daños en su vehículo”. Como se solicitó (en torno a un mes más tarde) bastante tiempo después de cuando se debió de producir el hecho y siendo el sistema de videograbación completamente automático y en bucle ya había regrabado encima de los días solicitados por un tema físico debido al tamaño del disco duro que tiene una limitación de grabación cercana a los 18 días”. A este respecto debe señalarse, que la normativa al respecto, no indica un plazo mínimo de conservación de las imágenes, pero sí un plazo máximo. Así esta Agencia, se ha pronunciado en diversas ocasiones sobre esta cuestión, señalando que respecto al plazo, sobre el que han de conservarse las imágenes, la elección de dicho plazo, no es arbitraria y sino que encuentra su fundamento tanto en la Instrucción 1/1996, sobre ficheros automatizados establecidos con la finalidad de acceder de controlar el acceso a los edificios, que en su norma quinta prescribe que “Los datos de carácter personal deberán ser destruidos cuando haya transcurrido el plazo de un mes, contado a partir del momento en que fueron recabados”, como en la propia Instrucción 1/2006 , de 8 de noviembre, de la Agencia Española de Protección de Datos, Tratamiento de datos personales con fines de vigilancia a través de cámaras o videocámaras” que recoge en su artículo 6: “Los datos serán cancelados en el plazo máximo de un mes desde su captación”. Dicho plazo debe contemplarse como el plazo máximo de conservación pudiendo procederse a su cancelación antes de dicho plazo en cualquier momento, al no contemplar la norma plazo mínimo de conservación. Por lo tanto, el sistema de videovigilancia de la Comunidad, cuando le fueron solicitadas las imágenes por la Policía Municipal, ya había procedido a su borrado al tener una limitación de grabación de 18 días. A la vista de lo expuesto, en el presente recurso no se han aportado nuevos hechos o argumentos jurídicos que hagan reconsiderar la validez de la resolución impugnada, por lo que procede su desestimación. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por D. B.B.B. contra la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 resolución de esta Agencia dictada con fecha 19 de junio de 2017, en el expediente de actuaciones previas de inspección E/00790/2017. SEGUNDO: NOTIFICAR la presente resolución a D. B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es