REPOSICION-E-01241-2015

1/9 Procedimiento nº.: E/01241/2015 ASUNTO: Recurso de Reposición Nº RR/00444/2015 Examinado el escrito remitido por Dª. C.C.C. que sin calificarlo de recurso de reposición se deduce su verdadero carácter, de conformidad con el artículo 110.2 de la Ley 30/1992, contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/01241/2015, y en base a los siguientes HECHOS PRIMERO: Con fecha 11 de mayo de 2015, se dictó resolución por el Director de la Agencia en el expediente de actuaciones previas de inspección E/01241/2015, procediéndose al archivo de actuaciones al no apreciarse vulneración a la normativa de protección de datos. Dicha resolución fue notificada a la recurrente en fecha 27 de mayo de 2015, según acuse de recibo de Correos que figura en el expediente. SEGUNDO: Dª. C.C.C. (en lo sucesivo el recurrente) ha presentado en esta Agencia, en fecha 2 de junio de 2015, recurso de reposición, fundamentándolo básicamente en: - - - - Que existen 2 cámaras que enfocan a la vía pública. Que remite video donde se ve claramente que una cámara graba la calle por completo. Que el monitor se encuentra situado en mitad de la caja central del comercio donde todo el mundo que trabaje en la empresa puede entrar, además siendo visible por el público en general pues mira al exterior. Que los servicios a la empresa de seguridad SERVICIO ELECTROTECNICOS DE CANTABRIA, S.L., han sido contratados en el mes de abril cómo pronto, fecha posterior a su denuncia y jamás ha venido nadie de dicha empresa a comprobar sí las imágenes son grabadas o no, ni el estado y situación de las cámaras. Que el jefe administrativo le ha dicho que el 20 de enero ha visto imágenes de la denunciante del mes de diciembre muy comprometidas, imágenes que posteriormente el Administrador le enseñó para intentar que renunciara a su puesto y que ante su negativa la sancionó, recurriendo ante el Juzgado Social nº 3 de Santander, ganando el recurso. Que en el mes de marzo el jefe administrativo les dio a firmar el papel informativo de la instalación de las cámaras con fecha 20 de enero, de los 25 empleados dos lo firmaron tal cual pero el resto cambió la fecha. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas ya por la recurrente en su denuncia, relativas a la falta de información del sistema de videovigilancia a los empleados ni clientes y que las imágenes son enseñadas a terceras personas, debe señalarse que dichas alegaciones ya han sido tenidas en cuenta durante la tramitación de las Actuaciones Previas de Investigación, y se desestimaron en la resolución impugnada en el Fundamento de Derecho III y IV, tal como se transcriben a continuación: <<III En el presente expediente se denuncia por parte de Dª. C.C.C., la existencia de un sistema de videovigilancia instalado en la entidad HOGAR VALVERDE HOTEL S.A., donde la denunciante presta sus servicios, sin que los trabajadores ni clientes hayan sido informados, siendo las imágenes visionadas por terceros. Ahora bien, en esta cuestión, en primer lugar se plantea si es necesario el consentimiento inequívoco de los trabajadores cuando se instalan cámaras de videovigilancia en el centro de trabajo, al amparo del artículo 6.1 de la LOPD. A este respecto es necesario realizar varias aclaraciones respecto al consentimiento en el ámbito laboral. Así, el consentimiento, elemento base en el tratamiento de los datos, entraña cierta complejidad, especialmente cuando nos referimos al ámbito laboral, dado que resulta de difícil cumplimiento que en ese ámbito concurran los requisitos legalmente previstos para considerar que se ha obtenido libremente el consentimiento. El artículo 3

1. h)de la LOPD lo define como “Toda manifestación de voluntad libre, inequívoca, específica e informada mediante la que el interesado consienta el tratamiento de datos personales que el conciernen”. Del concepto de consentimiento se desprende la necesaria concurrencia para que el mismo pueda ser considerado conforme a derecho de los cuatro requisitos enumerados en dicho precepto. Un adecuado análisis del concepto exigirá poner de manifiesto cuál es la interpretación que ha de darse a estas cuatro notas características del consentimiento, tal y como la misma ha indicado en numerosas Resoluciones de la AEPD, siguiendo a tal efecto los criterios sentados en las diversas recomendaciones emitidas por el Comité de Ministros del Consejo de Europa en relación con la materia que nos ocupa. A la luz de dichas recomendaciones, el consentimiento habrá de ser:
2. a)Libre, lo que supone que el mismo deberá haber sido obtenido sin la intervención de vicio alguno del consentimiento en los términos regulados por el Código Civil. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9
3. b)Específico, es decir referido a un determinado tratamiento o serie de tratamientos concretos y en el ámbito de las finalidades determinadas, explícitas y legítimas del responsable del tratamiento, tal y como impone el artículo 4.2 de la LOPD.
4. c)Informado, es decir que el afectado conozca con anterioridad al tratamiento la existencia del mismo y las finalidades para las que el mismo se produce. Precisamente por ello el artículo 5.1 de la LOPD impone el deber de informar a los interesados de una serie de extremos que en el mismo se contienen.
5. d)Inequívoco, lo que implica que no resulta admisible deducir el consentimiento de los meros actos realizados por el afectado (consentimiento presunto), siendo preciso que exista expresamente una acción u omisión que implique la existencia del consentimiento. La concurrencia de estos requisitos resulta de difícil cumplimiento en el ámbito laboral. En consecuencia, vista la dificultad que entraña obtener el consentimiento, la Agencia Española de Protección de Datos, ha entendido que lo procedente es acudir a las normas que legitimen el tratamiento de los datos. Por tanto, en el ámbito laboral, el Ordenamiento Jurídico Español, regula en el Estatuto de los Trabajadores, aprobado por Real Decreto Legislativo de 24 de Octubre de 1995, los poderes de Dirección del empresario y es en ése articulado donde hallamos la oportuna legitimación. El artículo 20.3 del Estatuto de los Trabajadores (ET) dispone que “El empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad humana y teniendo en cuenta la capacidad real de los trabajadores disminuidos, en su caso”. De todo ello se desprende que el empresario, en este caso la entidad denunciada, se haya legitimada para tratar las imágenes de los trabajadores en el ámbito laboral, al amparo del artículo 20.3 del ET. Ahora bien, esta legitimación no es absoluta y exige por parte del empresario la obligación de informar de dicho tratamiento a los trabajadores(cumpliendo así con el deber de informar previsto tanto en el artículo 10 de la Directiva 95/46/CE como en el artículo 5 de la LOPD.). Es necesario en este punto diferenciar si la instalación de la cámara en el centro de trabajo es como medida de vigilancia y control del empresario, para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales o si es una medida de seguridad para proteger la instalación y sus empleados. En el primer caso, es decir cuando el objetivo de la instalación de las cámaras va dirigido al cumplimiento por los trabajadores de sus deberes laborales, se aplicaría toda la normativa y jurisprudencia recogida “ut supra”, es decir sería necesario por parte del empresario, garantizar el derecho de información en la recogida de las imágenes, mediante información a los trabajadores del alcance específico que se va a dar a las mismas para el control laboral. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 En el segundo caso, es decir cuando la finalidad es de vigilancia y protección de las instalaciones y personal de la empresa, es necesario el cumplimiento de la LOPD, el Reglamento de Desarrollo de la LOPD y la Instrucción 1/2006. Por lo tanto, debería cumplirse, entre otros, el deber de información recogido en el artículo 5 de la LOPD, disponiendo de distintivos informativos de zona de videovigilancia acordes a la Instrucción 1/2006 e impresos informativos. Sin embargo, en el caso que nos ocupa, el representante de la entidad denunciada ha manifestado que la finalidad del sistema de videovigilancia es la seguridad, sin que se aportan pruebas por parte de la denunciante que desvirtúen esta afirmación. Así, el tratamiento de las imágenes por parte del responsable, obliga a que se cumpla con el deber de informar a los afectados, en los términos establecidos en el artículo 5.1 de la LOPD el cual reza lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
6. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
7. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
8. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
9. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
10. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante”. En cuanto al modo en que hay de facilitarse la información recogida en el artículo 5 de la LOPD, debe tenerse en cuenta el artículo 3 de la Instrucción 1/2006, que establece lo siguiente: “Los responsables que cuenten con sistemas de videovigilancia deberán cumplir con el deber de información previsto en el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre. A tal fin deberán:
11. a)Colocar, en las zonas videovigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados y
12. b)Tener a disposición de los/las interesados/as impresos en los que se detalle la información prevista en el artículo 5.1 de la Ley Orgánica 15/1999. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 El contenido y el diseño del distintivo informativo se ajustará a lo previsto en el Anexo de esta Instrucción.” “ANEXO1. El distintivo informativo a que se refiere el artículo 3.
13. a)de la presente Instrucción deberá de incluir una referencia a la «LEY ORGÁNICA 15/1999, DE PROTECCIÓN DE DATOS», incluirá una mención a la finalidad para la que se tratan los datos («ZONA VIDEOVIGILADA»), y una mención expresa a la identificación del responsable ante quien puedan ejercitarse los derechos a los que se refieren los artículos 15 y siguientes de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal.” A este respecto, la entidad denunciada, manifiesta que las cámaras instaladas no efectúan grabaciones siendo visualizadas a tiempo real y por tanto, no genera un fichero. Así, la reproducción de imágenes a tiempo real, aunque éstas no se graben, suponen un tratamiento de datos personales al amparo, no sólo desde el ámbito de aplicación de la Instrucción 1/2006, sino de la Ley Orgánica 15/1999. Ahora bien, sobre la cuestión sobre si este tipo de tratamiento, genera o no fichero, es preciso indicar que el artículo 7.2 de la Instrucción 1/2006, establece: “A estos efectos, no se considerará fichero el tratamiento consistente exclusivamente en la reproducción o emisión de imágenes en tiempo real”. En consecuencia, al amparo de lo dispuesto en los artículos 3 y 7.2 de la Instrucción 1/2006, la utilización de sistemas de videocámaras con fines de seguridad, que no graban imágenes, constituyen un tratamiento de datos que obliga a informar del mismo, pero no genera ningún fichero, si bien esto no exime del cumplimiento del resto de deberes establecidos por la LOPD y la instrucción 1/2006. No obstante, si la entidad denunciada quisiera proceder a la grabación de las imágenes debería previamente realizar la inscripción del correspondiente fichero de videovigilancia en el Registro de la Agencia Española de Protección de Datos. En el caso que nos ocupa, la sociedad denunciada, ha aportado fotografía del cartel informativo de la existencia de las cámaras, ubicado en el establecimiento, acorde al que hace referencia el citado artículo 3.
14. a)de la Instrucción 1/2006, en relación al artículo 5 de la LOPD. Asimismo, aporta modelo de cláusula informativa a disposición de los interesados de conformidad con el artículo 3.
15. b)de la citada Instrucción. Por lo tanto la entidad denunciada cumple con el deber de información recogido en el artículo 3.
16. a)de la Instrucción 1/2006, en relación al artículo 5 de la LOPD, informando tanto a los clientes del establecimiento como a sus trabajadores de la existencia y finalidad del sistema de videovigilancia instalado, sin que conste su utilización a efectos de control laboral ni se informe, en consecuencia, del uso de sus C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 imágenes a tal fin. IV Por otro lado, respecto a las manifestaciones de la denunciante de que el denunciado ha enseñado las imágenes captadas por las cámaras a otros compañeros de la denunciante, hay que señalar que el artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), establece que “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero, o en su caso, con el responsable del mismo”. El deber de secreto que incumbe a los responsables de los ficheros y a quienes intervienen en cualquier fase del tratamiento, recogido en el artículo 10 de la LOPD, comporta que el responsable de los datos almacenados o tratados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la protección de datos a que se refiere la Sentencia del Tribunal Constitucional 292/2000 y, por lo que ahora interesa, comporta que los datos personales no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley. Este deber de guardar secreto, que incumbe a los responsables de ficheros y a quienes intervengan en cualquier fase del tratamiento, incluye el deber de guardarlos, y lo contempla como obligación que subsistirá aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo. Ahora bien, en el supuesto denunciado debe tenerse en cuenta que el Tribunal Constitucional viene manteniendo que los principios y garantías del procedimiento judicial penal son, en principio y con las oportunas modulaciones, aplicables al procedimiento administrativo sancionador, dado que también este es manifestación del ordenamiento punitivo del Estado, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “Sólo podrán ser C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” Asimismo, se debe tener en cuenta, en relación con el principio de presunción de inocencia lo que establece el artículo 137 de LRJPAC: “1. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” En definitiva, la aplicación del principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y comprobado la existencia de una prueba de cargo acreditativa de los hechos que motivan esta imputación. En este punto procede traer a colación la Sentencia de la Audiencia Nacional de fecha 25/05/2001 que señala que “de la valoración de la prueba obrante en el expediente administrativo se llega a la conclusión que no ha quedado debidamente acreditado este hecho integrador del tipo, es decir no se prueba que el Banco entregara al Sr... el respectivo extracto, suscitándole este hecho concreto serias dudas, frente a la exigible certidumbre”. Y concluye afirmando que sin negar que pudieron producirse los hechos como indica la denunciante, tampoco puede rechazarse la posibilidad que el extracto no le fuera entregado al marido por el Banco, sino que aquel lo obtuviera aprovechando alguna visita al domicilio o mediante la actuación de algún familiar, dicho ello en términos de pura hipótesis”. De acuerdo con la citada doctrina jurisprudencial cabe concluir que, en el presente caso, no se han aportado evidencias firmes de los que pueda deducirse que el denunciado, haya vulnerado el deber de secreto. La Constitución Española, considera, en su artículo 24.2, el derecho a la presunción de inocencia como un derecho fundamental: “2. Asimismo, todos tienen derecho al Juez ordinario predeterminado por la ley, a la defensa y a la asistencia de letrado, a ser informados de la acusación formulada contra ellos, a un proceso público sin dilaciones indebidas y con todas las garantías, a utilizar los medios de prueba pertinentes para su defensa, a no declarar contra sí mismos, a no confesarse culpables y a la presunción de inocencia” (el subrayado es de la Agencia Española de Protección de Datos). Conforme a lo anterior, el Tribunal Supremo señala, en su Sentencia de fecha 26/10/98, el derecho a la presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados – no puede tratarse de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 ni habría manera de determinar si el proceso deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” En tal sentido, el Tribunal Constitucional, en su Sentencia 24/1997, establece que “los criterios para distinguir entre pruebas indiciarias capaces de desvirtuar la presunción de inocencia y las simples sospechas se apoyan en que:
17. a)La prueba indiciaria ha de partir de hechos plenamente probados.
18. b)Los hechos constitutivos de delito deben deducirse de esos indicios (hechos completamente probados) a través de un proceso mental razonado y acorde con las reglas del criterio humano, explicitado en la sentencia condenatoria (SSTC 174/1985, 175/1985, 229/1988, 107/1989, 384/1993 y 206/1994, entre otras)”. En el presente caso, en las actuaciones previas de investigación realizadas por los Servicios de Inspección de esta Agencia, no se ha podido obtener pruebas que corroboren y acrediten que el denunciado vulnerara el deber de secreto al que se refiere el artículo 10 de la LOPD>>. III Respecto a las manifestaciones de la recurrente relativas a que los servicios a la empresa de seguridad SERVICIO ELECTROTECNICOS DE CANTABRIA, S.L.., han sido contratados en el mes de abril cómo pronto, fecha posterior a su denuncia y jamás ha venido nadie de dicha empresa a comprobar sí las imágenes son grabadas o no, ni el estado y situación de las cámaras, cabe decir que en contra de los manifestado por la recurrente, se aportó por el denunciado copia del contrato de arrendamiento de servicio de seguridad con la empresa A.A.A.., en fecha 19 de noviembre de 2009, para la instalación del sistema de videovigilancia. Por último, respecto a las manifestaciones de la recurrente relativas a la ubicación del monitor y la captación supuestamente de imágenes de la vía pública a través de las cámaras exteriores (aportando video de las imágenes captadas supuestamente por el monitor del sistema), cabe decir que se trata de hechos nuevos que no fueron inicialmente denunciados ni investigados y que dieron lugar a la resolución del expediente ahora recurrido. Por lo tanto, la recurrente si lo estima conveniente podrá interponer nueva denuncia con los nuevos hechos denunciados ante esta Agencia. A la vista de lo expuesto, se procede a la desestimación del presente recurso de reposición. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Dª. C.C.C. contra la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 resolución de esta Agencia dictada con fecha 11 de mayo de 2015, en el expediente de actuaciones previas de inspección E/01241/2015. SEGUNDO: NOTIFICAR la presente resolución a Dª. C.C.C.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es