1/6 Procedimiento nº.: E/01372/2015 ASUNTO: Recurso de Reposición Nº RR/00066/2016 Examinado el recurso de reposición interpuesto por D. A.A.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/01372/2015, y en base a los siguientes HECHOS PRIMERO: Con fecha 23 de diciembre de 2015, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/01372/2015, procediéndose al archivo de actuaciones. Dicha resolución fue notificada al recurrente en fecha 4 de enero de 2016, según acuse de recibo del servicio de Correos que figura en el expediente. SEGUNDO: D. A.A.A. (en lo sucesivo el recurrente) ha presentado en la correspondiente oficina de Correos en fecha 20 de enero de 2016 y fecha de entrada en esta Agencia el 25 de enero de 2016, recurso de reposición, fundamentándolo básicamente en: - - - - Que no se contesta al punto segundo de la denuncia relativo a las funcionalidades técnicas del sistema implantado y su uso, ya que este permite saber en tiempo real que personas hablan con los delegados del Comité de empresa. Que el conjunto del sistema implantado por la empresa, al establecer un código por cada persona, permite a través de los dispositivos de radio frecuencia el control y seguimiento por rastreo individual en tiempo real por internet, así como la localización individual en los archivos de grabación. Si no fuera así, dicho sistema no sería viable, pues no tiene sentido implantar 33 cámaras sin los sistemas de radiofrecuencia para detectar en tiempo real los blancos seleccionados. Por lo tanto, el exceso de cámaras solo sería viable si de dispusiera de una sala con 33 pantallas de TV con varias personas visualizándolas permanentemente. Que este argumento y las funciones de los dispositivos deja clara que el conjunto del sistema implantado cumple con la finalidad del control y seguimiento individual, por lo tanto son datos de carácter personal. Solicita que se conteste al punto segundo de la denuncia y que se certifique por técnicos de la AEPD las propiedades combinadas del conjunto de los sistemas implantados, inspeccionando los PC y los móviles de los responsables del fichero incluyendo al director general. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II El recurrente manifiesta su disconformidad con la resolución, ahora recurrida, en varias cuestiones que serán seguidamente analizadas. En primer lugar, respecto a las manifestaciones del recurrente relativas a que no se contesta al segundo punto de la denuncia planteada, relativo a las funcionalidades técnicas del sistema implantado que consta de cámaras y un sistema de localización por radiofrecuencia, considerando el recurrente que no tiene sentido implantar el sistema de cámaras sin la utilización conjunta de los sistemas de radiofrecuencia de lo que se deriva que la finalidad de todo el conjunto del sistema implantado es el control y seguimiento individual de cada trabajador cabe decir que, dichas alegaciones son manifestaciones que requieren de prueba. Hemos de tener en cuenta, que, en nuestro derecho, el principio de la carga de la prueba de los hechos denunciados le corresponde al denunciante, al que le corresponde probar los hechos en que sustenta sus peticiones, para así permitir iniciar actuaciones que pudieran concretarse en un procedimiento sancionador. El propio Tribunal Constitucional, en su sentencia 76/1990, considera que para quebrar el derecho a la presunción de inocencia aplicable a todo sujeto de derecho, es necesario “ que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. Asimismo, la valoración de la prueba debe someterse a los criterios generales de valoración admitidos en Derecho, siendo totalmente aplicables los principios de la libre valoración probatoria e incluso el de la valoración conjunta de la practicada; si bien la valoración y eficacia de dicha prueba en esa vía, no vincula a la Jurisdicción Contenciosa-Administrativa, la cual puede separarse de la valoración efectuada en sede administrativa, y ello, con el material probatorio que considere pertinente, tanto el actuado administrativamente por el interesado, cuanto por la prueba procesal misma en su sede jurisdiccional, en la que debemos considerar comprendido en cuanto a su valoración, las actuaciones de la Administración ante la que ahora se recurre, formalizadas en su correspondiente expediente. En el presente caso el establecimiento del sistema de cámaras y equipos de control de presencia por parte de la entidad denunciada COFAGA respondió al cumplimiento del RD 782/2013 sobre distribución de medicamentos de uso humano y la Directiva Europea de 05/11/2013 sobre prácticas de correcta distribución de medicamentos para uso humano, que incorporan la obligación de asegurar que solo tenga acceso a los almacenes personal autorizado, a fin de garantizar la buena conservación de los mismos así como para velar por la seguridad física de todo el personal de COFAGA , por el patrimonio y mercancía de la misma. Por tanto el sistema de equipos de control de presencia así como la actualización y mejora del sistema de cámaras respondió a la necesidad de dar cumplimiento a la normativa establecida al respecto y la obligación de la empresa de prevenir el deterioro de mercancía, instalaciones y seguridad del personal, sin que se hayan aportado pruebas por parte del recurrente que desvirtúen las afirmaciones de la citada entidad y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 acrediten, como manifiesta el recurrente, que dichos sistemas son utilizados conjuntamente para otras finalidades distintas como son el control individual de cada trabajador. Así, como ya se recogió en la resolución recurrida, el artículo 20.3 del texto refundido de la Ley del Estatuto de los Trabajadores aprobado por Real Decreto Legislativo 1/1995, de 24 de marzo, dispone: “El empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad humana y teniendo en cuenta la capacidad real de los trabajadores disminuidos en su caso”. Así, la aplicación del artículo 20.3 ET no legitima por sí solo el tratamiento de las imágenes, si bien este será posible, aún sin contar con el consentimiento del afectado en caso de que el trabajador haya sido debidamente informado de la existencia de esta medida, debiendo además ser claro que, conforme a lo exigido por el artículo 4.2 LOPD, los datos no podrán ser utilizados para fines distintos. En el caso que nos ocupa, la entidad denunciada dispone de carteles localizados en diferentes zonas de las instalaciones acordes al artículo 3.
- a)de la Instrucción 1/2006, en relación al artículo 5 de la LOPD y cláusula informativa a disposición de los interesados, de conformidad con el artículo 3
- b)de la citada Instrucción. En dicha cláusula se recoge “Que sus datos personales se incorporarán a un fichero denominado “VIDEOVIGILANCIA” y serán tratados con la finalidad de seguridad a través de un sistema de videovigilanca”. Asimismo los trabajadores fueron informados de la finalidad por la cual se han instalado las cámaras de seguridad y el control de acceso. COFAGA comunica que llevaron a cabo las siguientes acciones: - Reuniones informativas mantenidas con el Comité de Empresa en las fechas 10 de junio, 4 de julio y 1 de octubre de 2014, con objeto de informar sobre el control de acceso y cámaras de vigilancia. - Información entregada al Comité de Empresa en relación a la instalación de cámaras en los almacenes y equipos de control de presencia, emitida en las siguientes fechas: 08/05/2014,02/06/2014,11/06/2014,04/07/2014,29/07/2014,30/09/2014 (ampliación de información a requerimiento de ITSS),03/10/2014,31/10/2014 y 13/11/2014. En la comunicación de fecha 03/10/2014 al Comité de empresa, se les adjunta certificado de la empresa de seguridad PROTEL indicando que no existe ningún tipo de interconexión entre el sistema de control de acceso y el sistema de circuito cerrado de T.V. El comunicado de fecha 31/10/2014 se reitera que: “En lo que respecta a sistema de control de acceso, tal y como se les ha puesto de manifestó en los escritos de fechas 30/09/2014 y 03/10/2014 y con las certificaciones emitidas por la empresa Protel Sistemas de Seguridad aportada junto a dichas comunicaciones: -Que no existe ningún tipo de interconexión ni vinculación entre los sistemas de control de acceso y el sistema de circuito cerrado de TV, funcionando cada uno de ellos de forma totalmente independiente del otro. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 -La unidad de control de acceso que portarán los trabajadores es una mera “llave electrónica” o “identificación”. -Dicha unidad de control de acceso no tiene geolocalización ni ningún sistema de grabación, por lo que no permite detectar la presencia en las diferentes zonas de almacén ni grabar sonido/posición. Asimismo, es preciso indicarles que la implantación del sistema de control de acceso obedece a una obligación legal tal y como reconoce la propia Administración ya que en el informe de inspección BPD de fecha 30/09/2014, con entrada en registro 1/10/14, realizado por inspectores farmacéuticos de la Xunta de Galicia en nuestro almacén de Lugo indican como deficiencias detectadas” respecto a los locales no disponen de sistema de control de acceso ni registro de visitas” y en el punto de recomendaciones de mejora indican “Instalar alarma de control de acceso a las instalaciones” .(…) - Con fecha 19 de noviembre de 2014, se informa mediante exposición en el tablón de anuncios (dirigido a todo el personal) de la puesta en marcha del control de accesos a partir del 24/11/2014 y del sistema de cámaras de seguridad a partir del 01/12/2014. La comunicación de fecha 19/11/2014, firmada y sellada por la Dirección, se indica además de las fechas de puesta en funcionamiento mencionadas, las normas de acceso. -Por último, se entregó de forma individual a cada empleado, una comunicación con la fecha de entrada en funcionamiento del sistema de control de acceso y de las cámaras de seguridad. Por lo tanto la entidad denunciada cumplió con el deber de información recogido en el artículo 3.
- a)de la Instrucción 1/2006, en relación al artículo 5 de la LOPD, informando tanto a las personas que puedan acceder a las instalaciones como a sus trabajadores de la existencia y finalidad del sistema de videovigilancia y del control de accesos instalado, sin que conste su utilización a efectos de control laboral ninguno de los dos sistemas existentes. En segundo lugar respecto a las manifestaciones del recurrente relativas a que los sistemas atentan al derecho a la intimidad, dignidad y protección de datos, cabe decir que la Sentencia del Tribunal Constitucional 170/2013, de 7 de octubre de 2013 recogía “que la noción de intimidad constitucionalmente protegida es un concepto de carácter objetivo o material, mediante el cual el ordenamiento jurídico designa y otorga protección al área que cada uno se reserva para sí o para sus íntimos, un «ámbito reservado de la vida de las personas excluido del conocimiento de terceros» en contra de su voluntad (STC 10/2002, de 17 de enero, FJ 5; o SSTC 127/2003, de 30 de junio, FJ 7; y 189/2004, de 2 de noviembre, FJ 2) (...). “(…)Hemos tenido ocasión de precisar que el ámbito de cobertura de este derecho fundamental viene determinado por la existencia en el caso de una expectativa razonable de privacidad o confidencialidad. En concreto, hemos afirmado que un «criterio a tener en cuenta para determinar cuándo nos encontramos ante manifestaciones de la vida privada protegible frente a intromisiones ilegítimas es el de las expectativas razonables que la propia persona, o cualquier otra en su lugar en esa circunstancia, pueda tener de encontrarse al resguardo de la observación o del escrutinio ajeno. Así por ejemplo cuando se encuentra en un paraje inaccesible o en un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 lugar solitario debido a la hora del día, puede conducirse con plena espontaneidad en la confianza fundada de la ausencia de observadores. Por el contrario, no pueden abrigarse expectativas razonables al respecto cuando de forma intencional, o al menos de forma consciente, se participa en actividades que por las circunstancias que las rodean, claramente pueden ser objeto de registro o de información pública (SSTEDH de 25 de septiembre de 2001, P.G. y J.H. c. Reino Unido, § 57, y de 28 de enero de 2003, Peck c. Reino Unido, § 58)» (STC 12/2012, de 30 de enero, FJ 5). Asimismo hemos de tener en cuenta que, conforme a nuestra reiterada doctrina, «el derecho a la intimidad no es absoluto –como no lo es ningún derecho fundamental–, pudiendo ceder ante intereses constitucionalmente relevantes, siempre que el límite que aquél haya de experimentar se revele como necesario para lograr un fin constitucionalmente legítimo y sea proporcionado» (STC 115/2013, de 9 de mayo, FJ 5; o SSTC 143/1994, de 9 de mayo, FJ 6; y 70/2002, de 3 de abril, FJ 10)” (…). Por último en cuanto a las manifestaciones del recurrente de que se realice inspección por técnicos de la AEPD, debe señalarse que, tanto el artículo 12 del RD 1398/1993 como el artículo 122 del Reglamento de desarrollo de la LOPD aprobado por RD 1720/2007, de 21 de Diciembre, establecen que “se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación”(art. 122 RD 1720/2007), o lo que es lo mismo, no existe una obligatoriedad en la realización de dichas actuaciones, sino que deberán llevarse a cabo cuando existan elementos con la suficiente fuerza, que permita entender que, en efecto, se ha producido la infracción alegada. Es más, las SSAN de 8 de abril y 22 de julio de 2010, ponen de relieve que aunque los artículos 122 y siguientes del RLOPD se desprende la posibilidad de llevar a cabo las denominadas actuaciones previas con anterioridad a la iniciación del procedimiento sancionador con el objeto de determinar si concurren circunstancias que justifiquen tal iniciación, puede haber sin embargo supuestos en los que, a tenor de las circunstancias concurrente, y desprendiéndose del somero análisis del relato de hechos de la denuncia que los mismos en ningún caso son susceptibles de vulnerar la LOPD, que ni siquiera sea necesario, ni haya justificación ninguna para iniciar dichas actuaciones de inspección y en el presente supuesto no se han presentado pruebas que enerven la presunción de inocencia ni las pruebas aportadas por la denunciada. Asimismo al hilo de todo lo anterior, ha de recordarse a la recurrente, los principios aplicables al procedimiento sancionador y su iniciación. Los expedientes sancionadores de la Agencia Española de Protección de Datos son expedientes siempre iniciados de oficio por el Director de la Agencia Española de Protección de Datos, de conformidad a lo previsto en el artículo 122.2 del RGLOPD, como así ha mantenido la Audiencia Nacional en sentencias como, entre otras, la dictada en marzo de 2006(REC 319/2004). Por tanto es competencia exclusiva de la Agencia Española de Protección de Datos valorar si existen responsabilidades administrativas que han de ser depuradas en un procedimiento sancionador y, en consecuencia, la decisión sobre su apertura, no existiendo obligación de iniciar procedimiento ante cualquier petición realizada por tercero, sino que la misma ha de basarse en la existencia de elementos que justifiquen dicho inicio de actividad sancionadora. Así lo establece el artículo 11.2 del Real Decreto 1398/1993, de 4 de Agosto, por el que se aprueba el Reglamento de Procedimiento para el Ejercicio de la Potestad Sancionadora, que es del tenor siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 “La formulación de una petición no vincula al órgano competente para iniciar procedimiento sancionador, si bien deberá comunicar al órgano que la hubiera formulado los motivos por los que, en su caso, no procede la iniciación del procedimiento. Cuando se haya presentado una denuncia, se deberá comunicar al denunciante la iniciación o no del procedimiento cuando la denuncia vaya acompañada de una solicitud de iniciación” Así las cosas, en la resolución recurrida, como así establece como necesario el artículo 11.2 del RD 1398/1993 antes referenciado, se ponía de manifiesto la aportación de elementos objetivos de carácter probatorio por parte de la denunciada que impedían la iniciación siquiera de actuaciones inspectoras. Por tanto, a la vista de lo expuesto, en el presente recurso de reposición, no se han aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, procediendo acordar su desestimación. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por D. A.A.A. contra la resolución de esta Agencia dictada con fecha 23 de diciembre de 2015, en el expediente de actuaciones previas de inspección E/01372/2015. SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es