1/8 Procedimiento nº.: E/01570/2018 ASUNTO: Recurso de Reposición Nº RR/00452/2018 Examinado el recurso de reposición interpuesto por Dª. A.A.A. y D. C.C.C. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/01570/2018, y en base a los siguientes HECHOS PRIMERO: Con fecha 27 de abril de 2018, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/01570/2018, procediéndose al archivo de actuaciones. Dicha resolución, fue notificada a los recurrentes en fecha 16 de mayo de 2018, según acuse de recibo del servicio de Corroes, que figura en el expediente. SEGUNDO: A.A.A. y D. C.C.C. (en lo sucesivo los recurrentes) han presentado en la correspondiente oficina de Correos en fecha 12 de junio de 2018 y fecha de entrada en esta Agencia el 14 de junio de 2018, recurso de reposición, fundamentándolo básicamente en: - Que en fecha 12/03/2018, los recurrentes, concejales del Ayuntamiento de ***LOC.1 interpusieron denuncia ante esta Agencia por la instalación en las dependencias municipales de cámaras de videovigilancia sin la instalación de cartel informativo, sin inscripción de fichero y sin haber sido informados de la instalación de las mismas. -Que en la misma fecha, A.A.A. presentó denuncia por la existencia de una cámara de videogilancia en el salón de plenos del Ayuntamiento, donde se imparten clases de idiomas. -Que en la fecha en la que se procedió a la denuncia, el Ayuntamiento no había procedido a la inscripción del fichero de videovigilancia. - Que en el Fundamento de Derecho IV de la resolución se recoge que “el Ayuntamiento aporta fotografías de la existencia de cartel informativo de la existencia de las cámaras, ubicado en el exterior del edificio y en el interior del mismo”; sin embargo los recurrentes aportaron fotografías de la no existencia de carteles informativos en el interior y exterior del Ayuntamiento, por lo tanto, en agosto de 2017 no estaban los carteles informativos. Aportan diversas fotografías al respecto. - Que el Alcalde del Ayuntamiento de ***LOC.1 publicó en el BOPBUR de DD/MM/AA.1un edicto de DD/MM/AA.2, por el que se crean modifican y suprimen ficheros de carácter personal; sin embargo el Pleno del Ayuntamiento no ha aprobado ninguna ordenanza o reglamento que regule la creación, modificación y supresión de ficheros. Por tanto, hasta que no se procedió a la denuncia, no se realizó la inscripción del fichero de acuerdo con el artículo 20 de la LOPD y que el Edicto pudiera haberse arrogado las funciones del pleno del Ayuntamiento. Para que la publicación del fichero de videovigilancia cumpla con la normativa legal debería estar aprobado en un acuerdo plenario y plasmado en el Acta correspondiente. - Que el 12/03/2018, se presentaron dos denuncias distintas: una con el número de registro ***REG.1 por los dos recurrentes (concejales del Ayuntamiento), y otra por DªA.A.A., como ciudadana, habiéndose tramitado bajo el mismo expediente. - Se aportan como documento 1: denuncias interpuestas por los recurrentes; documento 2:seis fotografías y como documento 3:publicación en el BOPBUR del Edicto de DD/MM/AA.2. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II Los recurrentes manifiestan su disconformidad con la resolución, ahora recurrida, en varias cuestiones que serán seguidamente analizadas. En primer lugar, respecto a las manifestaciones de los recurrentes relativas a que en agosto de 2017 no estaban los carteles informativos de zona videovigilada,cabe decir que, ante la denuncia formulada ante esta Agencia por los recurrentes en fecha 12 de marzo de 2018, se solicita diversa documentación e información, por parte de los Servicios de Inspección de esta Agencia, al Ayuntamiento denunciado, aportando éste contestación al respecto entre la que se encontraba fotografías de cada uno de los carteles de videovigilancia, de conformidad con el artículo 3
- a)de la Instrucción 1/2006, ubicados en el exterior del edificio y en el interior del mismo. Dichos carteles eran acordes al que hace referencia el citado artículo 3.
- a)de la Instrucción 1/2006, en relación al artículo 5 de la LOPD. Asimismo, se aportaba copia del formulario informativo sobre el sistema de videovigilancia al que se refiere el artículo 3.b de la Instrucción 1/2006, a disposición de los interesados. Por lo tanto, cuando se solicitó información al citado Ayuntamiento, éste acreditó el cumplimiento del deber de información conforme al artículo 5.1 de la LOPD. A este respecto, debe señalarse que cuando el ordenamiento jurídico admite varias soluciones, como afirma el Tribunal Superior de Justicia de Galicia, en Sentencia de 18 de julio de 1996, resultaría contrario a los principios de intervención mínima y proporcionalidad que informan nuestro sistema jurídico, el ejercicio de la actividad sancionadora, estableciendo al respecto del primero, que el mecanismo sancionador ha de entrar en juego cuando ésta sea la única solución posible y ya no exista otra actuación alternativa que no sea menos restrictiva a los derechos individuales; y el de proporcionalidad porque impone que la sanción sea ponderada, razonable y adecuada a la defensa del bien jurídico que se pretende proteger, no habiendo lugar en el presente caso en la medida en que el bien jurídico que pudiera verse afectado por lo denunciado, ha sido restituido, sin provocar consecuencias gravosas para el titular del mismo. En segundo lugar, respecto a las alegaciones de los recurrentes relativa a la falta de inscripción del fichero en el momento de la denuncia, debe recordarse en primer lugar que la existencia de un sistema de videovigilancia no implica necesariamente que las imágenes se estén grabando. Por otro lado, no cabe sino reiterar lo recogido en parte del Fundamento de Derecho IV, de la resolución, ahora recurrida: “Declaran que no se procedió a la inscripción del fichero correspondiente en el Registro General de Protección de Datos de esta Agencia al haber entendido incorrectamente que el fichero se encontraba inscrito entre los siete que ese Ayuntamiento mantiene inscritos (aportan impresión de los ficheros inscritos). Declaran así mismo haber procedido a parar la grabación del sistema de videovigilancia hasta no completar el trámite de inscripción del fichero, que manifiestan haber iniciado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 Sin perjuicio de lo anterior, a este respecto cabe establecer la vigencia de lo dispuesto en el Reglamento 2016/679/UE, de 27 de abril, de protección de las personas físicas en lo que respecto al tratamiento de los datos personales y a la libre circulación de estos datos (RGPD), que será de plena aplicación el próximo 25 de mayo de 2018. Con el RGPD desaparece la obligación de notificar la inscripción de ficheros, tanto de responsables públicos o privados, en el Registro de Ficheros de la AEPD, o registro de la autoridad autonómica competente, sin perjuicio de la obligación de implementar el Registro de Actividades de Tratamiento”. Por lo tanto, con la aprobación del Reglamento 2016/679/UE, de 27 de abril, de protección de las personas físicas en lo que respecto al tratamiento de los datos personales y a la libre circulación de estos datos (RGPD), ha desaparecido la obligación de inscripción de los ficheros. Asimismo y con independencia de lo desarrollado hasta el momento, se debe recordar al recurrente, el principio de retroactividad “in bonam partem” o retroactividad de la disposición sancionadora más favorable, recogida en la Ley 39/2015, de 1 de octubre del Procedimiento Administrativo Común de las Administraciones Públicas. Cuestión distinta planteada por los concejales, es el supuesto incumplimiento de la normativa legal en la publicación del Edicto, cuestión que no es competente para dirimir esta Agencia. Esta Agencia le competente velar para que el tratamiento de las imágenes como dato personal se realice, al amparo de la normativa de protección de datos, y en el caso que nos ocupa de toda la documentación obrante en el expediente, se resolvió que el sistema de videovigilancia es proporcional a la finalidad pretendida, que cumple el deber de información y que tiene establecidas medidas de seguridad para el acceso a las imágenes. En tercer lugar, respecto a las manifestaciones de los recurrente relativas a que el 12/03/2018, se presentaron dos denuncias distintas: una con el número de registro ***REG.1 por los dos recurrentes (concejales del Ayuntamiento), y otra por Dª A.A.A., como ciudadana, habiéndose tramitado bajo el mismo expediente, cabe decir que en base a los principios de Celeridad en la tramitación (arts. 21.2 y 71.1 Ley 39/2015) y Economía procesal, de la Ley 39/2015, bajo el rótulo concentración de trámites, el art. 72 obliga a acordar en un sólo acto todos los trámites que, por su naturaleza, admitan impulso simultáneo y no sea obligado su cumplimiento sucesivo. El art. 57 por su parte admite la acumulación de varios expedientes en uno sólo cuando entre ellos guarden identidad sustancial o íntima conexión. En el caso que nos ocupa, ambas denuncias versaban sobre la legitimidad del sistema de videovigilancia ubicado en el Ayuntamiento de ***LOC.1, por tanto eran los mismos hechos y denunciado; con independencia que uno de los recurrentes, Dª A.A.A., denunciara, en una segunda denuncia el mismo día 12/03/2018 con número de registro en esta Agencia el 083736/2018, expresamente la cámara ubicada en la Sala de Penos donde se instruían clases de inglés, que por otro lado, ya había sido también denunciada previamente junto al resto de cámaras del Ayuntamiento, en la denuncia con el número de registro 083736/2018, realizada por ambos recurrentes. Por último, no cabe sino reiterar respecto a la proporcionalidad del sistema y su ubicación en la Sala De Plenos, lo recogido en el Fundamento de Derecho V, de la resolución, ahora recurrida, tal y como se transcribe a continuación: <<V Por último, respecto a la proporcionalidad del sistema de videovigilancia denunciado, hay que señalar que el artículo 4.1 y 2 de la LOPD, garantiza el cumplimiento del principio de proporcionalidad en todo tratamiento de datos personales, cuando señala que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 “1. Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido. 2. Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos”. En este sentido, se pronuncia la Instrucción 1/2006, siguiente: cuando señala en el artículo 4, lo 1. De conformidad con el artículo 4 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, las imágenes sólo serán tratadas cuando sean adecuadas, pertinentes y no excesivas en relación con el ámbito y las finalidades determinadas, legítimas y explicitas, que hayan justificado la instalación de las cámaras o videocámaras. 2. Sólo se considerará admisible la instalación de cámaras o videocámaras cuando la finalidad de vigilancia no pueda obtenerse mediante otros medios que, sin exigir esfuerzos desproporcionados, resulten menos intrusivos para la intimidad de las personas y para su derecho a la protección de datos de carácter personal. 3. Las cámaras y videocámaras instaladas en espacios privados no podrán obtener imágenes de espacios públicos salvo que resulte imprescindible para la finalidad de vigilancia que se pretende, o resulte imposible evitarlo por razón de la ubicación de aquéllas. En todo caso deberá evitarse cualquier tratamiento de datos innecesario para la finalidad perseguida”. Precisamente la redacción del artículo 4 de la Instrucción 1/2006, no viene sino a recoger el principio de proporcionalidad del artículo 4 de la LOPD. Este artículo consagra el principio de proporcionalidad de los datos en el tratamiento de los datos personales que supone que el tratamiento de los datos sea adecuado, pertinente y proporcional a la finalidad a la que se dirige el mismo, debiendo restringirse el tratamiento de los datos excesivos. En el caso que nos ocupa, el sistema se compone de 4 cámaras instaladas en el interior del edificio en diferentes ubicaciones: una en el salón de plenos, distribuidor (puerta de salón de Plenos), archivo de documentación y secretaría. Las cámaras no tienen zoom ni posibilidad de movimiento. Respecto a la finalidad de la instalación del sistema manifiesta el Ayuntamiento que es el control de acceso al edificio y control de estancias, para la prevención de posibles robos y sustracción de documentación y bienes propiedad del municipio y el Ayuntamiento, mediante el control de las salas con mayor interés estratégico. De otra parte, dicho tipo de tratamiento de datos resulta conforme con el artículo 10. 2
- a)del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que “No obstante, será posible el tratamiento o la cesión de los datos de carácter personal sin necesidad del consentimiento del interesado cuando (…) Lo autorice una norma con rango de ley o una norma de derecho comunitario y, en particular, cuando concurra uno de los supuestos siguientes: - El tratamiento o la cesión tengan por objeto la satisfacción de un interés legítimo del responsable del tratamiento o del cesionario amparado por dichas normas, siempre que no prevalezca el interés o los derechos y libertades fundamentales de los interesados previstos en el artículo 1 de la Ley Orgánica 15/1999, de 13 de diciembre.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 De la documentación obrante en el expediente, se extrae que, en el presente supuesto el tratamiento de datos por medio de cámaras y/o videocámaras con fines de seguridad queda incardinado en la esfera del interés legítimo de la entidad denunciada, por cuanto la misma tiene un evidente interés en la instalación y mantenimiento de cámaras de seguridad; y la finalidad de seguridad es también legítima, sin que se oponga a norma u obligación de ningún tipo. El interés legítimo es un presupuesto legitimador del tratamiento de datos personales. Así, el artículo 7 de la Directiva 95/46/CE, de 24 de octubre determina: “Los Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse si: (…)
- f)es necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, siempre que no prevalezca el interés o los derechos y libertades fundamentales del interesado que requieran protección con arreglo al apartado 1 del Art. 1 de la presente Directiva.: en particular, del derecho a la intimidad, en lo que respecta al tratamiento de los datos personales”. En este sentido, la Sentencia del Tribunal de Justicia de las Comunidades Europeas de 24 de noviembre de 2011, que resuelve una cuestión prejudicial planteada por el Tribunal Supremo, ha clarificado que el artículo 7.
- f)de la Directiva 95/46/CE tiene efecto directo. En consonancia con lo anterior, el Tribunal Supremo en Sentencia de 8 de febrero de 2012 anuló el artículo 10.2.
- b)del RD 1720/2007, de 21 de diciembre por considerar que el Reglamento vulneraba la regulación contenida en la Directiva. Así, la Audiencia Nacional realiza una ponderación caso por caso entre el interés legítimo del responsable del tratamiento y los derechos y libertades fundamentales de los afectados, como en Sentencias de la Sección Primera de la Sala de lo Contencioso Administrativo de 5 de marzo y 31 de mayo de 2012. La entidad denunciada como responsable del tratamiento, debe tener en cuenta la relación de proporcionalidad entre la finalidad perseguida y el modo en el que se tratan los datos, a fin de garantizar el cumplimiento de los principios de proporcionalidad y finalidad previstos por los apartados 1 y 2 del mencionado artículo 4 de la LOPD, siendo obligación del responsable del tratamiento adecuar el uso de los datos personales de modo que el impacto en los derechos de los afectados sea el mínimo posible. A este respecto , de las fotografías aportadas de las imágenes captadas a través de las citadas cámaras interiores, objeto de denuncia, se desprende que son zonas interiores de las instalaciones municipales, sin que se aprecie que las mismas infrinjan el principio de proporcionalidad de los datos previsto en el artículo 4.1 de la Ley Orgánica de Protección de Datos, cuando se habla de que los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido. En el supuesto objeto del presente expediente, los derechos y libertades fundamentales de los afectados –esto es, las personas cuyas imágenes son captadas, grabadas y visionadas por las cámaras de seguridad de la entidad denunciada– no se ven lesionados hasta el punto de prevalecer sobre el interés legítimo de dicha entidad relacionado con la seguridad. En definitiva, el interés legítimo supone la legitimación de la entidad denunciada, y de quien ésta ha designado para el tratamiento de imágenes, siempre que se cumplan las garantías establecidas en la Instrucción 1/2006 antes mencionada, destacando en particular el deber de información y los derechos de las personas a que se refieren los artículos 15 y siguientes de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 Una vez analizado que el sistema de videovigilancia es proporcional a la finalidad pretendida, que cumple el deber de información y que tiene establecidas medidas de seguridad por el acceso a las imágenes, debe entrarse en la cuestión planteada por la denunciante Dª A.A.A. relativa a la existencia de una cámara en la sala de plenos donde también, se imparten clases a las que asisten sus hijos menores y otras personas, sin carteles informativos. En cuanto a la ubicación del cartel informativo, no es necesario que se coloque un cartel debajo de cada cámara, siendo suficiente conforme a lo dispuesto en el artículo 3
- a)de la Instrucción 1/2006, “Colocar, en las zonas videovigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados” y en el caso que nos ocupa existe cartel tanto en el exterior como en el interior, que informa de la existencia de un sistema de videovigilancia. Por otro lado, la ubicación de la cámara en dicha sala de plenos donde se imparten clases de inglés, según manifiesta la denunciante, pudiendo captar imágenes de las personas que asisten a las mismas cabe decir en primer lugar, que de las fotografías aportadas de las imágenes captadas por la cámara y dado que las mismas carecen de zoom ni posibilidad de movimiento, la imagen que recoge del final de la sala donde se encuentra una mesa alargada, donde se imparten las clases, es de muy mala calidad; en segundo lugar, dicha sala de plenos no es un recinto legitimado, propiamente dicho, donde se tengan que impartir clases educativas sino que su finalidad es la de reunión de los miembros del Ayuntamiento, sala que para el uso que tiene habilitado sería legítimo la existencia de un sistema de grabación. No es competencia de esta Agencia el valorar la utilización de un espacio, (sala de Plenos) donde existe un sistema de cámaras legítimo, como seguidamente se expondrá, para su utilización para otras finalidades distintas a las que tiene atribuidas. Así la existencia y grabación en la sala de Plenos del Ayuntamiento denunciado de las sesiones de dicho Ayuntamiento, resultaría conforme con lo dispuesto por el artículo 6 de la Ley Orgánica de Protección de Datos. El “Artículo 6. Consentimiento del afectado” recoge lo siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias (…)” Al respecto, conviene traer a colación lo dispuesto por el artículo en los artículos 69 y siguientes de la Ley 7/1985, de 2 de abril, Reguladora de las Bases de Régimen Local, a saber: “Artículo 69: 1. Las Corporaciones locales facilitarán la más amplia información sobre su actividad y la participación de todos los ciudadanos en la vida local. 2. Las formas, medios y procedimientos de participación que las Corporaciones establezcan en ejercicio de su potestad de autoorganización no podrán en ningún caso menoscabar las facultades de decisión que corresponden a los órganos representativos regulados por la ley. Artículo 70. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 1. Las sesiones del Pleno de las Corporaciones locales son públicas. No obstante, podrán ser secretos el debate y votación de aquellos asuntos que puedan afectar al derecho fundamental de los ciudadanos a que se refiere el artículo 18.1 de la Constitución (RCL 1978, 2836), cuando así se acuerde por mayoría absoluta. No son públicas las sesiones de las Comisiones de Gobierno. 2. Los acuerdos que adopten las Corporaciones locales se publican o notifican en la forma prevista por la Ley. Las Ordenanzas, incluidas las normas de los Planes urbanísticos, se publican en el «Boletín Oficial» de la Provincia y no entran en vigor hasta que se haya publicado completamente su texto y haya transcurrido el plazo previsto en el artículo 65.2. Idéntica regla es de aplicación a los Presupuestos, en los términos del artículo 112.3, de esta Ley. 3. Todos los ciudadanos tienen derecho a obtener copias y certificaciones acreditativas de los acuerdos de las Corporaciones locales y sus antecedentes, así como a consultar los archivos y registros en los términos que disponga la legislación de desarrollo del artículo 105, letra
- b)de la Constitución. La denegación o limitación de este derecho, en todo cuanto afecte a la seguridad y defensa del Estado, la averiguación de los delitos o la intimidad de las personas, deberá verificarse mediante resolución motivada.(…) En conclusión junto a la finalidad de seguridad esgrimida por el Ayuntamiento denunciado para la instalación de las cámaras en distintas dependencias del mismo, no se puede obviar que la existencia de una cámara en la sala de Plenos para en su caso grabar las sesiones del mismo, está plenamente legitimada por la normativa expuesta y por la jurisprudencia al respecto. Por lo que la utilización de la sala de Plenos para otras finalidades distintas a las que tiene habilitadas no eliminaría la legitimidad del citado sistema. >> A la vista de lo expuesto, en el presente recurso, no se han aportado nuevos hechos o argumentos jurídicos, que hagan reconsiderar la validez de la resolución impugnada, por lo que procede su desestimación. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A. y C.C.C. contra la resolución de esta Agencia dictada con fecha 27 de abril de 2018, en el expediente de actuaciones previas de inspección E/01570/2018. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y C.C.C.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es