REPOSICION-E-02942-2018

1/8 Procedimiento nº.: E/02942/2018 ASUNTO: Recurso de Reposición Nº RR/00678/2018 Examinado el recurso de reposición interpuesto por el AYUNTAMIENTO DE LOS BARRIOS contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/02942/2018, y en base a los siguientes HECHOS PRIMERO: Con fecha 6 de septiembre de 2018, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/02942/2018, procediéndose al archivo de las actuaciones practicadas al no constituir los hechos denunciados un tratamiento de datos de carácter personal bajo el ámbito de aplicación de la LOPD. Dicha resolución fue notificada al Ayuntamiento de Los Barrios, (en lo sucesivo el recurrente), en fecha 7 de septiembre de 2018. SEGUNDO: En la resolución del expediente E/02942/2018 quedó constancia de los hechos siguientes: <<PRIMERO: Con fecha 5 de enero de 2018, tuvo entrada en esta Agencia un escrito remitido por el AYUNTAMIENTO DE LOS BARRIOS, en el que exponía lo siguiente: Entre los días 8 a 24 de octubre de 2017 fueron publicados y difundidas en varios medios digitales una imagen captada en el interior de la comisaría de Policía Local de Los Barrios. La imagen ha sido extraída del sistema de grabación de una cámara de seguridad interna. En concreto, con fecha 24 de octubre en la portada de varios periódicos digitales: ***DIARIO.1”, “***DIARIO.2”, “***DIARIO.3”, “***DIARIO.4” y “***DIARIO.5”, aparecieron publicadas diferentes noticias con titulares “***NOTICIA.1” y “***NOTICIA.2”. En la noticia de ***DIARIO.2 con título “***NOTICIA.3”, se hace referencia al mismo contenido relacionado con la noticia en cuestión y según declaraciones de Don A.A.A., ***PUESTO.1. También se han publicado noticias en redes sociales. En dichos medios de comunicación se publican imágenes extraídas del sistema de video-vigilancia y corresponden al visionado las cámaras de seguridad de fecha 28 de septiembre de 2017. Con fecha 29 de agosto de 2017, se publicó en el Boletín Oficial de la Provincia de Cádiz la creación del fichero “VIDEOVIGILANCIA”, cuyo responsable es el Ayuntamiento de Los Barrios y cuya finalidad es “preservar la seguridad material y personal en las instalaciones y dependencia municipales mediante videocámaras de vigilancia. Control de Personal”. Indica el Ayuntamiento que el responsable de la obtención fraudulenta de la imagen difundida resulta de las propias manifestaciones y actuaciones, y es el citado ***PUESTO.1, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 según se ha podido comprobar en la grabación del día 28 de septiembre de 2017, su acceso a las instalaciones de la Comisaría de Policía Local realizando fotografías a las propias cámaras desde las que obtuvo las imágenes publicadas. El denunciado tiene acceso a las citadas imágenes por su condición de ***PUESTO.2. Ante los hechos denunciados, se procedió a emitir informe jurídico, de fecha 14 de diciembre de 2017, por parte del letrado del Ayuntamiento, sobre la viabilidad de emprender acciones ante la Agencia Española de Protección de Datos, cuya copia aportan. Así mismo, aportan copia del Informe Pericial Técnico, de fecha 28 de noviembre de 2017, sobre la publicación de las imágenes en los medios de comunicación, en el que se detallan las evidencias de la extracción de imágenes del sistema de videograbación del Ayuntamiento, con fecha 28 de septiembre de 2017. En el citado informe se incluyen las imágenes publicadas en los medios de comunicación que corresponden únicamente con instalaciones de trabajo que se identifican como las dependencias de la Policía Local de Los Barrios. Al tratarse de copias, las imágenes no son nítidas; sin embargo, únicamente se visualiza el espacio físico en el que se encuentran las cámaras de seguridad. Así mismo, en el informe se incluye una copia del cártel informativo sobre la existencia del sistema de video-vigilancia situado en las dependencias de la Policía Local, utilizando el modelo al que se refiere el apartado 1 del anexo de la Instrucción 1-2006, de 8 de noviembre, con la finalidad de cumplir con el deber de informar en la recogida de datos. SEGUNDO: Con fecha 22 de enero de 2018, la Directora de la Agencia acuerda no iniciar procedimiento administrativo en relación con los hechos denunciados. Con fecha 15 de marzo de 2018, el Ayuntamiento de Los Barrios interpuso RECURSO DE REPOSICIÓN ante la Resolución citada en el punto anterior. Con fecha 1 de junio de 2018, mediante Resolución RR/XXXXX/YYYY, se acuerda ESTIMAR el Recurso de Reposición e iniciar las presentes actuaciones de investigación. TERCERO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 27 de julio de 2018, EL AYUNTAMIENTO DE LOS BARRIOS, ha remitido a la Agencia la siguiente información en relación con los hechos denunciados: 1. Las medidas de seguridad implementadas por la entidad en relación con el fichero VIDEOVIGILANCIA, se detallan en la página 29 del Anexo del Documento de Seguridad del Ayuntamiento, cuya copia adjuntan, donde se detalla la descripción del fichero y sus finalidades y se declaran medidas de seguridad de nivel básico. 2. El encargado de tratamiento es UNIDOMO, que realiza el mantenimiento de las cámaras y visualiza en tiempo real las imágenes. 3. El responsable del fichero (Ayuntamiento), tiene acceso como administrador al dispositivo de almacenamiento de las imágenes grabadas. 4. El encargado de tratamiento (UNIDOMO), dispone de acceso ilimitado al dispositivo de almacenamiento de las imágenes, al cual solo puede acceder de manera presencial desde las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 oficinas de la Policía Local, debidamente autorizados. El resto de los responsables de tratamiento, solo tienen acceso en modo visualización de imágenes en tiempo real. 5. El denunciado no dispone de permisos para acceder al fichero de VIDEOVIGILANCIA. 6. El sistema de grabación se compone de una unidad de disco duro y conexión a la red de datos de la Policía Local y se encuentra instalado en el rack de comunicaciones del edificio de la Policía, cerrado con llave, custodiada por el responsable del fichero. 7. El acceso remoto del que disponen los responsables de tratamiento solo puede ser usado para la visualización en tiempo real de las imágenes recogidas por las cámaras. No pueden acceder en ningún caso a la grabación de las mismas. 8. Las imágenes recogidas por el sistema de video-vigilancia cubren el espacio físico interno de las dependencias de la Policía Local, para la seguridad de las personas y el control de acceso a la puerta principal. Una de las cámaras está situada para el sistema de control de presencia del Ayuntamiento.>> TERCERO: El recurrente ha presentado en esta Agencia, en fecha 5 de octubre de 2018, recurso de reposición, fundamentándolo, básicamente, en los siguientes extremos contenidos en el informe técnico emitido por la Asesoría Jurídica del citado Ayuntamiento: “frente la resolución de fecha 6 de septiembre de 2018 sobre acceso, tratamiento y difusión de datos contenidos en un fichero protegido del Excmo. Ayuntamiento de Los Barrios sin autorización, por el denunciado Don A.A.A., se emite el siguiente INFORME: (…) En contra de lo resuelto por la Agencia, esta parte estima que dentro de la Protección que concede la Ley de Protección de Datos, se encuadra no sólo la vulneración de datos o imágenes personales, sino toda imagen de carácter reservado por sus propias connotaciones, en este caso las imágenes que recoge una cámara de seguridad de un edificio singular, como es la oficina de la Policía Local del Municipio. (…) A este respecto no existe duda que las cámaras de videovigilancia que se ubican en la Comisaría de Policía capta no sólo el espacio interno sino a todas aquellas personas que acceden al mismo, y que por la cámara son identificables. Con las referidas cámaras se busca un control adecuado de acceso a las instalaciones policiales, motivo or el cual su ubicación y el contenido que en ellas se recogen afectan de manera directa a la seguridad de los empleados (Agentes de Policía) que allí desarrollan su trabajo. Un fichero es el lugar en el que se guardan los datos de personas físicas que recibimos en un trámite. (…) En el presente caso, se ha extraído imágenes de un lugar especialmente sensible por las especiales connotaciones que presenta. Si nos ceñimos a las imágenes divulgadas, éstas no contienen datos personales, por lo que la divulgación de tales imágenes pudiera quedar rebajada desde un punto de vista sancionador, pero lo que no cabe duda es que en los ficheros a los que se accede por el denunciado, ya sean en las grabaciones de aquel 28 de septiembre de 2018, o las de cualquier otro día, si contendrían datos susceptibles de amparo de todas aquellos ciudadanos que pudieron entrar en la comisaría así como los propios agentes de la Policía Local; Por ello, si existe intromisión C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 ilegítima en un fichero o sistema de videovigilancia que contiene datos personales por los que se identifican personas. Una cosa es la divulgación de los datos o imágenes que pudo obtener, que podrían contener o no datos de identificación de personas, y otra distinta es el acceso a un fichero (videovigilancia) que de por si sí contiene datos protegidos que ese día entraron en comisaría. Por eso, porque se es consciente de que estas cámaras identifican a toda persona que entra en las dependencias policiales es por lo que dicho fichero deber y está protegido, no teniendo acceso ninguna persona no autorizada, como así hizo el denunciado contraviniendo las medidas de seguridad. (…) Parece notorio que los ficheros a los que accedió el denunciado sin autorización, contienen datos de personas que son grabadas continuamente y perfectamente identificadas por las imágenes grabadas, en días concretos perfectamente recogidos en los ficheros audiovisuales, al margen de que la imagen difundida no recogiese en ese momento datos personales. Por tanto, tales ficheros (a donde se dirigen y recogen, almacenan y se tratan las imágenes recogidas por las cámaras de grabación) son protegidos, con independencia de la imagen que en cada momento pueda captar” También se alega en dicho informe técnico “que resulta incongruente con la resolución de fecha 1 de junio de 2018 por la que se acordó iniciar la tramitación de este expediente, puesto que endicha resolución se acogieron los argumentos expuestos por esta parte, en el que se plasmaba que si bien la imagen difundida no contenía imágenes de particulares, si suponía la sustracción de un fichero protegido, y en base a dicha circunstancia se acordó estimar el recurso y continuar con la instrucción.“ FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En el Fundamento de Derecho II de la resolución impugnada se argumentaban los motivos que sustentaban el acuerdo de archivo de las actuaciones de inspección practicadas en el expediente E/02942//2018, y que a continuación se transcriben: “El artículo 1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de datos de Carácter Personal (LOPD), en cuanto al objeto de la Ley, establece lo siguiente: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. Respecto de su ámbito de aplicación, la citada Ley Orgánica establece en su artículo 2.1 lo siguiente: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 uso posterior de estos datos por los sectores público y privado”. A estos efectos, la misma ley en su artículo 3 define lo qué ha de entenderse por dato de carácter personal: “cualquier información concerniente a personas físicas identificadas o identificables”. Por su parte, el artículo 5 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, en sus apartados

1. f)y o), perfila el concepto de dato de carácter personal y persona identificable, estableciendo lo siguiente: “
2. f)Datos de carácter personal: Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables”. “
3. o)Persona identificable: toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados.” De los citados preceptos se deduce la exigencia de un doble requisito. De un lado la existencia de un tratamiento de datos y de otro que ese tratamiento se encuentre referido a una persona física identificada o identificable. En la documentación aportada y en las fotografías publicadas en los diarios digitales no se aprecia el tratamiento de datos de carácter personal por parte del denunciado, ya que en las fotografías indicadas solo se visualizan espacios físicos vacíos en los que se encuentran las cámaras de video vigilancia.” III En relación con los argumentos efectuados por el recurrente conviene realizar las siguientes consideraciones: En primer lugar, de conformidad con lo previsto en los artículos 1 y 2.1 de la LOPD, el objeto de protección de dicha Ley son los datos de carácter personal registrados en ficheros automatizados, o no. Por tanto, la aplicación de dicha norma requiere la existencia de un tratamiento de datos personales. De este modo para que el tratamiento de imágenes procedentes del sistema de videovigilancia titularidad de ese Ayuntamiento quede amparado por la LOPD, será preciso que dichas imágenes concretas contengan datos personales concernientes a personas físicas identificadas o identificables, situación que no se produce en el caso analizado con las imágenes (fotografías) publicadas y difundidas en los medios de comunicación citados en la resolución recurrida, que no contienen datos personales, como reconoce el propio Ayuntamiento recurrente, sino imágenes de las dependencias policiales. En segundo lugar, no consta acreditado en el expediente que el denunciado accediese al contenido íntegro del fichero en que se almacenaban los datos de carácter personal captados por las cámaras de videovigilancia instaladas en la Comisaría de Policía Local, no habiendo, por ello, constancia de que éste accediese a la información de carácter personal supuestamente registrada en dicho fichero. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 En tercer lugar, no se produce la incongruencia alegada, ya que el recurso de reposición nº RR/XXXXX/YYYY que fue estimado no sólo se fundamentaba en los argumentos reseñados por ese Ayuntamiento, sino que también se aducía en el mismo falta de motivación de la resolución de archivo del expediente E/00289/2018. Cuestión distinta, es que después de practicadas las actuaciones previas de inspección del expediente nº E/02942/2018 se haya llegado al mismo tipo de resolución a la vista de los elementos de juicio obtenidos. En cuarto lugar, de haberse producido el tratamiento de datos de carácter personal defendido por ese Ayuntamiento se habría producido una infracción en materia de seguridad de datos recogida en el artículo 9 de la LOPD en su relación con lo dispuesto en los artículos 91,92 y 93 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/20017, de cuya comisión resultaría responsable el Ayuntamiento recurrente en su calidad de responsable del fichero de videovigilancia. Téngase en cuenta que se habría producido un acceso indebido a esa información de carácter personal por parte de una persona no autorizad, su salida de los locales bajo el control del responsable del fichero o tratamiento y un fallo en el mecanismo establecido para verificar que el usuario que accede al sistema está autorizado. De hecho, ese Ayuntamiento no ha razonado el modo en que el denunciado, sin estar autorizado, pudo acceder al sistema de grabación situado en el rack de comunicaciones del edificio de la Policía, cerrado con llave, y custodiado por el responsable del fichero. El artículo 9 de la LOPD dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” (El subrayado es de la AEPD) El Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, define en su artículo 5.2 ñ) el “Soporte” como el “objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. Por su parte el artículo 81.1 del mismo Reglamento señala que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94. Los artículos 91, 92 y 93 del Reglamento de desarrollo de la LOPD establecen: “Artículo 91. Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. Artículo 92. Gestión de soportes y documentos. 1. Los soportes y documentos que contengan datos de carácter personal deberán permitir identificar el tipo de información que contienen, ser inventariados y solo deberán ser accesibles por el personal autorizado para ello en el documento de seguridad. Se exceptúan estas obligaciones cuando las características físicas del soporte imposibiliten su cumplimiento, quedando constancia motivada de ello en el documento de seguridad. 2. La salida de soportes y documentos que contengan datos de carácter personal, incluidos los comprendidos y/o anejos a un correo electrónico, fuera de los locales bajo el control del responsable del fichero o tratamiento deberá ser autorizada por el responsable del fichero o encontrarse debidamente autorizada en el documento de seguridad. 3. En el traslado de la documentación se adoptarán las medidas dirigidas a evitar la sustracción, pérdida o acceso indebido a la información durante su transporte. 4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior. 5. La identificación de los soportes que contengan datos de carácter personal que la organización considerase especialmente sensibles se podrá realizar utilizando sistemas de etiquetado comprensibles y con significado que permitan a los usuarios con acceso autorizado a los citados soportes y documentos identificar su contenido, y que dificulten la identificación para el resto de personas. Artículo 93. Identificación y autenticación. 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 IV En consecuencia, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por el AYUNTAMIENTO DE LOS BARRIOS contra la resolución de esta Agencia dictada con fecha 6 de septiembre de 2018, en el expediente de actuaciones previas de inspección E/02942/2018. SEGUNDO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE LOS BARRIOS. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es