REPOSICION-E-05507-2017

1/7 Procedimiento nº.: E/05507/2017 ASUNTO: Recurso de Reposición Nº RR/00388/2018 Examinado el recurso de reposición interpuesto por Dª. A.A.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/05507/2017, y en base a los siguientes HECHOS PRIMERO: Con fecha 14 de marzo de 2018, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/05507/2017. Dicha resolución fue notificada a la recurrente en fecha 21 de abril de 2018, según acuse de recibo del servicio de Correos, que figura en el expediente. SEGUNDO: Dª. A.A.A. (en lo sucesivo la recurrente) ha presentado en esta Agencia, en fecha 21 de mayo de 2018, recurso de reposición, fundamentándolo básicamente en: Que no está a disposición de los vecinos el formulario informativo. Que lleva años pidiendo la información relativa a la instalación del sistema de videovigilancia tanto al presidente de la comunidad como a la administradora y no se lo han proporcionado. Que la empresa instaladora del sistema AGÜERO, es la única encargada del tratamiento de las imágenes y no el presidente de la Comunidad. AGÜERO lo realiza mediante un monitor y un software remoto de control. Así lo explico la administradora en las Juntas de febrero de 2017 y enero de 2018 y así consta en el presupuesto que se aprobó (aporta copia del presupuesto al respecto). El cartel de zona videovigilada colocado en la entrada de la puerta es tan pequeño que pasa desapercibido junto a los otros adheridos. El cartel colocado en la pared del portal continúa despegado(aporta fotografía). Sigue sin haber carteles en la entrada al garaje del edificio localizada en su fachada trasera. Si el sistema ha sido instalado con finalidad de control de acceso al edificio y la seguridad de los vecinos no ha cumplido con su finalidad, ya que hay mujeres que dan acceso a la finca a personas desconocidas de paso, hecho que ya ha comunicado en la Junta General de Propietarios de enero de 2018. Que el Reglamento 1720/2017 no señala que deba concretarse exactamente el momento (día y hora) para proceder al borrado de las imágenes ya grabadas por el sistema de videovigilancia, por lo que considera que su petición de cancelación es acorde con el Reglamento. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 II La recurrente manifiesta su disconformidad con la resolución, ahora recurrida, en varias cuestiones que serán seguidamente analizadas. En primer lugar, respecto a las manifestaciones de la recurrente relativas a que no está a disposición de los vecinos el formulario informativo, debe señalarse que el formulario informativo es el que hace alusión el artículo 3

1. b)de la Instrucción 1/2006. Así, en cuanto al modo en que hay de facilitarse la información recogida en el artículo 5 de la LOPD, debe tenerse en cuenta el artículo 3 de la Instrucción 1/2006, que establece lo siguiente: “Los responsables que cuenten con sistemas de videovigilancia deberán cumplir con el deber de información previsto en el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre. A tal fin deberán:
2. a)Colocar, en las zonas videovigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados y
3. b)Tener a disposición de los/las interesados/as impresos en los que se detalle la información prevista en el artículo 5.1 de la Ley Orgánica 15/1999. El contenido y el diseño del distintivo informativo se ajustará a lo previsto en el Anexo de esta Instrucción.” En el caso que nos ocupa, en fase de actuaciones previas, se aportó por la Comunidad denunciada el citado impreso informativo a disposición de los interesados, cumpliendo por tanto la citada Comunidad, el artículo 3
4. b)de la Instrucción 1/2006, en relación al artículo 5 de la LOPD. Enlazando con esta alegación manifiesta la recurrente que lleva años pidiendo la información relativa a la instalación del sistema de videovigilancia, tanto al presidente de la comunidad como a la administradora, y no se lo han proporcionado. A este respecto, cabe decir que el artículo 18.1 de la LOPD señala que: “Las actuaciones contrarias a lo dispuesto en la presente Ley pueden ser objeto de reclamación por los afectados ante la Agencia Española de Protección de Datos, en la forma que reglamentariamente se determine”. El artículo 15 de la LOPD dispone que: “1. El interesado tendrá derecho a solicitar y obtener gratuitamente información de sus datos de carácter personal sometidos a tratamiento, el origen de dichos datos, así como las comunicaciones realizadas o que se prevén hacer de los mismos. 2. La información podrá obtenerse mediante la mera consulta de los datos por medio de su visualización, o la indicación de los datos que son objeto de tratamiento mediante escrito, copia, telecopia o fotocopia, certificada o no, en forma legible e inteligible, sin utilizar claves o códigos que requieran el uso de dispositivos mecánicos específicos. 3. El derecho de acceso a que se refiere este artículo sólo podrá ser ejercitado a intervalos no inferiores a doce meses, salvo que el interesado acredite un interés legítimo al efecto, en cuyo caso podrán ejercitarlo antes.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 El artículo 25 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD dispone: “1. Salvo en el supuesto referido en el párrafo 4 del artículo anterior, el ejercicio de los derechos deberá llevarse a cabo mediante comunicación dirigida al responsable del fichero, que contendrá:
5. a)Nombre y apellidos del interesado; fotocopia de su documento nacional de identidad, o de su pasaporte u otro documento válido que lo identifique y, en su caso, de la persona que lo represente, o instrumentos electrónicos equivalentes; así como el documento o instrumento electrónico acreditativo de tal representación. La utilización de firma electrónica identificativa del afectado eximirá de la presentación de las fotocopias del DNI o documento equivalente. El párrafo anterior se entenderá sin perjuicio de la normativa específica aplicable a la comprobación de datos de identidad por las Administraciones Públicas en los procedimientos administrativos.
6. b)Petición en que se concreta la solicitud.
7. c)Dirección a efectos de notificaciones, fecha y firma del solicitante.
8. d)Documentos acreditativos de la petición que formula, en su caso. 2. El responsable del tratamiento deberá contestar la solicitud que se le dirija en todo caso, con independencia de que figuren o no datos personales del afectado en sus ficheros. 3. En el caso de que la solicitud no reúna los requisitos especificados en el apartado primero, el responsable del fichero deberá solicitar la subsanación de los mismos. 4. La respuesta deberá ser conforme con los requisitos previstos para cada caso en el presente título. 5. Corresponderá al responsable del tratamiento la prueba del cumplimiento del deber de respuesta al que se refiere el apartado 2, debiendo conservar la acreditación del cumplimiento del mencionado deber. 6. El responsable del fichero deberá adoptar las medidas oportunas para garantizar que las personas de su organización que tienen acceso a datos de carácter personal puedan informar del procedimiento a seguir por el afectado para el ejercicio de sus derechos. 7. El ejercicio de los derechos de acceso, rectificación, cancelación y oposición podrá modularse por razones de seguridad pública en los casos y con el alcance previsto en las Leyes. 8. Cuando las leyes aplicables a determinados ficheros concretos establezcan un procedimiento especial para la rectificación o cancelación de los datos contenidos en los mismos, se estará a lo dispuesto en aquéllas.” El artículo 27 del Reglamento de desarrollo de la LOPD, establece: “1. El derecho de acceso es el derecho del afectado a obtener información sobre si sus propios datos de carácter personal están siendo objeto de tratamiento, la finalidad del tratamiento que, en su caso, se esté realizando, así como la información disponible sobre el origen de dichos datos y las comunicaciones realizadas o previstas de los mismos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 2. En virtud del derecho de acceso el afectado podrá obtener del responsable del tratamiento información relativa a datos concretos, a datos incluidos en un determinado fichero, o a la totalidad de sus datos sometidos a tratamiento. No obstante, cuando razones de especial complejidad lo justifiquen, el responsable del fichero podrá solicitar del afectado la especificación de los ficheros respecto de los cuales quiera ejercitar el derecho de acceso, a cuyo efecto deberá facilitarle una relación de todos ellos. 3. El derecho de acceso es independiente del que otorgan a los afectados las leyes especiales y en particular la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común.” Posteriormente en el supuesto de que en el plazo de un mes no recibiese contestación o esta fuese insatisfactoria, puede presentarse reclamación de tutela de derechos ante esta Agencia Española de Protección de Datos, acompañando la documentación que acredite la solicitud y recepción del referido ejercicio del derecho ante el responsable correspondiente. En consecuencia con lo anterior, no se aporta por la recurrente documentos que acrediten haber ejercido su derecho de acceso con los requisitos legalmente establecidos. Asimismo, el derecho de acceso reviste caracteres especiales en materia de grabaciones de imágenes. Debe tenerse en cuenta que la grabación realizada puede contener no solamente imágenes de la persona que ejerce el derecho de acceso sino de terceras personas siendo así que la visualización o la entrega de una copia de la grabación que contenga imágenes de personas distintas a quien ejerce dicho derecho de acceso constituirá una cesión de datos, definida por el artículo 3
9. j)de la LOPD como “Toda revelación de datos realizada por persona distinta del interesado”. Tomando en consideración la posibilidad de que el otorgamiento del acceso pueda dar lugar a una cesión de datos de terceros, esta Agencia ha venido sosteniendo, que el derecho de acceso reviste características especiales en el ámbito de la videovigilancia, quedando restringidos los sistemas de consulta, tal y como prevé el número 2 del artículo 28 de modo que no supone un derecho a obtener copia de la grabación efectuada ni siquiera a una visualización de la misma, sino solamente a tener conocimiento de aquellos aspectos a que se refiere el artículo 27.1 del Reglamento, anteriormente transcrito. En segundo lugar, respecto a que el cartel de zona videovigilada colocado en la entrada de la puerta es tan pequeño que pasa desapercibido, que el cartel colocado en la pared del portal continúa despegado y que sigue sin haber carteles en la entrada al garaje del edificio localizada en su fachada trasera, cabe decir que, respecto a las dimensiones del cartel informativo, esta Agencia ha manifestado que no existe ningún criterio de la Agencia, en el que se refiere a las dimensiones, debiendo de ser un cartel informativo acorde con el espacio en el que se vaya a ubicar. Respecto a la ubicación del cartel informativo, no es necesario que se coloque debajo de cada cámara siendo suficiente conforme a lo dispuesto en el artículo 3
10. a)de la Instrucción 1/2006, colocar el distintivo informativo en lugar suficientemente visible, tanto en espacios abiertos como cerrados. Por tanto resultaría aconsejable que si tratándose de un edificio sometido a videovigilancia en la entrada del mismo se ubicará el cartel informativo. En cuanto a la posibilidad de refundir en un solo cartel las exigencias de la normativa de seguridad privada y las de la Instrucción 1/2006, esta Agencia ha manifestado que “La posibilidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 de refundir en un cartel ambas exigencias, resultaría admisible, pero siempre, desde la perspectiva de la Agencia Española de Protección de Datos, que la información relativa al responsable del fichero, lugar donde pueden ejercitar sus derechos de acceso, rectificación, cancelación y oposición, sea clara y comprensible para los afectados”. Por lo tanto, los carteles ubicados en la entrada del portal y en la fachada del mismo, cumplen con los requisitos exigidos en la normativa de protección de datos en materia de videovigilancia. En tercer lugar, respecto a que la empresa instaladora del sistema AGÜERO, es la única encargada del tratamiento de las imágenes y no el presidente de la Comunidad, deben explicarse los conceptos de responsable y encargado del tratamiento contenidos en la Ley Orgánica 15/1999. Así, será responsable del fichero o del tratamiento, conforme al artículo 3
11. d)de la Ley, “la persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. Por su parte, es encargado del tratamiento, según el artículo 3 g), “la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. En el caso que nos ocupa, la Comunidad es la responsable del fichero de videovigilancia ya que decide sobre la finalidad, contenido y uso del tratamiento, siendo su presidente el representante de la misma y designado para poder visualizar las imágenes y la empresa instaladora del sistema AGÜERO, sería en su caso, la encargada del tratamiento de las imágenes. En cuarto lugar, respecto a las manifestaciones de la recurrente relativas a que si el sistema ha sido instalado con finalidad de control de acceso al edificio y la seguridad de los vecinos no ha cumplido con su finalidad, ya que hay mujeres que dan acceso a la finca a personas desconocidas de paso, cabe decir que son cuestiones ajenas a la competencia de esta Agencia y que no afectan al fondo de la cuestión planteada. Por último, respecto a las manifestaciones de la recurrente relativas a que el Reglamento 1720/2017 no señala que deba concretarse exactamente el momento (día y hora) para proceder al borrado de las imágenes ya grabadas por el sistema de videovigilancia, por lo que considera que su petición de cancelación es acorde con el Reglamento, cabe decir que la recurrente está confundiendo términos. A este respecto debe señalarse, que la normativa al respecto, no indica un plazo mínimo de conservación de las imágenes, pero sí un plazo máximo. Así esta Agencia, se ha pronunciado en diversas ocasiones sobre esta cuestión, señalando que respecto al plazo, sobre el que han de conservarse las imágenes, la elección de dicho plazo, no es arbitraria y sino que encuentra su fundamento tanto en la Instrucción 1/1996, sobre ficheros automatizados establecidos con la finalidad de acceder de controlar el acceso a los edificios, que en su norma quinta prescribe que “Los datos de carácter personal deberán ser destruidos cuando haya transcurrido el plazo de un mes, contado a partir del momento en que fueron recabados”, como en la propia Instrucción 1/2006 , de 8 de noviembre, de la Agencia Española de Protección de Datos, Tratamiento de datos personales con fines de vigilancia a través de cámaras o videocámaras” que recoge en su artículo 6: “Los datos serán cancelados en el plazo máximo de un mes desde su captación”. En el caso que nos ocupa, lo que se indicó a la recurrente es que a la vista de la documentación aportada por la misma, no se había ejercido en la forma legalmente establecida el derecho de cancelación, por varios motivos recogidos en el Fundamento de Derecho V, de la resolución, ahora recurrida,(tal y como se transcribe a continuación) y por tanto no resultaba obligada la respuesta del responsable del fichero (art. 24.5 del Reglamento de la LOPD,)al ser el ejercicio del derecho requisito previo necesario para poder iniciar dicho procedimiento: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 <<V Por último, en fecha 21 de diciembre de 2017 tiene entrada escrito de la denunciante en el que manifiesta que envió carta certificada al presidente de la comunidad ejercitando su derecho de cancelación de las imágenes y que Correros le confirmó la entrega el día 11 de diciembre de 2017, no habiendo recibo contestación a fecha 21 de diciembre de 2017, por lo que solicita la tutela de esta Agencia. A este respecto, examinada la solicitud y documentación presentada por la denunciante que remitió por carta certificada con acuse de recibo al Presidente de la Comunidad y en base a lo dispuesto en los artículos 16 y 18 de la Ley 15/1999, de Protección de Datos de Carácter Personal, en los artículos 25 31, 32, 33, 117 y siguientes del Reglamento de Protección de Datos de Carácter Personal aprobado por Real Decreto 1720/2007, se comunica que: El titular de los datos puede ejercitar su derecho de cancelación o rectificación de sus datos personales mediante escrito dirigido al responsable del fichero de la entidad de que se trate. El ejercicio del derecho de cancelación es personalísimo, lo que significa que el titular de los datos personalmente deberá dirigirse a dicha entidad, salvo poder expreso y por escrito del titular de los datos y fotocopia de los dos DNI (del titular de los datos y su representante) utilizando cualquier medio que permita acreditar el envío y la recepción de su solicitud, para el ejercicio de sus derechos, acompañando copia de su D.N.I.(artículo 25.b del Reglamento) Por su parte el artículo 25b) del citado Reglamento 1720/2017 señala que debe concretarse la petición en que se concreta la solicitud, es decir el momento (día y hora) del que se solicita la cancelación de las imágenes, no pudiendo realizarse una petición genérica como realiza la denunciante en el punto 1 de su solicitud: “Que se proceda a la cancelación y borrado de las imágenes de mi persona que el sistema de videovigilancia con cámaras haya captado, capturado, grabado o almacenado desde el mes de septiembre hasta hoy”. Tampoco procede realizar una solicitud de cancelación a futuro como realiza la denunciante, en el punto 2 de su escrito: “ Que desde hoy en adelante, se proceda al borrado diario de las imágenes de mi persona que el sistema capte, capture, grabe y almacene cada día”, dado que la tutela de derechos se refiere al ejercicio de derechos no atendidos. Por tanto, no puede entenderse que se haya ejercido en forma legalmente establecida el derecho del que se pretende la tutela de esta Agencia, y por tanto resulte obligada la respuesta del responsable del fichero (art. 24.5 del Reglamento de la LOPD, antes citado),al ser el ejercicio del derecho requisito previo necesario para poder iniciar dicho procedimiento. A mayor abundamiento la denunciante remitió su solicitud de ejercicio de derecho de cancelación (sin cumplir los requisitos legales como ya se ha recogido) en fecha 4 de diciembre de 2017 siendo notificado al presidente de la Comunidad el día 11 de diciembre de 2017 y la reclamación se presenta en esta Agencia el día 21 de diciembre de 2017. La normativa de protección de datos establece que el derecho de cancelación se atenderá en el plazo de 10 días a contar desde la recepción de la solicitud. Por tanto dicho plazo es el legalmente previsto para resolver, debiendo contemplar el margen de tiempo previsible y adecuado apura que la respuesta pueda ser entregada a la solicitante, siendo que la misma habitualmente se realiza a través del servicio de Correos. Sin contemplar dicho margen adecuado de tiempo es imposible evaluar si se ha procedido por el responsable a atender el derecho solicitado, que como ya se ha recogido no se ha ejercitado cumpliendo los requisitos al respecto. >> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 A la vista de lo expuesto, en el presente recurso no se han aportado nuevos hechos o fundamentos jurídicos que hagan reconsiderar la validez de la resolución impugnada por lo que procede su desestimación. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Dª. A.A.A. contra la resolución de esta Agencia dictada con fecha 14 de marzo de 2018, en el expediente de actuaciones previas de inspección E/05507/2017. SEGUNDO: NOTIFICAR la presente resolución a Dª. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es