1/6 Procedimiento nº.: PS/00106/2014 ASUNTO: Recurso de Reposición Nº RR/00602/2014 Examinado el recurso de reposición interpuesto por la entidad DECATHLON ESPAÑA S.A. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00106/2014, y en virtud de los siguientes, HECHOS PRIMERO: Con fecha 22 de julio de 2014, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00106/2014 , en virtud de la cual se imponía a la entidad DECATHLON ESPAÑA S.A., una sanción de 3.000 € y otra de 20.000 €, por la vulneración de lo dispuesto en los artículos 4.5 y 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracciones tipificadas como graves en los artículos 44.3.
- c)y 44.3.
- b)respectivamente, de conformidad con lo establecido en el artículo 45 .1, .2, .4 y .5 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 25 de julio de 2014, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00106/2014, quedó constancia de los siguientes: procedimiento sancionador, <<PRIMERO: Con fecha 10 de febrero de 2014 la Inspección de Datos de esta Agencia realiza una visita de inspección del sistema de videovigilancia del establecimiento de la entidad DECATHLON ESPAÑA S.A. situado en el Polígono Comercial El Golf, Km 104, Talavera de la Reina, Toledo. (folios 5 a 13) SEGUNDO: Durante la inspección el responsable de Decathlon manifestó que el sistema consta de 15 cámaras de video, 6 instaladas en el interior de la tienda, 2 en la puerta de entrada del público y 7 en el exterior. Disponen además de una cámara de video instalada en la sala en la que se encuentra la caja fuerte con el objetivo de vigilar dicha caja. Esta cámara es autónoma y no se encuentra conectada al sistema de videovigilancia general. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 Que la finalidad de la instalación es la seguridad del personal, empleados y bienes y para evitar el robo de mercancías. Que al sistema de videovigilancia acceden el Director y la Organizadora de la tienda. Que disponen de carteles informativos colocados en cada una de las entradas al establecimiento en los que se informa de la existencia de una zona videovigilada y del responsable ante el que ejercer los derechos de protección de datos de carácter personal. Que las cámaras instaladas no captan imágenes de lugares sensibles, como probadores, aseos, vestuarios, etc. (folios 5 a 13) TERCERO: Los inspectores comprobaron la existencia de las cámaras y de los carteles referidos, que en un despacho cerrado con llave hay un ordenador desde el que se gestiona el sistema y desde el que se comprueba que no se captan lugares sensibles, que las cámaras exteriores recogen imágenes del perímetro del establecimiento, incluido el parking de su propiedad y el tiempo durante el que se conservan las imágenes grabadas. (folios 5 a 13) CUARTO: De la documentación gráfica obtenida en el acta se comprueba que la cámara identificada como número 1 recoge también imágenes de la entrada al supermercado de la cadena LIDL cercano al establecimiento denunciado. Para la comprobación del tiempo durante el que se conservan las imágenes grabadas se captó una imagen en la que se puede verse que en la esquina inferior izquierda figura la leyenda “reproduciendo fecha y hora: 2014/01/01” y en la superior derecha figura la fecha “03/01/2014”. (folios 5 a 13 y 19) QUINTO: Se ha verificado por la inspección de datos que consta en el Registro General de Protección de Datos de la Agencia Española de Protección de Datos un fichero inscrito denominado VIDEOVIGILANCIA cuyo responsable es DECATHLON ESPAÑA, SAU. (folios 16 a 17)>> TERCERO: La entidad DECATHLON ESPAÑA S.A. ha presentado en fecha 4 de agosto de 2014, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en que en la Propuesta de Resolución se tuvo en cuenta “el carácter reincidente de la tienda en cuestión” para graduar el importe de la sanción a proponer por lo que es necesaria una nueva graduación de las sanciones en un importe considerablemente más reducido pues no existen circunstancias agravantes que motiven esos importes ni reincidencia por comisión de infracciones de la misma naturaleza. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por la entidad DECATHLON ESPAÑA S.A. en su escrito de recurso, debe señalarse que ya fueron analizadas y desestimadas en el Fundamento de Derecho X de la Resolución recurrida, tal como se transcribe a continuación: << X El artículo 45 .1 .2 .4 y .5 de la LOPD, establece lo siguiente: 1. Las infracciones leves serán sancionadas con multa de 900 € a 40.000 €. 2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 €. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» De conformidad con el análisis realizado se ha incurrido en las infracciones descritas. Así, ha quedado acreditado que la entidad DECATHLON ESPAÑA S.A. utiliza sus cámaras de videovigilancia que captan imágenes de la vía pública y de edificios contiguos de forma inadecuada y excesiva, sin contar con el consentimiento de los afectados para el tratamiento de sus datos personales, así como que dicha entidad conserva las imágenes durante un plazo superior al máximo establecido en el art. 6 de la Instrucción 1/2006 de la AEPD, actuaciones que no responden a la intervención mínima que exige la ponderación entre la finalidad de vigilancia y control de bienes y personas y la posible afectación por la utilización de las mencionadas videocámaras al derecho al honor, a la propia imagen, a la intimidad de las personas y a la normativa de protección de datos, constituyendo tales conductas las infracciones graves tipificadas en los artículos 44.3.
- b)y 44.3.c). Se solicita, en las alegaciones al acuerdo de inicio que en caso de no valorar la petición de exención de responsabilidad o de aplicación del apercibimiento se tenga en cuenta el artículo 45.5 LOPD para aplicar la escala relativa a las infracciones leves. En el presente caso, aunque ha quedado acreditada la comisión por parte de la entidad DECATHLON ESPAÑA S.A. de las infracciones graves imputadas a dicha empresa, en lo que respecta a la actuación infractora se estima que concurren una serie de circunstancias que suponen una disminución cualificada de la culpabilidad. Si bien se ha producido un tratamiento de datos personales inconsentido y se ha producido una vulneración del principio de calidad de datos por la falta de cancelación de los datos en el plazo máximo permitido, sin embargo, en el presente caso ha de tenerse en cuenta que el sistema de videocámaras instalado tenía como finalidad el control y protección de bienes y personas del establecimiento, debiendo valorarse la concurrencia de la circunstancia prevista en el artículo 44.5.
- b)sobre la regularización diligente de la situación irregular, toda vez que se ha acreditado por medio de certificado de la empresa de mantenimiento del sistema denunciado y de documentación gráfica al respecto, que se ha ajustado el ángulo de captación de imágenes de los domos móviles exteriores situados en la entrada principal y zona de reserva, para que no capten imágenes del exterior del recinto propiedad de Decathlon y se ha verificado que los grabadores digitales conservan las grabaciones durante 30 días. Por todo ello, se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 considera que procede la aplicación de lo previsto en el artículo 45.5 de la LOPD que permite establecer la cuantía de la sanción aplicando la escala relativa a las infracciones que preceden en gravedad. Por otra parte, el art. 45.4 de la LOPD recoge una serie de criterios relativos a la aplicación del principio de proporcionalidad en la graduación del importe de la sanción, según las indicaciones del art. 131.3 de la LRJPAC (Ley 30/92 de 26 de noviembre), que establece: “en la determinación normativa del régimen sancionador, así como en la imposición de sanciones por las Administraciones Públicas se deberá guardar la debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada, considerándose especialmente los siguientes criterios para la graduación de la sanción a aplicar:
- a)la existencia de intencionalidad o reiteración,
- b)la naturaleza de los perjuicios causados,
- c)la reincidencia”. Pues bien la secuencia de hechos expuesta en esta resolución, valorada en aplicación de dichos criterios, y teniendo en cuenta los criterios expuestos en los puntos b y d del punto 4 del artículo 45 de la LOPD, respecto del volumen de los tratamientos efectuados en una entidad como la aquí imputada y con un elevado volumen de negocio, permiten, que en este caso, se considere procedente la imposición de una sanción en la cuantía de 3.000 € por la infracción del artículo 4.5 de la LOPD y una sanción en la cuantía de 20.000 € por la infracción del artículo 6.1 de la LOPD.>> III La entidad recurrente expone, como único motivo de su recurso, que “en la Propuesta de Resolución se tuvo en cuenta “el carácter reincidente de la tienda en cuestión” para graduar el importe de la sanción a proponer por lo que es necesaria una nueva graduación de las sanciones en un importe considerablemente más reducido pues no existen circunstancias agravantes que motiven esos importes ni reincidencia por comisión de infracciones de la misma naturaleza”. En el presente expediente se ha aplicado la posibilidad contemplada en el artículo 45.5.
- b)que permite establecer la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que precede inmediatamente en gravedad a la constatada en esta ocasión, y ello porque se ha considerado el hecho de que la entidad infractora ha regularizado la situación irregular de forma diligente. En el expediente quedó acreditado que se ha ajustado el ángulo de captación de imágenes de los domos móviles exteriores situados en la entrada principal y zona de reserva, para que no capten imágenes del exterior del recinto propiedad de Decathlon y se ha verificado que los grabadores digitales conservan las grabaciones durante 30 días. Por otra parte para la graduación del importe de la sanción en la resolución recurrida, tal y como se expuso entonces, se ha tenido en cuenta el volumen de los tratamientos efectuados por la entidad ahora recurrente y el elevado volumen de negocio, circunstancias contempladas en el punto 4 apartados b y d del artículo 45 de la LOPD. Estas son las circunstancias que han sido valoradas para la imposición de las sanciones en la resolución ahora recurrida sin que se hayan tenido en cuenta otras C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 circunstancias para la imposición de los importes, Los párrafos del escrito de propuesta, que no correspondían al presente expediente y que en nada se tuvieron en consideración por carecer de sentido su inclusión, fueron eliminados en la resolución recurrida según la facultad prevista en el artículo 105 de Ley 30/1992 de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, según el cual las Administraciones Públicas podrán rectificar en cualquier momento los errores materiales, de hecho o aritméticos existentes en sus actos. Por lo tanto, en el presente recurso de reposición, la entidad DECATHLON ESPAÑA S.A. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por la entidad DECATHLON ESPAÑA S.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 22 de julio de 2014, en el procedimiento sancionador PS/00106/2014. SEGUNDO: NOTIFICAR la presente resolución a la entidad DECATHLON ESPAÑA S.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es