← España

REPOSICION-PS-00224-2022

1/23  Expediente nº.: EXP202202563 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por SUPERCOR, S.A. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 21/03/2023, y en base a los siguientes HECHOS PRIMERO: Con fecha 21/03/2023, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente EXP202202563, en virtud de la cual se imponía a SUPERCOR, S.A., con NIF A78476397, una multa de 70.000 euros (setenta mil euros), por la vulneración de lo dispuesto en el artículo 6 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en lo sucesivo RGPD); infracción tipificada en el artículo 83.5.

  1. a)del mismo Reglamento y calificada como muy grave a efectos de prescripción en el artículo 72.1.
  2. b)de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDPGDD). Dicha resolución, que fue notificada a la parte recurrente en fecha 22/03/2023, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la LOPDGDD, y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00224/2022, quedó constancia de los siguientes: procedimiento sancionador, <<PRIMERO: La parte reclamada, dedicada a la venta de productos de alimentación, perfumería y droguería, dispone de un establecimiento abierto al público denominado “(…)”, ubicado en ***LOCALIDAD.1. SEGUNDO: El centro indicado en el Hecho Probado Primero dispone de un sistema de videovigilancia del que es responsable la parte reclamada. (…). TERCERO: En XXXX, la parte reclamada tuvo sospechas sobre la sustracción de bienes (mercancías) en el establecimiento citado por parte de empleados del mismo centro. A este respecto, la parte reclamada ha manifestado que este establecimiento recibió unos productos que iban destinados a otro centro, los cuales habían desaparecido cuando el departamento de compras pretendió recuperarlos. Según la parte reclamada, la falta de los productos se detectó confrontando el inventario de la mercancía recibida con el albarán. Y añade que, por ello, en un primer momento se instaló una cámara en el almacén, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/23 que permitió comprobar la retirada de productos por parte de algunos empleados que no eran puestos a la venta, con la sospecha de que la mercancía sustraída se depositaba en un cuarto del centro; y que, con este motivo y para llevar a cabo una investigación interna, con fecha ***FECHA.1 decidió instalar una cámara en dicho cuarto, al que se accede a través del pasillo que conduce también a otras estancias del centro, ubicado en una zona de acceso exclusivo al personal de la entidad. Dicha cámara fue desinstalada en fecha ***FECHA.2. El cuarto en el que se instaló esta cámara adicional cuenta con una mesa, una silla, aparato de aire acondicionado, una tostadora de pan, nevera y microondas. En las fotos del interior de este cuarto aportadas por las partes reclamantes y reclamada se ven dos tablones de anuncios y varias cajas de embalaje. En uno de los tablones de anuncios se expone información sindical, entre otra. En relación con esta sala, la parte reclamada ha declarado que “es utilizada de forma unilateral por parte de los trabajadores de dicho centro, como sala de descanso”. CUARTO: Las partes reclamantes prestaron servicio como empleadas de la parte reclamada en el centro “(…)”. QUINTO: En fecha ***FECHA.3, las partes reclamantes recibieron carta de despido por un “incumplimiento grave y culpable” basado en una serie de imágenes captadas por los sistemas de videovigilancia del establecimiento en el que desarrollaban sus tareas. Dicha carta consta suscrita por la parte reclamante y por el Departamento de Personal de la parte reclamada. En la carta de despido entregada por la parte reclamada a la parte reclamante 1 se indica: “…esta empresa ha tomado la decisión de sancionarle por la comisión de una falta muy grave, de manera tal que queda extinguida la relación laboral que le vincula a usted con Supercor, S.A. desde el momento de la recepción de la presente carta. Como Usted conoce, el Dpto. de Seguridad de nuestro centro cuenta con sistemas especializados de videovigilancia con el fin de velar por la seguridad de las personas y bienes, tal y como se recordó recientemente a los órganos de representación legal de los trabajadores, se informa dentro de la aplicación Nexo… y se expuso en el tablón de anuncios de su Centro de Trabajo… utilizándose, en su caso, para la imposición de sanciones disciplinarias por incumplimiento del contrato de trabajo… …desde el departamento de Compras se envió por error una serie de productos destinado a un Centro distinto al suyo… se trató de recuperar la mercancía, la cual no se encontró en su Centro… se pudo comprobar que no existía ninguna operación de venta que justificase su desaparición. Como consecuencia de ello, se le informa de lo sucedido al XXXXXXXXX de Supercor… para que utilizando los medidos de que disponen hicieran llegar a este Departamento de Personal sus conclusiones sobre lo sucedido. En virtud de ello el viernes XXXXXX se hizo llegar a este Departamento de Personal un informe en el que se detallaban los siguientes hechos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/23 Se procedió a comprobar las imágenes a través de las cámaras de seguridad instaladas por el Departamento de seguridad… . El lunes XXXXXX… entra en el cuarto de personal habilitado para el descanso (habitación junto a la oficina equipado de una nevera para que el personal pueda introducir la bebida y comida de carácter particular y personal que traen los integrantes de la tienda para tomar en el descanso reglamentario), una silla y una mesa; siendo este lugar destinado exclusivamente para el descanso del personal, cierra la puerta, e inmediatamente empieza a quitarse parte del uniforme de trabajo… Acto seguido, termina de desvestirse en este cuarto de descanso… Termina de vestirse con su ropa de calle (sin bajar al vestuario ubicado en la planta inferior a la tienda…) para seguidamente salir del cuarto de descanso, ya sin el uniforme para abandonar el centro… El martes XXXXXX… a las 15:47 horas, entra en el cuarto de descanso para el personal, cierra la puerta, procediendo de nuevo a quitarse parte del uniforme de trabajo. Minutos antes, entró y salió del cuarto de descanso, en el que se encontraba comiendo en su tiempo reglamentario otra compañera… Una vez dentro del cuarto… Acto seguido, procede a vestirse con su ropa de calle…; para salir del cuarto de descanso junto a la colaboradora… que entra estando Ud. en el cuarto… El viernes XXXXXX… entra en el cuarto de personal habilitado para el descanso, cierra la puerta… El domingo XXXXXX… entra en el cuarto de personal habilitado para el descanso, cierra la puerta…”. El contenido de la carta de despido de la parte reclamante 2 es similar al reseñado anteriormente. En el mismo se hace referencia igualmente a la captación de imágenes en “el cuarto de descanso para el personal”: El martes XXXXXX… a las 14:51 horas, entra en el cuarto de descanso para el personal (habitación junto a la oficina equipado de una nevera para que el personal pueda introducir la bebida y comida de carácter particular y personal que traen los integrantes de la tienda para tomar en el descanso reglamentario, una silla y una mesa; siendo este lugar destinado exclusivamente para el descanso del personal)… El domingo XXXXXX… entra en el cuarto de descanso … ya con parte de su uniforme cambiado, termina de cambiarse los zapatos en dicho cuarto de descanso para marcharse de nuevo… Acto seguido a las 20.23 entra Ud. En el cuarto de descanso…, saliendo Ud. A las 20.27 del cuarto de descanso… El lunes XXXXXX…, para acto seguido entrar en el cuarto de descanso y empieza a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/23 preparar… A las 16.25 horas, estando Dª… en el cuarto de descanso cambiándose de ropa de trabajo y vestirse con su ropa de calle, entra Ud… Posteriormente, a las 16.33 sale UD. junto a su compañera… del cuarto de descanso…”. SEXTO: El centro “(…)” dispone de un anuncio destinado al personal con información sobre las “Cámaras de videovigilancia” con el texto siguiente: “Con motivo de la adaptación de los sistemas de videovigilancia a la normativa vigente en materia de protección de datos, la Dirección de la empresa recuerda a todos sus trabajadores que los sistemas de grabación continuada que existen en el centro comercial y zonas de trabajo, bien sean de acceso, tránsito, venta, elaboración o almacenamiento, muelle o aparcamiento, tiene como finalidad el control de la seguridad de las personas, bienes, instalaciones y mercancías a la venta. Además, podrán ser utilizadas legalmente para la detección de acciones irregulares, sean estas realizadas por personas ajenas a la empresa o por personal que presta servicios en la misma, utilizándose, en su caso, para la imposición de sanciones disciplinarias por incumplimiento del contrato de trabajo…”>>. TERCERO: Con fecha 21/04/2023, dentro del plazo establecido, se ha interpuesto recurso de reposición por SUPERCOR, S.A. (en lo sucesivo, la parte reclamada o la parte recurrente o SUPERCOR) contra la resolución reseñada en el Antecedente Primero, de fecha 21/03/2023, en el que reproduce las alegaciones formuladas durante la tramitación del procedimiento que dio lugar a la resolución impugnada y solicita que se acuerde su archivo. Así, después de declarar reproducidas sus alegaciones a la propuesta de resolución, que considera no desvirtuadas en la resolución, reitera las circunstancias relativas a los motivos que llevaron a instalar de manera temporal (minimización de datos) la cámara de videovigilancia, que esta media supera el juicio de proporcionalidad, considerando su finalidad (esclarecer unos hechos delictivos), y que era la única medida de control para acreditar estos hechos (idoneidad). Insiste en que la cámara se instaló en una “sala de mermas”, acreditada mediante los planos del establecimiento, y aduciendo al respecto las mismas razones que la entidad recurrente puso de manifiesto durante la tramitación del procedimiento, sobre la inexistencia de una zona de descanso, las dimensiones de la sala, la posibilidad de los trabajadores de hacer uso del tiempo de descanso durante la jornada laboral en el exterior del centro de trabajo. Advierte que el error cometido al elaborar las cartas de despido, identificando a esa sala como una zona de descanso no resulta de las manifestaciones de las partes reclamantes, sino que se trata de un error humano por parte del administrativo del Departamento de Personal que elaboró dichas cartas, y considera que este hecho quedó acreditado en sus escritos anteriores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/23 Rechaza la afirmación que se realiza por la AEPD en cuanto a la no aportación del informe realizado por el XXXXXXX, señalando nuevamente que se aportaron fotografías del informe manuscrito en el que se detallan cronológicamente los hechos investigados; y sobre la falta de justificación de los motivos que llevaron a complementar el sistema de videovigilancia existente con una cámara adicional, entendiendo al respecto que su fundamento viene determinado por la necesidad de averiguar las causas de las pérdidas económicas que se estaban produciendo para poder adoptar las medidas disciplinarias que fueran de aplicación. En cuanto a la graduación de la sanción, la parte recurrente hace referencia a la intencionalidad apreciada, indicando que “ha quedado patente que existió tal pretensión, pues era la única forma con la que mi representada podía acreditar el delito que estaba cometiendo la parte reclamante, y que le estaba causando un perjuicio económico”; y que no encontró “ninguna otra media menos intrusiva”. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la LPACAP y el artículo 48.1 de la LOPDGDD. II Contestación a las alegaciones presentadas En relación con las manifestaciones efectuadas por la parte recurrente, que reproducen las alegaciones presentadas por la parte recurrente durante la tramitación del procedimiento sancionador, sin añadir ningún argumento nuevo, debe señalarse que ya fueron analizadas y desestimadas en los Fundamentos de Derecho II a VII de la Resolución recurrida, de fecha 21/03/2023, en la que se considera que la misma incumplió lo dispuesto en el artículo 6 del RGPD y se detalla suficientemente la valoración de las pruebas que han permitido determinar dicho incumplimiento y el alcance otorgado al mismo, así como las circunstancias tenidas en cuenta para la graduación de la sanción impuesta. En dichos Fundamentos de Derecho se indica lo siguiente: <<II La imagen es un dato personal La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. En el artículo 4.2 del RGPD se define el concepto de “tratamiento” de datos personales. Las imágenes generadas por un sistema de cámaras o videocámaras son datos de carácter personal, por lo que su tratamiento está sujeto a la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/23 Es, por tanto, pertinente analizar si el tratamiento de datos personales (imagen de las personas físicas) llevado a cabo a través del sistema de videovigilancia denunciado es acorde con lo establecido en el RGPD. III Infracción. Marco normativo El artículo 6.1 del RGPD establece los supuestos que permiten considerar lícito el tratamiento de datos personales. “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. La implantación permanente de un sistema de cámaras de video por razones de seguridad tiene base legítima en la LOPDGDD, cuya exposición de motivos indica: “Junto a estos supuestos se recogen otros, tales como la videovigilancia… en que la licitud del tratamiento proviene de la existencia de un interés público, en los términos establecidos en el artículo 6.1.
  10. e)del Reglamento (UE) 2016/679”. En cuanto al tratamiento con fines de videovigilancia, el artículo 22 de la LOPDGDD establece que las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. Este mismo artículo 22, en su apartado 8, dispone que “El tratamiento por el empleador de datos obtenidos a través de sistemas de cámaras o videocámaras se somete a lo dispuesto en el artículo 89 de esta ley orgánica”. Este artículo 89 de la LOPDGDD, referido al “Derecho a la intimidad frente al uso de dispositivos de videovigilancia y de grabación de sonidos en el lugar de trabajo”, establece lo siguiente: “1. Los empleadores podrán tratar las imágenes obtenidas a través de sistemas de cámaras o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/23 videocámaras para el ejercicio de las funciones de control de los trabajadores o los empleados públicos previstas, respectivamente, en el artículo 20.3 del Estatuto de los Trabajadores y en la legislación de función pública, siempre que estas funciones se ejerzan dentro de su marco legal y con los límites inherentes al mismo. Los empleadores habrán de informar con carácter previo, y de forma expresa, clara y concisa, a los trabajadores o los empleados públicos y, en su caso, a sus representantes, acerca de esta medida. En el supuesto de que se haya captado la comisión flagrante de un acto ilícito por los trabajadores o los empleados públicos se entenderá cumplido el deber de informar cuando existiese al menos el dispositivo al que se refiere el artículo 22.4 de esta ley orgánica. 2. En ningún caso se admitirá la instalación de sistemas de grabación de sonidos ni de videovigilancia en lugares destinados al descanso o esparcimiento de los trabajadores o los empleados públicos, tales como vestuarios, aseos, comedores y análogos. 3. La utilización de sistemas similares a los referidos en los apartados anteriores para la grabación de sonidos en el lugar de trabajo se admitirá únicamente cuando resulten relevantes los riesgos para la seguridad de las instalaciones, bienes y personas derivados de la actividad que se desarrolle en el centro de trabajo y siempre respetando el principio de proporcionalidad, el de intervención mínima y las garantías previstas en los apartados anteriores. La supresión de los sonidos conservados por estos sistemas de grabación se realizará atendiendo a lo dispuesto en el apartado 3 del artículo 22 de esta ley”. Sobre la legitimación para la implantación de sistemas de videovigilancia en el ámbito laboral, se tiene en cuenta el Real Decreto Legislativo 1/1995, de 24/03, que aprueba el texto refundido de la Ley del Estatuto de los Trabajadores (LET), cuyo artículo 20.3 señala: “3. El empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad y teniendo en cuenta, en su caso, la capacidad real de los trabajadores con discapacidad”. El Tribunal Constitucional, en la Sentencia 98/2000, de 10/04/2000, destaca en su fundamento jurídico 6 que “La jurisprudencia de este Tribunal ha insistido reiteradamente en la plena efectividad de los derechos fundamentales del trabajador en el marco de la relación laboral, ya que ésta no puede implicar en modo alguno la privación de tales derechos para quienes prestan servicio en las organizaciones productivas, que no son ajenas a los principios y derechos constitucionales. Sin embargo no basta la mera manifestación del ejercicio del poder de control por el empleador para que el derecho del trabajador se vea sacrificado. Estas limitaciones empresariales tienen que ser las indispensables y estrictamente necesarias para satisfacer un interés empresarial merecedor de tutela y protección, de manera que si existen otras posibilidades de satisfacer dicho interés menos agresivas y afectantes del derecho en cuestión, habrá que emplear estas últimas y no aquellas otras más agresivas y afectantes. Se trata, en definitiva, de la aplicación del principio de proporcionalidad”. Para comprobar si una medida restrictiva de un derecho fundamental supera el juicio de proporcionalidad es necesario constatar si cumple los tres requisitos o condiciones siguientes: . Si tal medida es susceptible de conseguir el objetivo propuesto (juicio de idoneidad); . Si es necesaria, en el sentido de que no exista otra medida más moderada para la consecución de tal propósito con igual eficacia (juicio de necesidad); C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/23 . Si la misma es ponderada o equilibrada, por derivarse de ella más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto (juicio de proporcionalidad). Así, entre las medidas de vigilancia y control admitidas se incluye la instalación de cámaras de seguridad, si bien estos sistemas deberán responder siempre al principio de proporcionalidad, es decir, el uso de las videocámaras debe ser proporcional al fin perseguido, esto es garantizar la seguridad y el cumplimiento de las obligaciones y deberes laborales. En definitiva, aun cuando el artículo 20.3 del Estatuto de los Trabajadores faculta al empresario para adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, esta adopción debe tener en cuenta obligatoriamente los derechos específicos de los trabajadores respetando los derechos a la intimidad y el derecho fundamental a la protección de datos. En los términos del citado artículo 89 de la LOPDPGDD, se permite que los empleadores puedan tratar las imágenes obtenidas a través de sistemas de cámaras o videocámaras para el ejercicio de las funciones de control de los trabajadores previstas en el artículo 20.3 del Estatuto de los Trabajadores “siempre que estas funciones se ejerzan dentro de su marco legal y con los límites inherentes al mismo”. De acuerdo con lo expuesto, los empleadores habrán de informar con carácter previo, y de forma expresa, clara y concisa, a los trabajadores o los empleados públicos y, en su caso, a sus representantes, acerca de esta medida. En definitiva, el tratamiento debe ser ajustado y proporcional a la finalidad a la que se dirige. La pertinencia en el tratamiento de los datos debe producirse tanto en el momento de la recogida de los datos como en el posterior tratamiento que se realice de los mismos, de modo que el sistema de cámaras o videocámaras instalado no pueda obtener imágenes afectando a la intimidad de los empleados, resultando desproporcionado captar imágenes en espacios privados, tales como vestuarios, taquillas o zonas de descanso de trabajadores. Así se establece expresamente en el citado artículo 89 de la LOPDGDD en relación con la instalación de sistemas de videovigilancia: “2. En ningún caso se admitirá la instalación de sistemas de grabación de sonidos ni de videovigilancia en lugares destinados al descanso o esparcimiento de los trabajadores o los empleados públicos, tales como vestuarios, aseos, comedores y análogos. Según este artículo, la vigilancia en centros de trabajo no deberá abarcar lugares reservados al uso privado de los empleados o que no estén destinados a la realización de tareas de trabajo (como servicios, duchas, vestuarios o zonas de descanso). IV Obligaciones en materia de videovigilancia De conformidad con lo expuesto, el tratamiento de imágenes a través de un sistema de videovigilancia, para ser conforme con la normativa vigente, debe cumplir los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/23 requisitos siguientes: 1.- La personas físicas o jurídicas, públicas o privadas, pueden establecer un sistema de videovigilancia con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. Se ha de valorar si la finalidad pretendida puede lograrse de otra forma menos intrusiva para los derechos y libertades de los ciudadanos. Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios, considerando 39 del RGPD. 2.- Las imágenes obtenidas no puedan utilizarse para una finalidad ulterior incompatible con la que motivó la instalación del sistema de videovigilancia. 3.- Se deberá cumplir el deber de informar a los afectados previsto en los artículos 12 y 13 del RGPD, y 22 de la LOPDGDD, en los términos ya señalados. 4.- No pueden captarse imágenes de la vía pública, puesto que el tratamiento de imágenes en lugares públicos, salvo que concurra autorización gubernativa, sólo puede ser realizado por las Fuerzas y Cuerpos de Seguridad. En algunas ocasiones, para la protección de espacios privados, donde se hayan instalado cámaras en fachadas o en el interior, puede ser necesario para garantizar la finalidad de seguridad la grabación de una porción de la vía pública. Es decir, las cámaras y videocámaras instaladas con fines de seguridad no podrán obtener imágenes de la vía pública salvo que resulte imprescindible para dicho fin, o resulte imposible evitarlo por razón de la ubicación de aquéllas. Y, en tal caso extraordinario, las cámaras sólo podrán captar la porción mínima necesaria para preservar la seguridad de las personas y bienes, así como de sus instalaciones. Las cámaras instaladas no pueden obtener imágenes de espacio privativo de tercero y/o espacio público sin causa justificada debidamente acreditada, ni pueden afectar a la intimidad de transeúntes que transiten libremente por la zona. No está permitida, por tanto, la colocación de cámaras hacia la propiedad privada de vecinos con la finalidad de intimidarlos o afectar a su ámbito privado sin causa justificada. En ningún caso se admitirá el uso de prácticas de vigilancia más allá del entorno objeto de la instalación y en particular, no pudiendo afectar a los espacios públicos circundantes, edificios contiguos y vehículos distintos de los que accedan al espacio vigilado. No pueden captarse ni grabarse imágenes en espacios propiedad de terceros sin el consentimiento de sus titulares, o, en su caso, de las personas que en ellos se encuentren. Resulta desproporcionado captar imágenes en espacios privados, tales como vestuarios, taquillas o zonas de descanso de trabajadores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/23 5.- Las imágenes podrán conservarse por un plazo máximo de un mes, salvo en aquellos supuestos en que se deban conservar para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En este segundo supuesto, deberán ser puestas a disposición de la autoridad competente en un plazo máximo de 72 horas desde que se tuviera conocimiento de la existencia de la grabación. 6.- El responsable deberá llevar un registro de actividades de los tratamientos efectuados bajo su responsabilidad en el que se incluya la información a la que hace referencia el artículo 30.1 del RGPD. 7.- El responsable deberá realizar un análisis de riesgos o, en su caso, una evaluación de impacto en la protección de datos, para detectar los derivados de la implantación del sistema de videovigilancia, valorarlos y, en su caso, adoptar las medidas de seguridad apropiadas. 8.- Cuando se produzca una brecha de seguridad que afecte a los tratamientos de cámaras con fines de seguridad, siempre que exista riesgo para los derechos y libertades de las personas físicas, deberá notificarlo a la AEPD en un plazo máximo de 72 horas. Se entiende por brecha de seguridad la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizado a dichos datos. 9.- Cuando el sistema esté conectado a una central de alarma, únicamente podrá ser instalado por una empresa de seguridad privada que reúna los requisitos contemplados en el artículo 5 de la Ley 5/2014 de Seguridad Privada, de 4 de abril. La Agencia Española de Protección de Datos ofrece a través de su página web [https://www.aepd.es] acceso a: . la legislación en materia de protección de datos personales, incluyendo el RGPD y la LOPDGDD (apartado “Informes y resoluciones” / “normativa”), . la Guía sobre el uso de videocámaras para seguridad y otras finalidades, . la Guía para el cumplimiento del deber de informar (ambas disponibles en el apartado “Guías y herramientas”). También resulta de interés, en caso de realizar tratamientos de datos de bajo riesgo, la herramienta gratuita Facilita (en el apartado “Guías y herramientas”), que, mediante unas preguntas concretas, permite valorar la situación del responsable respecto del tratamiento de datos personales que lleva a cabo, y en su caso, generar diversos documentos, cláusulas informativas y contractuales, así como un anexo con medidas de seguridad orientativas consideradas mínimas. V Infracción administrativa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/23 La reclamación se basa en la presunta ilicitud de la cámara de videovigilancia instalada en la zona habilitada para el descanso del personal en el centro en el que las partes reclamantes prestaban servicio como empleadas de SUPERCOR. Consta en la documentación incorporada a las actuaciones que la propia entidad SUPERCOR define esta zona del establecimiento como sigue: “…cuarto de personal habilitado para el descanso (habitación junto a la oficina equipado de una nevera para que el personal pueda introducir la bebida y comida de carácter particular y personal que traen los integrantes de la tienda para tomar en el descanso reglamentario), una silla y una mesa; siendo este lugar destinado exclusivamente para el descanso del personal…”. No resulta controvertido en este caso el hecho de que la parte reclamada es la titular y responsable del sistema de videovigilancia denunciado y, por tanto, la responsable de los tratamientos de datos que conlleva la utilización de dicho sistema. Y tampoco el hecho de que entre los tratamientos de datos realizados por la parte reclamada se contempla la recogida y almacenamiento de datos personales relativos a la imagen de empleados recogidos en el interior del área indicada anteriormente, concretamente, la imagen de las partes reclamantes 1 y 2. Consta probado en las actuaciones, asimismo, que la instalación del sistema de videovigilancia se realiza con fines de seguridad y control laboral. También que inicialmente este sistema no incluía la instalación de ninguna cámara en la indicada zona de descanso del personal. Al realizar la recogida y utilización de las imágenes obtenidas en la zona de descanso del personal, la parte reclamada no tiene en cuenta los limites previstos en el artículo 20.3 de la Ley del Estatuto de los Trabajadores (LET), que admite la grabación de imágenes para el ejercicio de funciones de control laboral cuando esas funciones respeten el marco legal y con los límites inherentes al mismo, como es el respeto a la dignidad del trabajador; y tampoco lo dispuesto en el artículo 89.2 de la LOPDGDD, que prohíbe, en todo caso, la instalación de sistemas de grabación de videovigilancia “en lugares destinados al descanso o esparcimiento de los trabajadores…, tales como vestuarios, aseos, comedores y análogos”. En consecuencia, en este caso, se ha vulnerado la prohibición general que establece el artículo 89.2 de la LOPDGDD, sobre la captación de imágenes en una zona de descanso del personal. La parte reclamada ha negado en sus alegaciones que el cuarto en el que se instaló la cámara adicional sea un cuarto habilitado para el descanso del personal, señalando que se trata de una “sala de mermas” utilizada por los trabajadores como sala de descanso de forma unilateral y bajo su responsabilidad. Argumenta, a este respecto, que el reducido espacio de este cuarto no permite dotarla como sala de descanso para el número de empleados que pueden utilizarlo en cada turno conforme a las normas que regulan la seguridad y salud en el trabajo. Sin embargo, no aporta ninguna prueba que acredite el destino de ese espacio como “sala de mermas”. Y para salvar el hecho de que esta sala se define como un cuarto de descanso en la documentación elaborada por la propia entidad reclamada, como en las cartas de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/23 despido que constan reseñadas en el Hecho Probado Quinto, SUPERCOR ha manifestado en sus alegaciones a la apertura del procedimiento que la indicación de ese uso, como espacio de descanso, se produjo por un error humano e involuntario del administrativo del Departamento de Personal que entrevistó a las partes reclamantes para esclarecer los hechos, el cual elaboró las cartas de despido reflejando en las mismas la descripción de dicho espacio realizada por las partes reclamantes. Posteriormente, durante la fase de prueba, la parte reclamada ha señalado que “no hubo entrevistas previas al momento del despido, sino una entrevista final en la que se comunican los hechos a la trabajadora y se le presenta la correspondiente carta de despido”. Por tanto, si no hubo entrevistas con las partes reclamantes previas al momento del despido y la carta de despido ya estaba elaborada cuando el Departamento de Personal se entrevistó con dichas partes para comunicar el fin de la relación laboral, no es posible que el repetido documento refleje las manifestaciones de las personas trabajadoras implicadas, ni que estas manifestaciones hubiesen inducido a error alguno. Durante la mencionada fase de pruebas, la parte reclamada califica ese supuesto error como un “error gramatical” y aporta un documento (“Certificado”) suscrito por el XXXXXXXXX, presentado como “Fe de erratas”. Se manifiesta en este documento que fue un error nombrar a la “sala de mermas” como sala de descanso porque en el centro ya existe un espacio habilitado como vestuario; circunstancia esta última que no excluye que el centro disponga también de un espacio de descanso. También en la fase de pruebas la parte reclamada ha aportado copia del escrito dirigido a un Delegado Sindical dando cuenta de los hechos en los que está implicada la parte reclamante 1, en el que se describe el cuarto en cuestión como “cuarto de personal habilitado para el descanso”. Interesa destacar, asimismo, que la definición de la mencionada sala como zona de descanso de los trabajadores en las cartas de despido se presenta como el resultado de la investigación realizada por el XXXXXXXXXX de SUPERCOR, recogido en un informe de XXXXXX que dicho responsable hizo llegar al Departamento de Personal. Dice la carta de despido: “En virtud de ello, el viernes XXXXXX se hizo llegar a este Departamento de Personal un informe en el que se detallaban los siguientes hechos. Se procedió a comprobar las imágenes… El Lunes XXXXXX, estando Ud. en turno de trabajo como Jefa de tienda de turno de mañana y de turno de tarde, a las 16:12 horas, entra en el cuarto de personal habilitado para el descanso (habitación junto a la oficina equipado de una nevera (para que el personal pueda introducir la bebida y comida de carácter particular y personal que traen los integrantes de la tienda para tomar en el descanso reglamentario), una silla y una mesa; siendo este lugar destinado exclusivamente para el descanso del personal, cierra la puerta…”. Dicho informe no ha sido aportado a las actuaciones por SUPERCOR, a pesar de que fue requerido expresamente por el instructor del procedimiento en fase de pruebas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/23 En definitiva, SUPERCOR no ha aportado ninguna evidencia que contradiga lo expresado por la propia entidad en la documentación que consta incorporada a las actuaciones, que fue elaborada por ella misma. Se concluye que las imágenes que han motivado las reclamaciones fueron captadas en una zona habilitada para el descanso de los empleados de la parte reclamada. En todo caso, a juzgar por la dotación de la sala, que cuenta con una mesa, una silla, aparato de aire acondicionado, una tostadora de pan, nevera, microondas y un tablón de anuncios con información sindical, existen indicios más que suficientes para entender que dicha sala era utilizada por los trabajadores como cuarto de descanso. De la misma forma, la información facilitada a esta Agencia por SUPERCOR da a entender que conocía el uso que venía realizándose de la sala por los trabajadores, sin que haya justificado haberlo prohibido. Interesa destacar a este respecto lo declarado por el Tribunal Superior de Justicia de Cataluña, Sala de lo Social, en Sentencia 2298/2022, de 12 de abril, Rec. 7352/2021, sobre un supuesto de instalación de una cámara de videovigilancia en un almacén que era utilizado por los trabajadores de la empresa como vestuario con el conocimiento del responsable de la misma: “Por otra parte, a la vista de dichos hechos probados, es irrelevante que la estancia donde estaban instaladas las cámaras fuera el almacén o cualquier otra, pues lo importante es que se utilizaba como vestuario por decisión de la hoy recurrente, razón por la que queda comprendida en el supuesto de hecho de la prohibición establecida en el artículo 89.2 de la Ley Orgánica 3/2018, aparte de que, en cualquier caso, es palmario que el hecho de tener cámaras instaladas en la estancia del centro de trabajo destinada a vestuario de los trabajadores, comporta una infracción evidente del derecho fundamental a la intimidad reconocido en el artículo 18.1 CE, incluso con independencia del citado artículo 89.2 de la Ley Orgánica 3/2018. Y, desde luego, frente a todo ello, no es relevante que la demandante pudiera conocer que estaban instaladas las cámaras, pues dicha circunstancia no afecta a su derecho fundamental a la intimidad”. Y no solo eso. Se entiende, además, desproporcionada la captación de dichas imágenes para el control del cumplimiento por las partes reclamantes de sus obligaciones y deberes laborales, al no haberse justificado que el fin pretendido no hubiese podido obtenerse por otros medios menos intrusivos. Se tiene en cuenta que la grabación de imágenes en las zonas indicadas supone una mayor intromisión en la intimidad. Considera la parte reclamada que la utilización realizada del sistema de videovigilancia persigue un objetivo legítimo, como es la protección de sus bienes y el control del cumplimiento por las partes reclamantes de sus deberes y obligaciones laborales, que la instalación de la cámara en cuestión fue temporal y solo para el desarrollo de una investigación interna justificada por las sospechas de sustracción de bienes por parte de los empleados. Sin embargo, esta Agencia entiende que el establecimiento en cuestión ya disponía de un sistema de videovigilancia global que permitía el visionado y grabación de imágenes en todas las zonas públicas, según consta detallado en los antecedentes de este acto, sin que la parte reclamada haya justificado los motivos que la llevaron a complementar dicho sistema con la instalación de una cámara adicional en la zona de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/23 descanso de los trabajadores, ni que la instalación de esta cámara fuese imprescindible para obtener los resultados pretendidos respecto de la sustracción de artículos propiedad de la parte reclamada. Tampoco ha justificado SUPERCOR que dichas conclusiones no hubiesen podido obtenerse sin esta cámara adicional, haciendo uso solo del sistema instalado en las zonas en las que sí está permitida la captación de imágenes junto con otros instrumentos a su disposición. Prueba de ello es que SUPERCOR ha manifestado que, en un primer momento, comprobó la falta de productos mediante la realización de un inventario de la mercancía recibida en el centro y también que inicialmente se sirvió de imágenes tomadas en la zona de almacén para comprobar que algunos empleados retiraban mercancías que no eran puestas a la venta. En una situación similar, la Audiencia Nacional, Sala de lo Social, en Sentencia 251/2021, de 30/11/2021 (Rec. 226/2021) ha declarado: “Dicho principio de proporcionalidad supone que se pueden utilizar esos sistemas cuando otras medidas de prevención, protección y seguridad, de naturaleza física o lógica, que no requieren la captación de imágenes resulten claramente insuficientes o inaplicables en relación con los fines legítimos mencionados anteriormente, es decir que deba atenderse un equilibrio entre los perjuicios causados (intromisión en la intimidad de las personas) y los beneficios que suponga su uso (control laboral, patrimonio empresarial, etc.) y, por tanto, no basta con la alegación de un genérico "interés legítimo empresarial en proteger su patrimonio y evitar los hurtos" para efectuar un control como el acordado, sin ninguna justificación específica previa” . Nada ha manifestado de contrario la entidad SUPERCOR respecto de ninguno de los razonamientos expresados en este Fundamento de Derecho en su escrito de alegaciones a la propuesta de resolución, en el que se ha limitado a reiterar (I) que la actuación desarrollada era la única medida posible para acreditar los hechos ilícitos que se estaban cometiendo, sin justificarlo en forma alguna; (II) que los planos aportados acreditan la existencia de una “Sala de mermas”, cuando no contienen ninguna indicación sobre el uso de este cuarto; (iii) o que la utilización de dicho espacio como vestuario se realizó por la partes reclamantes de forma unilateral. Por otra parte, advierte ahora en este escrito de alegaciones a la propuesta de resolución que el informe del XXXXXXXXX de la entidad que se cita en las Cartas de Despido no existe, que la única descripción de los hechos consta en el manuscrito que fue aportado durante la fase de prueba, a pesar de que en su respuesta al requerimiento de prueba indicó que dejaba a disposición de la Agencia el cuaderno “en el que se redactó el mencionado informe”, que no aportó, como se ha explicado. También, en este escrito de alegaciones, en apoyo de su pretensión de archivo de actuaciones, cita varias sentencias que no modifican el planteamiento y conclusión expresados en el presente acto. Entre ellas, la Sentencia del Tribunal Superior de Justicia de Galicia 4136/2021, de 11 de junio, que admite la instalación de cámaras ante sospechas fundadas de ilícitos, la cual respeta como necesaria la doble concurrencia de información exigible y ponderación. La Sentencia del Tribunal Constitucional 119/2022, de 29 de septiembre, que admite C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/23 estas grabaciones sin tener que cumplir el deber de informar cuando existan indicios sobre la comisión de actos ilícitos, no exista otra forma menos invasiva de confirmar la ilicitud de la conducta del trabajador y se respeten los lugares de descanso. En esta Sentencia se declara: “En consecuencia, en el marco general del control del cumplimiento de un contrato de trabajo, y a estos solos fines, el empresario podrá instalar un sistema de videovigilancia. La instalación y uso del sistema no requerirá el consentimiento de los trabajadores, pero sí exige un deber de informar a estos con carácter previo y de forma expresa sobre su existencia y finalidad. La ubicación de las cámaras habrá de respetar la intimidad propia de los lugares destinados al descanso o esparcimiento, o que tengan un carácter reservado. No obstante, la utilización de las imágenes captadas para verificar o acreditar la comisión flagrante de un acto ilícito no exigirá el previo deber de información, que podrá entenderse cumplido cuando se haya colocado en lugar visible un distintivo informativo de la existencia del sistema, de su responsable y de su finalidad. (…) En las concretas circunstancias del caso, puede afirmarse que la instalación del sistema de videovigilancia y la consiguiente utilización de las imágenes captadas resultaba una medida justificada, idónea, necesaria y proporcionada. (
  11. i)La medida estaba justificada, porque concurrían sospechas indiciarias suficientes de una conducta irregular del trabajador —ya descrita— que debía ser verificada. (
  12. ii)La medida puede considerarse como idónea para la finalidad pretendida, que no era otra que la constatación de la eventual ilicitud de la conducta, lo que fue confirmado precisamente mediante el visionado de las imágenes. (iii) La medida era necesaria, ya que no parece que pudiera adoptarse ninguna otra menos invasiva e igualmente eficaz para acreditar la infracción laboral. Cualquier otra medida habría advertido al trabajador, haciendo entonces inútil la actuación de la empresa. (
  13. iv)Finalmente, la medida puede considerarse como proporcionada. En este punto hay que ponderar diversos elementos de juicio. Así, en primer lugar, las cámaras no estaban instaladas en lugares de descanso, ocio o de carácter reservado, en los que existiera una expectativa razonable de privacidad, sino que estaban instaladas en zonas de trabajo abiertas a la atención al público. En segundo lugar, las cámaras no estaban instaladas de forma subrepticia, sino que estaban ubicadas en lugares visibles, tanto para los trabajadores del establecimiento como para el público en general. En tercer lugar, las cámaras no fueron utilizadas con carácter generalizado o indefinido, o para realizar una investigación de carácter prospectivo, sino para verificar la posible existencia de una conducta irregular detectada el día anterior. Por lo tanto, el grado de intromisión en la esfera de la intimidad del trabajador (art. 18.1 CE), en términos de espacio y tiempo, no puede considerarse como desequilibrado frente a los derechos e intereses de la empresa en la detección y sanción de las conductas atentatorias contra la buena fe contractual, en el marco del ejercicio de los derechos a la propiedad privada y a la libertad de empresa, reconocidos en los arts. 33 y 38 CE, respectivamente”. Y la Sentencia del Tribunal Supremo 285/2022, de 30 de marzo, que admite como justificación del despido de un trabajador la prueba de las cámaras instaladas con la finalidad de reducir y evitar pérdidas al comercio, si bien esta Sentencia se refiere a la instalación de cámaras en lugares de trabajo: “La cuestión controvertida consistía en determinar si debió admitirse la prueba de videovigilancia que aportó en el proceso judicial la empresa para justificar el despido disciplinario de uno de sus trabajadores, motivado en la comisión de irregularidades en relación con la caja registradora en su lugar de trabajo. La empresa había instalado cámaras fijas en determinados puntos de venta para intentar reducir y prevenir la pérdida desconocida en el comercio al por menor. Previamente se informó a los representantes de la plantilla de los cambios de ubicación de las cámaras y de la instalación de nuevos equipos de videovigilancia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/23 en determinados puntos con especificación de los mismos, así como la instalación de carteles adhesivos informando de existencia de cámara a la entrada de los establecimientos y en el interior de los mismos”. En consecuencia, en virtud de cuanto antecede, se considera que los hechos expuestos vulneran lo establecido en el artículo 6 del RGPD, por la realización de tratamientos de datos personales (recogida y grabación de imágenes de las partes reclamantes) sin base jurídica que los legitime, por lo que suponen la comisión de una infracción tipificada en el artículo 83.5.
  14. a)del RGPD, que da lugar a la aplicación de los poderes correctivos que el artículo 58 del citado Reglamento otorga a la Agencia Española de Protección de Datos. Este artículo 83.5.
  15. a)del RGPD dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  16. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;”. A efectos del plazo de prescripción de las infracciones, la infracción señalada en el párrafo anterior se considera muy grave conforme al artículo 72.1 de la LOPDGDD, que establece: “En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  17. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679”. Esta es la tipificación que se ajusta a la concreta conducta analizada en este caso, de modo que no cabe estimar la petición expresada por la parte reclamada en su escrito de alegaciones a la propuesta de resolución, para que los hechos expuestos se sancionen conforme a lo dispuesto en el artículo 83.4 y se califiquen como infracción grave a leve según los artículos 73 y 74 de la LOPDGDD. Cabe destacar que SUPERCOR no ha indicado qué infracción de las recogidas en estos artículos de la LOPDGDD se ajusta a los hechos infractores que se tienen por probados. En todo caso, es preciso señalar que la clasificación expresada en estos artículos se valora únicamente a efectos de prescripción. VI Propuesta de sanción El artículo 58.2 del RGPD establece: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (...)
  18. d)ordenar al responsable o encargado de tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/23 (...)
  19. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular”. Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en el artículo 58.2.
  20. d)del citado Reglamento es compatible con la sanción consistente en multa administrativa. Con respecto a la infracción del artículo 6 del RGPD, atendiendo a los hechos expuestos, se considera que la sanción que correspondería imponer es de multa administrativa. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Así, se considera, con carácter previo, la condición de gran empresa de la parte reclamada y su volumen de negocio (consta en las actuaciones (…). A fin de determinar la multa administrativa a imponer se han de observar las previsiones del artículo 83.2 del RGPD, que señala lo siguiente: “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  21. a)a
  22. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  23. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  24. b)la intencionalidad o negligencia en la infracción;
  25. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  26. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  27. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  28. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  29. g)las categorías de los datos de carácter personal afectados por la infracción;
  30. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  31. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  32. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  33. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD, respecto al apartado
  34. k)del citado artículo 83.2 RGPD, dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/23 apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  35. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  36. a)El carácter continuado de la infracción.
  37. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  38. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  39. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  40. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  41. f)La afectación a los derechos de los menores.
  42. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  43. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, se estiman concurrentes como agravantes los criterios de graduación siguientes: . Artículo 83.2.
  44. b)del RGPD: “
  45. b)la intencionalidad o negligencia en la infracción". La instalación de la cámara de videovigilancia que permitió la recogida de imágenes en un espacio privado destinado al descanso de los trabajadores se realiza a iniciativa de la parte reclamada, de forma intencionada. A este respecto, SUPERCOR ha manifestado que su única intención fue descubrir los hechos que se estaban cometiendo y adoptar las medidas disciplinarias necesarias, y, en base a ello, entiende que no puede considerarse como agravante la intencionalidad, pues no existía ninguna otra medida menos intrusiva para probar la comisión del delito. Sin embargo, la intencionalidad que se valora como agravante no está relacionada con el fin perseguido, sino con la instalación de cámaras en una zona de descanso de los trabajadores. . Artículo 76.2.
  46. b)de la LOPDGDD: “
  47. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales”. La alta vinculación de la parte reclamada con la realización de tratamientos de datos personales, de clientes y trabajadores, considerando la actividad que desarrolla. Asimismo, se considera concurrente como atenuante el criterio de graduación siguiente: . Artículo 83.2.
  48. a)del RGPD: “
  49. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido”. . El número de interesados: la utilización del sistema de videovigilancia para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/23 control laboral afecta únicamente a los trabajadores del centro concreto en el que se instaló la cámara de videovigilancia controvertida. Considerando los factores expuestos, la valoración que alcanza la multa por la infracción del artículo 6 del RGPD es de 70.000 euros (setenta mil euros). Entiende la parte reclamada que no se argumenta sobre el importe de la multa que se impone, sin considerar los criterios de graduación expuestos, que ya constaban con el mismo alcance en la propuesta de resolución. Para justificar una reducción del importe de la multa, alega que únicamente se ha visto afectada la imagen de las partes reclamantes, circunstancia esta que ya ha sido considerada al graduar el importe de la multa, según ha quedado expuesto; y que la única finalidad sobre la captación de esas imágenes fue probar el acto ilícito que se estaba cometiendo, lo que no se niega en el procedimiento, pero se ha estimado insuficiente para entender proporcionada la actuación de SUPERCOR, por cuanto existían otros medidos para averiguar los hechos presuntamente ilícitos que se venían cometiendo. También alega SUPERCOR la ausencia de reincidencia para que sea considerada como una atenuante. Si bien, ninguno de los factores de graduación considerados queda atenuado por el hecho de que la entidad reclamada no haya sido objeto de un procedimiento sancionador con anterioridad. A este respecto, la Sentencia de la AN, de 05/05/2021, rec. 1437/2020, indica: “Considera, por otro lado, que debe apreciarse como atenuante la no comisión de una infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que debe tenerse en cuenta para la imposición de la multa administrativa, entre otras, la circunstancia "
  50. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento". Se trata de una circunstancia agravante, el hecho de que no concurra el presupuesto para su aplicación conlleva que no pueda ser tomada en consideración, pero no implica ni permite, como pretende la actora, su aplicación como atenuante”. Según el citado artículo 83.2 del RGPD, al decidir la imposición de una multa administrativa y su cuantía de debe tener en cuenta “toda infracción anterior cometida por el responsable”. Es una previsión normativa que no incluye la inexistencia de infracciones precedentes como factor de graduación de la multa, el cual debe entenderse como un criterio próximo a la reincidencia, aunque más amplio. En cuanto a la ausencia de beneficios, también alegada como atenuante por la entidad reclamada, se tiene en cuenta que el artículo 76.2 de la LOPDGDD, en su letra c), incluye entre los criterios que deben sopesarse a la hora de fijar la cuantía de la sanción “los beneficios obtenidos como consecuencia de la comisión de la infracción” y no la ausencia de estos beneficios. La misma Sentencia de la Audiencia Nacional citada, de 05/05/2021, se refiere a la necesidad de que concurra el “presupuesto” de hecho contemplado en la norma para que pueda aplicarse un determinado criterio de graduación, y, como se ha dicho, la ausencia de beneficios no está entre las circunstancias reguladas en el artículo citado. Este criterio de graduación se establece en la LOPDGDD de acuerdo con lo previsto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/23 en el artículo 83.2.
  51. k)del RGPD, según el cual las multas administrativas se impondrán teniendo en cuenta cualquier “factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”, entendiéndose que evitar una pérdida tiene la misma naturaleza a estos efectos que la obtención de beneficios. Si a esto añadimos que las sanciones deberán ser “en cada caso individual” efectivas, proporcionadas y disuasorias, conforme a lo previsto en el artículo 83.1 del RGPD, admitir la ausencia de beneficios como una atenuante, no solo es contrario a los presupuestos de hechos contemplados en el artículo 76.2.c), sino también contrario a lo establecido en el artículo 83.2.
  52. k)del RGPD y a los principios señalados. Así, valorar la ausencia de beneficios como una atenuante anularía el efecto disuasorio de la multa, en la medida en que minora el efecto de las circunstancias que inciden efectivamente en su cuantificación, reportando al responsable un beneficio al que no se ha hecho merecedor. Sería una rebaja artificial de la sanción que puede llevar a entender que infringir la norma sin obtener beneficios, financieros o del tipo que fuere, no le producirá un efecto negativo proporcional a la gravedad del hecho infractor. En todo caso, las multas administrativas establecidas en el RGPD, conforme a lo establecido en su artículo 83.2, se imponen en función de las circunstancias de cada caso individual y, en el presente, no se estima que la ausencia de beneficios sea un factor de graduación adecuado y determinante para valorar la gravedad de la conducta infractora. Solo en el caso de que esta ausencia de beneficios sea relevante para determinar el grado de antijuricidad y de culpabilidad presentes en la concreta actuación infractora podrá considerarse como una atenuante, en aplicación del artículo 83.2.
  53. k)del RGPD, que se refiere a “cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso”. VII Medidas de adecuación Confirmada la infracción, es preciso determinar si procede o no imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  54. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. En este caso, la cámara de videovigilancia objeto de controversia fue utilizada temporalmente y desinstalada en XXXXXX. En base a ello, no se propone la imposición a la parte reclamada de la obligación de adoptar medidas adicionales a la sanción de multa>>. III C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/23 Conclusión En su escrito de recurso, la parte recurrente se limita a reproducir algunos de los argumentos expuestos en los escritos de alegaciones presentados durante la tramitación del procedimiento que dio lugar a la resolución impugnada, sin considerar los hechos constatados y los fundamentos que sirven de base al acuerdo adoptado, en los que, además, se analizan ampliamente las circunstancias puestas de manifiesto por dicha entidad y se exponen las razones que determinaron su desestimación. Por tanto, los alegatos contenidos en el recurso quedan sobradamente rebatidos con los argumentos transcritos, que se consideran válidos y suficientes para rechazar el archivo de las actuaciones solicitado. Se considera oportuno, no obstante, reiterar que la infracción resulta del tratamiento de datos personales que supone la recogida de la imagen de las partes reclamantes mediante una cámara de videovigilancia adicional instalada al efecto en una zona utilizada para el descanso del personal. Esta recogida de imágenes consta acreditada en las actuaciones y reconocida por la propia parte recurrente, que ha basado su defensa, también en el recurso interpuesto, en negar que la sala en cuestión estuviese destinada al uso indicado, señalando que se trataba de una “sala de mermas”. Si bien, como ya indica la resolución impugnada, la consideración de la indicada sala como una zona destinada al descanso del personal resulta de documentos elaborados por la propia entidad recurrente, la cual ha intentado desvirtuar el contenido de esos documentos a lo largo del procedimiento con argumentos sin ningún soporte y que fueron modificados a medida que la parte recurrente iba conociendo las razones ofrecidas por parte de la AEPD para desestimar tales argumentos. Un ejemplo de ello tiene que ver con las cartas de despido elaboradas por el Departamento de Personal, en las que se califica y se describe la sala como una zona de descanso. La parte recurrente señaló inicialmente que ello se debió a las manifestaciones realizadas por las partes reclamantes en las entrevistas previas al despido, si bien, una vez se demostró que esas entrevistas previas no tuvieron lugar, se sustituyó aquel argumento por el de considerar aquella descripción de la sala como un error humano del administrativo que elaboró las cartas y, posteriormente, como una simple errata. Sobre el juicio de proporcionalidad de la medida adoptada por la parte recurrente, nada indica en su recurso sobre las razones que determinaron el rechazo de un aspecto tan importante como la idoneidad de la medida en relación con el fin perseguido y la posibilidad de alcanzarlo mediante medidas menos intrusivas, ya detalladas en los fundamentos de derecho transcritos. En cuanto al importe de la multa impuesta, ninguna mención hace el recurso a los factores y criterios de graduación apreciados en la resolución, y tampoco a las razones que determinaron la desestimación de los criterios propuestos como concurrentes por la entidad recurrente durante el procedimiento. En el recurso interpuesto únicamente hace referencia a la intencionalidad apreciada por esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/23 Agencia, sin negarla, para volver a señalar que la instalación de la cámara en cuestión era la única medida para acreditar el delito que se estaba cometiendo, cosa que esta Agencia no comparte, como se ha indicado. Por último, interesa destacar que durante la fase de pruebas del procedimiento se requirió a la parte recurrente la aportación del informe del XXXXXXXX que se cita en las cartas de despido, en el que se basa dicha carta, sin que el mismo fuese aportado por la dicha entidad, como bien se señala en la resolución recurrida. En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por SUPERCOR, S.A., con NIF A78476397, contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 21/03/2023, en el expediente EXP202202563. SEGUNDO: NOTIFICAR la presente resolución a SUPERCOR, S.A. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  55. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/23 en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  56. a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-111122 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.