1/5 Procedimiento nº.: PS/00236/2021 Recurso de reposición Nº RR/00659/2021 Examinado el recurso de reposición interpuesto por Don A.A.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00236/2021, y en base a los siguientes HECHOS PRIMERO: Con fecha 7 de septiembre de 2021, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00236/2021, en virtud de la cual se imponía a una sanción de 3000€ (Tres Mil euros), por la vulneración de lo dispuesto en el artículo 5.1
- b)del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en lo sucesivo RGPD), infracción tipificada en el artículo 83.5 del RGP. Dicha resolución, que fue notificada al recurrente en tiempo y forma según consta acreditado en el sistema, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la LOPDPGDD, y supletoriamente en la LPACAP, en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00236/2021, quedó constancia de los siguientes: procedimiento sancionador, Primero. Los hechos traen causa de la reclamación de fecha 27/01/21 por medio de la cual se traslada “la utilización de imágenes extraídas del sistema de video-vigilancia instalado en el establecimiento hostelero ***ESTABLECIMIENTO.1 para su difusión a través de la aplicación WhatsApp, así como en otros medios de difusión” (folio nº 1). Segundo. Consta identificado como principal responsable Don A.A.A., responsable del sistema de video-vigilancia instalado en ***ESTABLECIMIENTO.1. Tercero. Consta aportada Acta Notarial por la que se protocoliza las páginas de Internet que permiten el acceso a la reproducción del video obtenido de las cámaras del establecimiento ***ESTABLECIMIENTO.1, dónde se visualiza la imagen del reclamante (Documento probatorio nº 1 Anexo Documental). Cuarto. Consta acreditado que el establecimiento hostelero ***ESTABLECIMIENTO.1 dispone de un sistema de cámaras de video-vigilancia que permite obtener imágenes del interior del mismo, contando con el preceptivo cartel (
- es)informando que se trata de una zona video-vigilada. Quinto. Consta acreditado que se ha realizado un tratamiento de los datos del afectado con un ánimo de zaherir utilizando las imágenes obtenidas del sistema de cáC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 maras instalados con el fin de afectar al honor del mismo difundiendo imágenes del reclamante que pudiera afectar a su reputación pública. TERCERO: A.A.A. (*en lo sucesivo el recurrente) ha presentado en fecha 19 de octubre de 2021, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo en los siguientes extremos: “manifestar que por el compareciente No se pudieron realizar las correspondientes alegaciones, tanto ante la notificación de la Resolución (…) debido a que el suscribiente estuvo gravemente enfermo por haber contraído la COVID-19. El compareciente no es el titular de local de hostelería ***ESTABLECIMIENTO.1, sito en ***DIRECCIÓN.1 y, por tanto, tampoco era ni es responsable del tratamiento de dichos datos, concretamente de las imágenes obtenidas del sistema de videovigilancia de dicho local de hostelería y cuya difusión se pretende penalizar. Tampoco quien suscribe es el encargado del tratamiento de dichos datos, desconociendo quien o qué personas ha podido sustraer las imágenes del día 14 de junio de 2020 grabadas por la cámara de video-vigilancia, por lo que no pude recaer sanción alguna en la persona que comparece. En resumen, el responsable del tratamiento es quien tiene la mayor responsabilidad en lo que a la protección de datos se refiere, es quien decide la finalidad y uso de los datos (…) y quien tendrá que demostrar el cumplimiento de la Ley ante las autoridades de control competentes. Por todo lo expuesto, al no tener el suscribiente la condición ni de responsable del tratamiento de datos imágenes), así como tampoco de encargado del tratamiento de dichos datos, desconociendo las personas que han podio sustraer las imágenes…no procede imponer sanción alguna al compareciente y, por ende, debe dictarse resolución a través de la cual se decrete el archivo del presente Expediente Sancionador”. CUARTO: En fecha 21/01/21 se procede a solicitar a la empresa encargada de la instalación del sistema de cámaras de video-vigilancia copia del contrato suscrito en orden a examinar las cláusulas del mismo, para poder contrastar lo aseverado por el recurrente. QUINTO: En fecha 03/11/2021 se procede a dar traslado de copia del escrito Recurso reposición a la parte reclamante (denunciante inicial) a efectos de ejercitar en su caso el derecho a réplica sobre las manifestaciones esgrimidas en el mismo. SEXTO: Consultada la base de datos de este organismo en fecha 16/11/21 ninguna nueva manifestación o escrito alguno se ha presentado por el denunciante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 48.1 de la LOPDPGDD. II En el presente caso, se procede a examinar el escrito calificado como Recurso reposición presentado en fecha 19/10/21 por medio del cual el recurrente manifiesta su disconformidad con la sanción impuesta por este organismo, en esencia al “no considerarse responsable de los hechos que se le imputan”. Los hechos traen causa de la reclamación de fecha 27/01/21 por medio de la cual se traslada “la utilización de imágenes extraídas del sistema de video-vigilancia instalado en el establecimiento hostelero ***ESTABLECIMIENTO.1para su difusión a través de la aplicación WhatsApp, así como en otros medios de difusión” (folio nº 1). El artículo 5.1
- b)RGPD dispone lo siguiente:
- b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad») La imagen de una persona es una “dato personal” siempre que se la pueda identificar, que puede ser tratada de diferentes maneras, para distintas finalidades. La finalidad de un sistema de video-vigilancia es la seguridad de la propiedad privada y de los moradores frente a agresiones externas (vgr. robo con fuerza en las cosas). El art. 22.1 LOPDGDD (LO 3/2018, 5 diciembre) dispone: “Las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones”. Igualmente, las imágenes (datos personales) obtenidas con las mismas deben conservarse solo para su puesta a disposición de la autoridad competente “para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones” (art. 22.4 LOPDGDD). La cesión de las imágenes obtenidas de un sistema de video-vigilancia están tasadas en la normativa, concretando igualmente los motivos para hacerlo, no pudiendo difundirse para una finalidad incompatible con la obtención de las mismas: la seguridad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 La difusión de las mismas a través de distintos medios no encuentra acomodo en causa legítima alguna para ello, realizando un “tratamiento de los datos” del afectado fuera de los casos permitidos por la Ley, siendo incompatible con la finalidad de seguridad a la que obedece la instalación de las mismas, siendo tratadas sin la debida reserva exigible en estos casos. III El recurrente aporta una única prueba documental en el presente procedimiento de recurso (Doc. probatorio nº 1) consistente en un certificado de instalación de la empresa de seguridad SECUREXT en dónde se certifica literalmente “la instalación y/ o el mantenimiento, revisión y prueba de los aparatos, equipos y sistemas de detección anti-intrusión (robo), según la normativa Ley de Seguridad Privada en materia de instalaciones de Sistemas de Seguridad (…)”., fechado 04/2020. Cabe indicar que en el mismo se indica claramente que el Cliente de la empresa instaladora es Don B.B.B., que certifica la instalación y mantenimiento de los equipos instalados, pero no se plasma en el mismo que la empresa de seguridad-Securtex —sea la responsable del tratamiento de los datos del sistema asociados al local ***ESTABLECIMIENTO.1. El “Responsable del tratamiento" es la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento. En el caso de sistemas de video-vigilancia el responsable suele ser el establecimiento que se ve beneficiado por la seguridad del sistema, debiendo contar con un responsable en el acceso a las imágenes del dispositivo (s), que es el “cliente” o persona que contrata el servicio de instalación con una empresa de seguridad, quedando plasmada tal situación en el documento contractual que suscriben las partes, no aportado en este caso por el recurrente a los efectos de sus análisis por esta Agencia. En fecha 11/11/2021 se recibe escrito de la empresa SECUREXT en dónde se plasma lo siguiente “que por parte de la presente mercantil solo se realizó dichos trabajos de instalación y ampliación, no habiendo extraído esta parte imágenes de dicho sistema”; “que en fecha 23 de abril de 2020 se realizó una ampliación del mismo, cuyo responsable es B.B.B.”. (folio n1 1). Se aporta igualmente copia de la factura (
- s)realizadas a nombre del cliente “B.B.B.” en un servicio de instalación de nueve cámaras de video-vigilancia. La parte recurrente no realiza ninguna aclaración complementaria sobre el responsable de la instalación en el mencionado establecimiento hostelero, ciñéndose a negar en este momento cualquier autoría y/o participación en los hechos objeto de reclamación, siendo no obstante coincidentes el primer apellido de los dos sujetos asociados el presente caso. IV En consecuencia, en el presente recurso de reposición, este organismo determina que dada la gravedad de los hechos objeto de imputación, el recurrente no es el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 responsable principal del sistema de video-vigilancia instalado en el establecimiento hostelero ***ESTABLECIMIENTO.1, considerando oportuno continuar la investigación del mismo en nuevo procedimiento sancionador contra la citada entidad por parte de la Subdirección General de Inspección de datos, pero exculpando al mismo de la responsabilidad en su momento imputada y sancionada, procediendo por consiguiente a Estimar sus pretensiones de dejar sin efecto la sanción impuesta. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR el recurso de reposición interpuesto por A.A.A. contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 7 de septiembre de 2021, en el procedimiento sancionador PS/00236/2021. SEGUNDO: ORDENAR la apertura de un nuevo procedimiento sancionador contra la entidad ***ESTABLECIMIENTO.1, en orden a depurar las responsabilidades de las conductas descritas. TERCERO: NOTIFICAR la presente resolución a la entidad A.A.A. e INFORMAR al reclamante inicial C.C.C.. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contenciosoadministrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 180-100519 Mar España Martí Directora de la AEPD (Agencia Español Protección Datos) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es