1/8 Expediente nº: EXP202305556 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por BALLESPE, S.L (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Subdirectora General de Inspección de Datos, por vacancia del cargo de Presidencia y Adjuntía de la Agencia Española de Protección de Datos de fecha 19 de febrero de 2025, y en base a los siguientes HECHOS PRIMERO: Con fecha 19 de febrero de 2025, se dictó resolución por la Subdirectora General de Inspección de Datos, por vacancia del cargo de Presidencia y Adjuntía de la Agencia Española de Protección de Datos en el expediente EXP202305556, en virtud de la cual se imponía a BALLESPE, S.L una infracción del artículo 5.1.
- c)del RGPD, tipificada en el artículo 83.5 del RGPD y una multa de 500,00 euros (QUINIENTOS euros). Además, se le ordenaba que en virtud del artículo 58.2.
- d)del RGPD, en el plazo de un mes desde que dicha resolución fuese firme y ejecutiva, acreditase haber procedido a la reorientación de las videocámaras, de manera que se evite la captación excesiva de la vía pública. En caso de que aun con la reorientación de estas la captación de vía pública continuara siendo excesiva, habría de acreditar la incorporación de máscaras de privacidad al sistema actual o, en su defecto, la retirada del sistema de videovigilancia. Dicha resolución, que fue notificada a la parte recurrente en fecha 25 de febrero de 2025, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00360/2023, quedó constancia de los siguientes: procedimiento sancionador, HECHOS PROBADOS “PRIMERO: Existe un sistema de videovigilancia en la fachada de un edificio ubicado en ***DIRECCIÓN.1. SEGUNDO: El sistema de videovigilancia está compuesto por 3 cámaras, de las cuales únicamente dos se encuentran en funcionamiento y realizan captación excesiva de la vía pública. TERCERO: El responsable del sistema de videovigilancia es la empresa BALLESPE, S.L.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 TERCERO: La parte recurrente ha presentado en fecha 20 de marzo de 2025, en esta Agencia Española de Protección de Datos, recurso de reposición, fundamentándolo básicamente en: -La vulneración de su derecho de defensa por defectos en la notificación del acuerdo de inicio. -El visionado de las cámaras de vigilancia no es contrario a la legislación de protección de datos. Señala que la finalidad del sistema de videovigilancia era garantizar la seguridad de las instalaciones (apartamentos instalados en los bajos del edificio donde se ubican,) así como de las personas y pertenencias que en ello se encuentran. Insisten en que en las actuaciones previas consta nuestro escrito de 18 de julio de 2023 aportando captura de pantalla de las cámaras 1 y 2, la cámara 3 ya estaba fuera de servicio, en la que constata que se grababa una porción mínima de la vía pública necesaria para preservar dicha finalidad de seguridad de las personas, bienes y de las instalaciones y, por tanto, era adecuado, pertinente y limitado -La existencia de error en la apreciación de los hechos dando lugar a una falta de proporcionalidad en la sanción impuesta. Ya que las cámaras instaladas cumplen con la normativa de protección de datos, estando debidamente señalizadas y, en su caso, afectaría mínimamente a la vía pública -La aplicación de medidas correctoras han de sustituir la sanción impuesta. Subsidiariamente, en caso de que se considere la existencia de alguna irregularidad, solicita la aplicación de una medida correctora en lugar de la sanción impuesta, conforme al principio de proporcionalidad y la finalidad preventiva de la normativa de protección de datos FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). II Contestación a las alegaciones presentadas En relación con las manifestaciones efectuadas por la parte recurrente, se ha indicado en primer lugar por el recurrente que se ha vulnerado su derecho de defensa por defectos en la notificación del acuerdo de iniciación del procedimiento sancionador indicando que ello supone “la vulneración del derecho de defensa del artículo 24 de la Constitución Española, dado que el acuerdo de iniciación fue notificado exclusivamente a la dirección electrónica y no fue abierto por el destinatario, entendiéndose rechazada la notificación“. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 La parte reclamante en este sentido continúa afirmando que “En materia de notificaciones, se lesiona el art. 24 de la CE la llamada indefensión material que impide el cumplimiento de su finalidad, tendente a comunicar la resolución en los términos que permitan mantener las alegaciones 2 o formular los recursos establecidos en el ordenamiento jurídico frente a dicha resolución. Y este elemento básico se deben predicar de la notificación electrónica administrativa que ha de ser garantía del derecho fundamental a la tutela judicial efectiva. En este sentido: La STS de 16 de noviembre de 2016 (STS 4991/2016) recuerda cómo lo electrónico “en modo alguno ha supuesto, está suponiendo, un cambio de paradigma, en cuanto que el núcleo y las bases sobre las que debe girar cualquier aproximación a esta materia siguen siendo las mismas dada su importancia constitucional” (FJ 3º). La STS 1254/2020, de 29 de septiembre que, si bien la notificación electrónica es válida, debe garantizarse el conocimiento efectivo del acto por parte del destinatario, así como que la Administración debe agotar los mecanismos de notificación previstos en la normativa vigente antes de considerar válidamente notificado un acto, STS 1974/2021, de 24 de mayo, y STS 2765/2020, de 15 de julio. En el presente caso, además se ha de ponderar que mi representada ha cumplido con el mínimo deber de diligencia en la recepción de la notificación electrónica respecto a las actuaciones previas desarrolladas, accediendo a las comunicaciones y proporcionando la información solicitada, y en esta dirección, la diligencia de la Administración para procurar el debido éxito de su acto de comunicación tiene ciertos límites, uno de ellos es la conducta del destinatario que, en el caso presente, evidencia su decidido propósito de admitir la notificación. Por tanto, aún actuando diligentemente, al no haberse abierto la notificación, no puede entenderse válidamente notificado el acto, generando indefensión, pues la Administración debió agotar los mecanismos de notificación previstos en la normativa vigente antes de considerar válidamente notificado un acto.” En respuesta a tales afirmaciones ha de indicarse que con fecha 13 de abril de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos contra el recurrente por la orientación de las cámaras de un sistema de videovigilancia del que es responsable, lo cual estaría vulnerando la normativa de protección de datos en la medida en que se realizaba una captación excesiva de la vía pública (acera, calzada y vehículos estacionados, entre otros), solicitándole la AEPD el 23 de junio de 2023, que aportara imágenes del campo de visión de las cámaras, o procediese a la reorientación de las mismas o la introducción de máscaras de privacidad La parte recurrente respondió al requerimiento de la AEPD en dos ocasiones, el 4 y 18 de julio de 2023, utilizándose la notificación electrónica en todas las comunicaciones. Es pertinente señalar que la parte recurrente es una persona jurídica, y como tal está obligada a relacionarse electrónicamente con la AEPD, de conformidad con el artículo 14.2
- a)de la LPACAP, y que dichas notificaciones se entenderán rechazadas cuando C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 hayan transcurrido diez días naturales desde su puesta a disposición según determina el artículo 43 de la LPACAP. En este sentido respecto a los efectos del rechazo de la notificación el artículo 41.5 de la LPACAP establece que “Cuando el interesado o su representante rechace la notificación de una actuación administrativa, se hará constar en el expediente, especificándose las circunstancias del intento de notificación y el medio, dando por efectuado el trámite y siguiéndose el procedimiento” En concreto, la notificación del acuerdo de inicio se puso a disposición del recurrente el 20 de diciembre de 2024, avisándose al correo electrónico facilitado al efecto (***EMAIL.1) sobre la puesta a disposición del acuerdo de inicio de conformidad con el artículo 43.1 del Real Decreto 203/2021, de 30 de marzo, por el que se aprueba el Reglamento de actuación y funcionamiento del sector público por medios electrónicos, donde se indica lo siguiente: “1. De acuerdo con lo previsto en el artículo 41.6 de la Ley 39/2015, de 1 de octubre, con independencia de que la notificación se realice en papel o por medios electrónicos, las Administraciones Públicas, organismos públicos o entidades de derecho público vinculados o dependientes enviarán al interesado o, en su caso, a su representante, aviso informándole de la puesta a disposición de la notificación bien en la Dirección Electrónica Habilitada única, bien en la sede electrónica o sede electrónica asociada de la Administración, u Organismo o Entidad o, en su caso, en ambas. La falta de práctica de este aviso, de carácter meramente informativo, no impedirá que la notificación sea considerada plenamente válida. El aviso se remitirá al dispositivo electrónico o la dirección de correo electrónico que el interesado haya comunicado voluntariamente al efecto, o a ambos, de acuerdo con lo previsto en el artículo 41.1 de la Ley 39/2015, de 1 de octubre. El interesado se hace responsable, por la comunicación a la Administración, organismo público o entidad de derecho público vinculado o dependiente, de que dispone de acceso al dispositivo o dirección de correo electrónico designados. En caso de que dejen de estar operativos o pierda la posibilidad de acceso, el interesado está obligado a comunicar a la Administración que no se realice el aviso en tales medios. El incumplimiento de esta obligación por parte del interesado no conllevará responsabilidad alguna para la Administración por los avisos efectuados a dichos medios no operativos. El aviso regulado en este apartado sólo se practicará en caso de que el interesado o su representante hayan comunicado a la Administración un dispositivo electrónico o dirección de correo electrónico al efecto.” De manera que el acuerdo de inicio se puso a disposición del recurrente el 20 de diciembre de 2024, avisándose al correo electrónico facilitado al efecto, y una vez transcurrido el plazo de diez días naturales sin que el recurrente accediese al acuerdo de inicio puesto a disposición del recurrente, el 31 de diciembre de 2024, se consideró C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 en base a derecho que la notificación del acuerdo de inicio había sido válidamente realizada. Por lo tanto, podemos concluir que la notificación del acuerdo de inicio del procedimiento sancionador objeto de recurso, fue debidamente realizada y no se ha causado indefensión. En segundo lugar, la parte recurrente afirma que el visionado de las cámaras de vigilancia no es contrario a la legislación de protección de datos. Sustenta su afirmación indicando que “el RGPD en su artículo 5. 1.
- c)recoge el principio de minimización de los datos, y así establece que los datos personales serán adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados, lo que supone que la comunicación ha de quedar limitada al mínimo necesario o imprescindible para la finalidad pretendida. En el presente caso, entendemos que la visualización sería conforme con este principio al no extenderse el visualizado más allá de las imágenes que tienen relación con dicha finalidad, no siendo otra que poder ejercitar reclamaciones judiciales derivadas de hechos ilícitos o responsabilidad, para lo que resulta preciso conocer la identidad del posible responsable a los efectos de dirigir contra el mismo la correspondiente reclamación o acción judicial, (art. 399 Ley de Enjuiciamiento Civil o art. 277 Ley de Enjuiciamiento Criminal). En relación a lo anterior, no podemos olvidar la obligación de denuncia de la perpetración del delito recogida en los artículos 259, 262 y 264 de la LECr, y que estaría amparada en el artículo 6.1.
- c)RGPD por tratarse del cumplimiento de una obligación legal del responsable del tratamiento, y para lo que es preciso poner en conocimiento de la autoridad cuantas noticias se tenga relativas al hecho denunciado y a sus circunstancias (artículo 267 LECr.) Por tanto, en relación a la ponderación necesaria entre el interés de mi representada en conocer los datos relativos a identidad del causante de dichos hechos es legítimo y ha de prevalecer sobre el derecho a la protección de datos de los interesados cuando la finalidad de la comunicación de los datos sea la de ejercitar los derechos que le corresponden, ya que en la tensión entre ambos derechos, el derecho fundamental al acceso a la justicia y a la tutela judicial efectiva ha de prevalecer sobre el derecho a la protección de datos en el presente caso, habida cuenta además de que la legislación establece como una 4 carga procesal el acudir a la justicia para reclamar y ejercitar los derechos de los particulares, y dicha carga no podría cumplirse sin el conocimiento de frente a quién habrá de dirigirse la acción procesal. Por tanto, con las limitaciones respecto de los principios de finalidad de la cesión y minimización del tratamiento, debe considerarse que la comunicación de datos que en el caso presente se plantea no es contraria a la legislación de protección de datos.” Dicha alegación, basada en la finalidad de ejercitar acciones judiciales, no puede justificar un tratamiento de datos personales que, como ocurre en este caso, parte de un exceso de captación. La posibilidad de que se produzca un hecho delictivo no permite legitimar una grabación de personas (se recuerda que la imagen es un dato C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 personal) sin relación directa con ningún incidente, ni autoriza un control permanente que afecta directamente al derecho fundamental a la protección de datos personales de los interesados. En este contexto, no se puede proceder a una grabación indiscriminada y sin límites en aras de un posible delito futuro, ni tampoco pretender que dicha captación pueda ser utilizada con posterioridad para justificar el acceso o la comunicación de datos personales. El interés en ejercer acciones judiciales debe canalizarse a través de los mecanismos legalmente establecidos, y no convierte automáticamente en legítima una captación de datos que de origen ya resulta contraria a los principios del RGPD. Por tanto, no procede acoger la alegación planteada, ya que se basa en una finalidad que no puede desvincularse del modo en que se obtuvieron los datos, el cual, en este caso, resulta incompatible con la normativa de protección de datos. En este sentido la AEPD ha de indicar que en los fundamentos de derecho II a IV de la resolución objeto de recurso, a los cuales nos remitimos, se dio respuesta a este aspecto fundamentando en derecho las razones por las cuales el sistema de videovigilancia objeto de sanción se ha extralimitado en su finalidad y está vulnerando la normativa de protección de datos, indicando lo siguiente: En respuesta a tales manifestaciones la AEPD ha de señalar nuevamente que los hechos objeto de infracción son cometidos por la parte recurrente como responsable de un sistema de videovigilancia por la captación excesiva de la vía pública. Tales hechos vulneran lo establecido en el artículo 5.1.
- c)del RGPD, por lo que suponen la comisión de una infracción tipificada en el artículo 83.5
- a)del RGPD, que dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; El RGPD aboga por la imposición de multas que sean adecuadas, proporcionadas y disuasorias, por lo que, en atención a las circunstancias del caso y a lo previsto en el artículo 83.5 antes señalado, la multa impuesta al recurrente cumple plenamente lo prescrito en la normativa de aplicación. La parte recurrente concluye afirmando que las medidas correctoras han de sustituir la sanción impuesta de conformidad con el principio de proporcionalidad y la finalidad preventiva de la normativa de protección de datos, sustentando tal afirmación en sentencias del Tribunal Supremo indicando “entre otras STS 3461/2016, de 21 de julio, y STS 599/2019, de 5 de febrero, ha establecido que la Administración debe valorar la aplicación de medidas correctoras cuando la infracción no haya causado un perjuicio significativo y cuando se evidencie la voluntad de cumplimiento normativo por parte del sujeto sancionado.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 En este sentido la AEPD está actuando en virtud de la potestad otorgada en el artículo 83.2 del RGPD, donde se establece que “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j).” Dicho precepto permite que sea compatible la imposición de medidas con la sanción consistente en multa administrativa. Además, ha de recordarse que no atender las medidas impuestas por este organismo puede ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. III Conclusión En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por BALLESPE, S.L contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 19 de febrero de 2025, en el expediente EXP202305556. SEGUNDO: NOTIFICAR la presente resolución a BALLESPE, S.L. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea notificada la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si la fecha de la notificación se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-020125 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es