1/8 Procedimiento nº.: PS/00394/2020 Recurso de reposición Nº RR/00590/2021 Examinado el recurso de reposición interpuesto por COMUNIDAD DE PROPIETARIOS ***COMUNIDAD.1 contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00394/2020, y en base a los siguientes HECHOS PRIMERO: Con fecha 1 de julio de 2021, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00394/2020, en virtud de la cual se imponía a una sanción de 2.000€ (dos Mil euros) , por la vulneración de lo dispuesto en el artículo 5.1
- c)del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en lo sucesivo RGPD), infracción tipificada en el artículo 83.5 del RGPD y calificada de grave en el artículo 73 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDPGDD). Dicha resolución, que fue notificada al recurrente en tiempo y forma según consta acreditado en el sistema, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la LOPDPGDD, y supletoriamente en la LPACAP, en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00394/2020, quedó constancia de los siguientes: procedimiento sancionador, Primero. Los hechos traen causa de la reclamación de fecha 13/07/20 por medio de la cual se traslada lo siguiente a este organismo: “…la Comunidad de Propietarios ha procedido a la instalación de una cámara de seguridad en propiedad privada sin contar con la autorización debida del propietario, donde se enfoca tanto la terraza que rodea la piscina como las habitaciones privadas de la vivienda “***VIVIENDA.1”, en definitiva, prácticamente se graba todo el interior de la vivienda de mi representado, incumpliéndose así, la Ley del Derecho a la Intimidad, así como, la normativa de la Agencia Española de Protección de Datos” (folio nº 1). Junto a la reclamación aporta prueba documental (Anexo I) que acredita la presencia de los dispositivos objeto de denuncia. Segundo. Consta acreditado como principal responsable Comunidad de Propietarios ***COMUNIDAD.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 Tercero. No consta en los carteles informativos aportados la dirección efectiva del responsable ante el que ejercitar los derechos en el marco del RGPD. Cuarto. No consta acreditado que la Junta de propietarios haya dado autorización alguna a la instalación del sistema de cámaras de video-vigilancia. Quinto. El conjunto de cámaras del sistema está según manifestación de la reclamada constituida por un total de 8, si bien solo aporta impresión de pantalla de cinco de ellas, siendo las explicaciones imprecisas en cuanto a la captación de las mismas. Sexto. Una de las cámaras graba en exceso la zona de piscina, sin que explicación alguna se haya dado sobre la instalación de la misma en una zona “sensible”. TERCERO: COMUNIDAD DE PROPIETARIOS ***COMUNIDAD.1(*en lo sucesivo el recurrente) ha presentado en fecha 9 de septiembre de 2021, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo en los siguientes extremos: “Inexistencia de infracción por existencia de autorización comunitaria (…). Se ha aportado acta de la junta de propietarios de septiembre de 2018 en el que se informa a los comuneros de la renovación de las cámaras, por lo que supone un consentimiento tácito de los comuneros y el cumplimiento de la normativa de protección de datos. Falta de CULPA. En todo caso, lo que es importante es que en caso de haber infracción, no se podría imponer sanción alguna a la comunidad dado que ha contratado los servicios expertos de la empresa GTA que en ningún caso ha informado de eventuales incumplimientos legales, constando a esta agencia el contrato correspondiente. VULNERACIÓN DEL PRINCIPIO DE PROPORCIONALIDAD, LA SANCIÓN NO DEBERÍA SER SUPERIOR A LOS 600 EU Consideramos muy elevada la sanción de 2000 EU, teniendo en cuenta que la comunidad desconoce la compleja normativa de protección de datos y que ha sido asesorada por una empresa especializada, por lo que la eventual sanción no debería ser superior a 600 EU (….)”. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 48.1 de la LOPDPGDD. II Antes de entrar en el fondo del asunto, cabe hacer mención al punto requerido por el recurrente, como “prescripción” de la infracción, al considerar que han transcurrido C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 cuatro años desde la instalación de la cámara. En el presente caso, nos encontramos con una infracción continuada, pues el “tratamiento de datos” sin acreditar un respaldo legal se sigue produciendo a día de la fecha, siendo palmarias las irregularidades del sistema objeto de denuncia, al no haber acreditado modificación alguna acorde a la normativa en vigor: RGPD (Reglamento 679/2016, 27 abril del año 2016). Son infracciones continuadas aquellas en las que el acto infractor se realiza constantemente (es de tracto sucesivo), en cuyo caso el plazo de prescripción comienza a contarse desde la finalización del último acto que contravenga la normativa. Más concretamente, la STS de 28 de septiembre de 2002 afirma que: “en caso de infracciones continuadas, la fecha a tener en cuenta para determinar la aplicabilidad de la norma es aquella en la que se declara probado el último acto infractor”. De manera que cabe desestimar la solicitud de una presunta prescripción de la infracción descrita, que no se computa desde la fecha imprecisa de la instalación del sistema de video-vigilancia, sino que la infracción continua en tanto no se ajuste el sistema en su conjunto a los requerimientos marcados por la normativa en vigor, quedando constancia que no se ha realizado modificación alguna sobre las cámaras que capan espacio público o la zona de piscina. III En el presente caso, se procede a examinar el escrito calificado como Recurso de fecha 08/09/21 por el medio del cual manifiesta su disconformidad con la sanción impuesta por esta Agencia. Los hechos traen causa de la reclamación inicial de fecha 13/07/20 por medio de la cual se trasladaba como hecho principal el siguiente: “…la Comunidad de Propietarios ha procedido a la instalación de una cámara de seguridad en propiedad privada sin contar con la autorización debida del propietario, donde se enfoca tanto la terraza que rodea la piscina como las habitaciones privadas de la vivienda “***VIVIENDA.1”, en definitiva, prácticamente se graba todo el interior de la vivienda de mi representado, incumpliéndose así, la Ley del Derecho a la Intimidad, así como, la normativa de la Agencia Española de Protección de Datos” (folio nº 1). La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. En el artículo 4.2 del RGPD se define el concepto de “tratamiento” de datos personales. Los hechos expuestos supusieron una vulneración del art. 5.1
- c)RGPD, “Los datos personales serán:
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»)”· Cabe recordar que los particulares son responsables de velar por que los sistemas insC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 talados se ajusten a la legalidad vigente. La instalación de este tipo de dispositivos se recuerda debe contar con el preceptivo cartel informativo, indicando los fines y responsable del tratamiento en su caso de los datos de carácter personal. El artículo 22 apartado 4 LOPDGDD (LO 3/2018, 5 diciembre) dispone: “El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información. En todo caso, el responsable del tratamiento deberá mantener a disposición de los afectados la información a la que se refiere el citado reglamento” En todo caso, las cámaras deben estar orientadas preferentemente hacia el espacio particular, evitando intimidar a vecinos colindantes con este tipo de dispositivos, así como controlar zonas de tránsito de los mismos sin causa justificada. Con este tipo de dispositivos, se controlan los movimientos de los restantes vecinos (
- as)que no han dado su consentimiento para la vigilancia de zonas de tránsito común. Según la ley de Propiedad Horizontal (LPH), es posible la instalación o la supresión de servicios de portería, conserjería, vigilancia u otros servicios comunes de interés general, siempre y cuando se consiga el quorum necesario para ello. En este caso, serían necesarias 3/5 partes del total de propietarios que, a su vez, representen 3/5 de cuotas de participación. La ausencia de dicho consentimiento supone un tratamiento de datos fuera de los casos permitidos por la normativa en vigor, máxime si se afecta a zona de tránsito de los mismos o no ha sido debidamente informados acerca del “tratamiento” de estos. La finalidad de los sistemas de video-vigilancia es la seguridad de las instalaciones frente a posibles robos o actos vandálicos, cumpliendo una finalidad preventiva frente a los mismos, debiendo respetar las zonas reservadas a la intimidad de los comuneros o en todo caso restringiendo las medidas adoptadas de conformidad con la normativa vigente. La obtención de datos personales (imágenes) de zonas de tránsito o zonas reservadas a la intimidad (zona de piscina), no está comprendido en los fines aportados que se califican como seguridad exterior del sistema instalado, al margen que supone una mera información divulgativa, sin concretar la manera de obtener el consentimiento de los afectados (as), ni concretar ante quien ejercitar los derechos reconocidos en los artículos 15-22 RGPD, en caso de afectación de derechos de terceros ajenos a la Comunidad (vgr. parientes, amigos, repartidores, instaladores, etc). III C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 Por la parte reclamada se aporta prueba documental que acredita la presencia de cartel (
- es)informativos si bien cabe indicar que los mismos no se ajustan a la actual normativa, al hacer referencia a una Ley derogada como es la LOPD 15/1999. En relación a los fotogramas aportados por la reclamada, se observa una desproporción en la captación de espacio público, pudiendo grabar la zona de calzada próxima a la entrada de la urbanización con la cámara de control de acceso. Igualmente, se observa la captación de parte de la zona de piscina, pudiendo controlar el acceso a la misma de manera desproporcionada. En relación a la vivienda del reclamante ninguna manifestación se ha realizado en relación a la cámara objeto de denuncia y su afectación a zona privativa del mismo. Por la parte reclamada se aporta copia del Acta Junta Ordinaria de fecha 27/09/18 en dónde en uno de los puntos se menciona lo siguiente “hemos empezado a sustituir las cámaras de seguridad por cámaras de alta definición” (página nº 3). En dicho punto se menciona la renovación del sistema de cámaras instalados, así como que se van a instalar nuevas cámaras, pero no se recoge expresamente la autorización del conjunto de comuneros para la instalación del sistema, ni se menciona la forma de informar a estos en el caso de renovación del mismo sobre el “tratamiento de datos de carácter personal”. El "consentimiento del interesado" es definido por el RGPD en su artículo 4.11 como "toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen" (*la negrita pertenece a esta Agencia). Por tanto, de conformidad con la actual normativa no cabe hablar de un consentimiento tácito, que se deduzca de un acta en dónde no se explica claramente el “tratamiento de datos” a los afectados, así como tampoco se informa dónde van a ser instaladas las mismas, explicando todos los aspectos al conjunto de los comuneros para que puedan exponer su parecer al respecto. De conformidad con las pruebas de las que se dispone en el presente procedimiento sancionador, se considera que el reclamado ha procedido a instalar un sistema de video-vigilancia que no cuenta con el respaldo de la Junta de propietarios, afectando con el mismo a la privacidad de los comuneros (as), así como a zona de tránsito público de manera desproporcionada, cuyos datos son tratados fuera de los casos permitidos por la normativa. IV De acuerdo a lo expuesto se considera que el sistema instalado presenta palmarias deficiencias en el cumplimiento de la legalidad vigente, que no han sido subsanadas en modo alguno, como lo demuestra el tener una cartelería obsoleta a día de la fecha y a pesar del presente procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 La parte reclamada deberá proceder en su caso a la convocatoria de Junta de propietarios para legalizar el sistema, debiendo figurar en el punto del Orden del día “Cámaras de Video-vigilancia”, debiendo estar el conjunto de propietarios informados de la presencia de las cámaras. Según la ley de Propiedad Horizontal (LPH), es posible la instalación o la supresión de servicios de portería, conserjería, vigilancia u otros servicios comunes de interés general, siempre y cuando se consiga el quorum necesario para ello. En este caso, serían necesarias 3/5 partes del total de propietarios que, a su vez, representen 3/5 de cuotas de participación. En el acta que se levante deberá figurar las firmas de los propietarios o representantes con nombre y apellidos y en su caso número de DNI, de tal forma que se pueda constatar que se cumplen con los requisitos exigidos por la normativa. El conjunto de las cámaras deberá ser analizado de manera que no se capta zona innecesaria como espacio público adyacente o que afecte a zona reservada a la intimidad. En el caso de instalar cámara en la zona de piscina, la misma no puede estar orientada a la zona de baño o recinto circundante, si bien por razones de seguridad se permite la grabación fuera del horario estipulado (vgr. cuando la zona de piscina no esté abierta al conjunto de usuarios). En caso de contratar los servicios de una empresa externa se deberá disponer del preceptivo contrato, concretando la persona responsable del acceso en su caso a las imágenes obtenidas en caso de delito o situación que lo requiera, debiendo disponer de formulario (
- s)informativos al respecto. Se deberá informar al conjunto de propietarios de conformidad con la LPH de las medidas adoptadas en materia de video-vigilancia, sustituyendo la actual cartelería por nuevos cartel (
- es)acordes al RGPD, los cuales deberán colocarse en los principales accesos de la Urbanización de manera fácilmente legible. Las cámaras deben ser acordes a su finalidad: protección de las instalaciones y el complejo, si bien las mismas no deben orientarse hacia zona privativa (vgr. ventanas de propietarios o espacios reservados), ni captar en exceso zona de tránsito público (vgr. en la zona de acceso al complejo urbanístico). Toda la documentación debe estar ordenada y clasificada a disposición de las Autoridades competentes, sin perjuicio de recordar las obligaciones de los cargos electos de cualquier comunidad de propietarios de conformidad con la normativa en vigor. La sanción impuesta se considera acertada al conjunto de “irregularidades” expuestas, estando situada en la escala inferior para este tipo de infracciones, considerándose la actitud de la reclamada de negligente al menos en carácter leve, dada la pasividad mostrada en la regularización del sistema descrito. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 Se recuerda que una inspección presencial de los Servicios de Inspección de este organismo en el complejo puede producirse en cualquier momento, pudiendo verse afectado de un nuevo procedimiento sancionador de continuar la situación en los términos descritos o bien no adoptando las medidas ampliamente requeridas por esta Agencia, lo que se comunica a los efectos legales oportunos. En consecuencia, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por COMUNIDAD DE PROPIETARIOS ***COMUNIDAD.1 contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 1 de julio de 2021, en el procedimiento sancionador PS/00394/2020. SEGUNDO: NOTIFICAR la presente resolución a la entidad COMUNIDAD DE PROPIETARIOS ***COMUNIDAD.1. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contenciosoadministrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-100519 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es