← España

REPOSICION-PS-00445-2022

1/23  Expediente nº.: EXP202206735 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por GRUPO TRANSAHER, S.L. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 10 de abril de 2023, y en base a los siguientes HECHOS PRIMERO: Con fecha 10/04/2023, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente EXP202206735, en virtud de la cual se imponía a GRUPO TRANSAHER, S.L., con NIF B78147758 (en lo sucesivo la parte recurrente, la parte reclamada o TRANSAHER), una multa de 50.000 euros (cincuenta mil euros), por la vulneración de lo dispuesto en el artículo 6 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en lo sucesivo RGPD); infracción tipificada en el artículo 83.5.

  1. a)del mismo Reglamento y calificada como muy grave a efectos de prescripción en el artículo 72.1.
  2. b)de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDPGDD). En la misma resolución se acordó requerir a la entidad TRANSAHER la adopción, en el plazo de un mes, de las medidas necesarias para adecuar su actuación a la normativa de protección de datos personales, con el alcance expresado en el Fundamento de Derecho VIII de esta resolución; que debe acreditar ante esta Agencia. Dicha resolución, que fue notificada a la parte recurrente en fecha 10/04/2023, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la LOPDGDD, y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00445/2022, quedó constancia de los siguientes: procedimiento sancionador, “PRIMERO: La parte reclamada, dedicada al trasporte y logística, desarrolla su actividad económica en unas instalaciones ubicadas en ***DIRECCIÓN.1. Según ha manifestado la parte reclamada, la afluencia de personas a estas instalaciones es alta, ya sean trabajadores (…), autónomos que prestan allí sus servicios (…), personal de ETT, clientes y proveedores. SEGUNDO: Las instalaciones reseñadas en el Hecho Probado anterior disponen de un sistema de videovigilancia del que es responsable la parte reclamada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/23 TERCERO: De las numerosas cámaras con las que cuenta el sistema de videovigilancia instalado por la parte reclamada en sus dependencias sitas en ***DIRECCIÓN.1, una de ellas se encuentra emplazada en un comedor utilizado por los trabajadores de la parte reclamada y otras personas que acceden a las instalaciones. Es una sala de amplias dimensiones y cuenta con numerosas mesas para cuatro comensales, una zona de mobiliario de cocina que cuenta con ocho microondas y otra zona con varias máquinas de vending (bebidas frías, bebidas calientes y snacks). El comedor dispone de ventanas al exterior en dos de sus lados, en uno de los cuales se encuentra ubicada la cámara de videovigilancia enfocada hacia el interior del comedor. El campo de visión de esta cámara capta toda la estancia. En la parte izquierda de la imagen pueden verse las máquinas de vending y a la derecha las mesas ubicadas junto a las ventanas que dan al exterior, si bien la zona de ubicación de las mesas se encuentra protegida por una máscara que cubre el límite exacto del espacio que ocupan las mesas. Entre ambas zonas (máquinas de vending y mesas de comedor) existe un espacio amplio, de unos dos metros de ancho y de extremo a extremo de la estancia, el cual es captado íntegramente por la cámara en cuestión. El espacio que separa la zona de máquinas de vending y las mesas pertenece íntegramente al interior de la sala comedor, el cual deben atravesar inevitablemente todas las personas que acceden al comedor para hacer uso de la estancia”. TERCERO: Con fecha 09/05/2023, dentro del plazo establecido, se ha interpuesto recurso de reposición por TRANSAHER contra la resolución reseñada en el Antecedente Primero, de fecha 10/04/2023, en el que pone de manifiesto las mismas circunstancias y alegaciones recogidas las alegaciones formuladas durante la tramitación del procedimiento que dio lugar a la resolución impugnada y solicita que se acuerde su archivo. De lo expuesto en el recurso planteado cabe destacar las manifestaciones siguientes: “Manifiesta la Directora de la AEPD que la parte reclamada no cuestiona que la zona captada por la cámara que motiva las actuaciones esté destinada a comedor, lo que no es cierto. Esta parte ha manifestado en todo momento que la zona que graba las imágenes es una zona de paso, tratándose de una zona pública de atención de restauración cautiva, vending, y catering a clientes, visitas, conductores indeterminados y ajenos a la plantilla de Transaher que se encuentra abierta 24 horas al día, y que linda con la zona de comedor, la cual íntegramente se encuentra oculta, por lo que no existe una vulneración de la normativa de Protección de Datos. No puede en ningún caso considerarse la zona de paso que conecta varios lugares de trabajo, como zona de descanso, puesto que por dicha zona necesariamente tienen que transitar trabajadores durante su jornada de trabajo para acceder a los distintos puntos de la nave industrial, las oficinas de la empresa y el acceso al exterior. Además, en dicha zona de paso los trabajadores no pueden descansar ya que no existe calidad y confort que haga factible la función asociada al descanso de acuerdo con la actividad física que se requiere en una empresa de transporte. Además de lo anterior, también estarían obstaculizando una salida de emergencia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/23 Cuestión distinta hubiera sido que las cámaras estuvieran grabando sin enmascarar las mesas, puesto que dicha zona (enmascarada) es la que está destinada al descanso, y por ende, hay mesas y sillas”. “Conviene reiterar que esta zona indicada entre las máquinas de vending y el comedor, es una zona de paso, que se encuentra comunicada por dos puertas. No es cierto lo indicado por la Directora de la Agencia Española de Protección de Datos, ya que del plano aportado las puertas no comunican con espacios cerrados sino que la que se encuentra a la izquierda, es una puerta de emergencia que accede a una zona distribuidor que conecta los vestuarios, el almacén, una puerta para acceder a las oficinas de la planta alta así como una puerta que tiene salida directa a la calle. La puerta localizada al final de la zona de paso, conecta con otra zona distribuidora de centralita, los baños, y la oficina de tráfico. Por tanto, ambas puertas conectan distintos espacios de la nave industrial. Aportamos nuevamente el plano de la zona… En todo caso, como se desprende del plano, es una zona de paso que atraviesa una zona de mesas destinadas a comedor, pero no puede en ningún caso considerarse que todo el espacio es un lugar de descanso, ya que por dicha zona pública transitan muchas personas y se encuentra abierto 24 horas al día y un acceso directo a las oficinas y a un espacio concreto del almacén, además de ser una salida de emergencia. La orientación de la cámara requiere la necesidad de asegurar además de lo expuesto a continuación, el acceso desde la calle al interior del recinto.”. “En adición a todo lo expuesto, en justificación a la necesidad de videovigilar la zona de paso aportamos plano (sombreado en amarillo) con las medidas de emergencia en la que se estipula dicha zona como salida de emergencia”. “Esta parte reitera que la captación de imágenes no se realiza en el interior de la sala comedor, en tanto es una zona de libre tránsito utilizada por multitud de personas ajenas a la empresa, que es utilizada para alcanzar las distintas estancias del centro de trabajo, para alcanzar la planta alta o su zona de trabajo en el almacén en el momento en el que entran en las instalaciones, así como acudir a otra zona del almacén sin necesidad de atravesar el mismo. Todo ello sin perjuicio que se trata de una zona de evacuación. Es inevitable que por la necesidad de asegurar los accesos de la zona de paso, dicha zona quede dentro del campo de visión por la proximidad a dicho acceso”. “Con todo lo anterior, debemos remitirnos a la resolución del expediente Nº E/09297/2018 de la AEPD en la que se indica que la instalación de cámaras en una zona de paso que pudiera ser considerada de descanso para la AEPD tiene carácter excepcional y se considera lícita si se limita la toma de imágenes sobre los bienes que puedan sufrir amenazas… El presente caso se ajusta a la resolución, dado que la toma de imágenes se limita sobre la parte de los bienes que sufren amenazas…”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/23 “Tal y como se ha justificado, la videovigilancia de la zona no se trata de una instalación caprichosa o carente de sentido sino que se trata de una instalación justificada cuyo campo de captación de imágenes únicamente incluye los bienes del patrimonio de la empresa así como la seguridad de las personas que integran el centro de trabajo, dejando fuera del campo de visión las mesas, garantizando la intimidad de los trabajadores, por lo que no puede apreciarse una conducta vulneradora de un derecho fundamental”. Asimismo, reitera la parte recurrente que el sistema de videovigilancia es proporcional para salvaguardar los derechos de la empresa y cumplir el deber de vigilancia y seguridad; persigue una finalidad legítima; es necesario; e idóneo para acreditar los actos vandálicos y demás delitos cometidos, los cuales ha acreditado debidamente. Para justificar la necesidad del sistema de videovigilancia, destaca también el alto valor de las mercancías, las numerosas empresas que existen en el polígono y las muchas personas externas que concurren en las instalaciones de la entidad. Con respecto a la idoneidad, cita la Sentencia de la Audiencia Nacional 432/2022, de 31/01/2022. Reitera también que la parte reclamante instó el archivo de las actuaciones, tras examinar la documentación que acredita las alegaciones de la parte recurrente. Y señala finalmente que la multa impuesta es desproporcionada, considerando que se protege la zona de mesas destina a comedor, la grabación se elimina conforme a lo estipulado en la norma, habiéndose justificado el fin y la utilización que se realiza de las imágenes. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). II Contestación a las alegaciones presentadas En relación con las manifestaciones efectuadas por la parte recurrente, que reproducen las alegaciones presentadas por la misma durante la tramitación del procedimiento sancionador, sin añadir ningún argumento nuevo, debe señalarse que ya fueron analizadas y desestimadas en los Fundamentos de Derecho II a VII de la Resolución recurrida, de fecha 10/04/2023, en la que se considera que la misma incumplió lo dispuesto en el artículo 6 del RGPD y se detalla suficientemente la valoración de las pruebas que han permitido determinar dicho incumplimiento y el alcance otorgado al mismo, así como las circunstancias tenidas en cuenta para la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/23 graduación de la sanción impuesta. En dichos Fundamentos de Derecho se indica lo siguiente: <<II Desistimiento de la parte reclamante La parte reclamante ha manifestado que la parte reclamada ha puesto a su disposición la documentación que acredita sus alegaciones y que, en base a ello, solicita el archivo del procedimiento, con renuncia a cualquier indemnización que le pueda corresponder. Esta pretensión debe ser rechazada, considerando que la parte reclamante no es parte interesada en el procedimiento, lo que le impide intervenir en el mismo. Además, el objeto de las presentes actuaciones no va dirigido a reconocer un derecho de la parte reclamante a ser indemnizada, sino a determinar la posible existencia de una conducta infractora por la parte reclamada y las consecuencias que de ello derivan. Dicha solicitud debe ser igualmente desestimada, aunque se tomara el escrito presentado por la parte reclamante como un desistimiento de su reclamación. Procede señalar al respecto lo establecido en el artículo 63.1 de la LPACAP, según el cual “los procedimientos de naturaleza sancionadora se iniciarán siempre de oficio por acuerdo del órgano competente”, estableciéndose en el artículo 68 de la LOPDGDD que corresponde a la “Presidencia de la Agencia Española de Protección de Datos, cuando así proceda, dictar acuerdo de inicio de procedimiento para el ejercicio de la potestad sancionadora”. Así, que la parte reclamante desista de su reclamación resulta irrelevante y no implica el archivo o finalización del procedimiento sancionador incoado, toda vez que el mismo se inicia y se tramita en todas sus fases de oficio. III La imagen es un dato personal La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. En el artículo 4.2 del RGPD se define el concepto de “tratamiento” de datos personales. Las imágenes generadas por un sistema de cámaras o videocámaras son datos de carácter personal, por lo que su tratamiento está sujeto a la normativa de protección de datos. Es, por tanto, pertinente analizar si el tratamiento de datos personales (imagen de las personas físicas) llevado a cabo a través del sistema de videovigilancia denunciado es acorde con lo establecido en el RGPD. IV Infracción. Marco normativo El artículo 6.1 del RGPD establece los supuestos que permiten considerar lícito el tratamiento de datos personales. “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/23
  3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. La implantación permanente de un sistema de cámaras de video por razones de seguridad tiene base legítima en la LOPDGDD, cuya exposición de motivos indica: “Junto a estos supuestos se recogen otros, tales como la videovigilancia… en que la licitud del tratamiento proviene de la existencia de un interés público, en los términos establecidos en el artículo 6.1.
  10. e)del Reglamento (UE) 2016/679”. En cuanto al tratamiento con fines de videovigilancia, el artículo 22 de la LOPDGDD establece que las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. Este mismo artículo 22, en su apartado 8, dispone que “El tratamiento por el empleador de datos obtenidos a través de sistemas de cámaras o videocámaras se somete a lo dispuesto en el artículo 89 de esta ley orgánica”. Este artículo 89 de la LOPDGDD, referido al “Derecho a la intimidad frente al uso de dispositivos de videovigilancia y de grabación de sonidos en el lugar de trabajo”, establece lo siguiente: “1. Los empleadores podrán tratar las imágenes obtenidas a través de sistemas de cámaras o videocámaras para el ejercicio de las funciones de control de los trabajadores o los empleados públicos previstas, respectivamente, en el artículo 20.3 del Estatuto de los Trabajadores y en la legislación de función pública, siempre que estas funciones se ejerzan dentro de su marco legal y con los límites inherentes al mismo. Los empleadores habrán de informar con carácter previo, y de forma expresa, clara y concisa, a los trabajadores o los empleados públicos y, en su caso, a sus representantes, acerca de esta medida. En el supuesto de que se haya captado la comisión flagrante de un acto ilícito por los trabajadores o los empleados públicos se entenderá cumplido el deber de informar cuando existiese al menos el dispositivo al que se refiere el artículo 22.4 de esta ley orgánica. 2. En ningún caso se admitirá la instalación de sistemas de grabación de sonidos ni de videovigilancia en lugares destinados al descanso o esparcimiento de los trabajadores o los empleados públicos, tales como vestuarios, aseos, comedores y análogos. 3. La utilización de sistemas similares a los referidos en los apartados anteriores para la grabación de sonidos en el lugar de trabajo se admitirá únicamente cuando resulten relevantes los riesgos para la seguridad de las instalaciones, bienes y personas derivados de la actividad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/23 que se desarrolle en el centro de trabajo y siempre respetando el principio de proporcionalidad, el de intervención mínima y las garantías previstas en los apartados anteriores. La supresión de los sonidos conservados por estos sistemas de grabación se realizará atendiendo a lo dispuesto en el apartado 3 del artículo 22 de esta ley”. Sobre la legitimación para la implantación de sistemas de videovigilancia en el ámbito laboral, se tiene en cuenta el Real Decreto Legislativo 1/1995, de 24/03, que aprueba el texto refundido de la Ley del Estatuto de los Trabajadores (LET), cuyo artículo 20.3 señala: “3. El empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad y teniendo en cuenta, en su caso, la capacidad real de los trabajadores con discapacidad”. El Tribunal Constitucional, en la Sentencia 98/2000, de 10/04/2000, destaca en su fundamento jurídico 6 que “La jurisprudencia de este Tribunal ha insistido reiteradamente en la plena efectividad de los derechos fundamentales del trabajador en el marco de la relación laboral, ya que ésta no puede implicar en modo alguno la privación de tales derechos para quienes prestan servicio en las organizaciones productivas, que no son ajenas a los principios y derechos constitucionales. Sin embargo no basta la mera manifestación del ejercicio del poder de control por el empleador para que el derecho del trabajador se vea sacrificado. Estas limitaciones empresariales tienen que ser las indispensables y estrictamente necesarias para satisfacer un interés empresarial merecedor de tutela y protección, de manera que si existen otras posibilidades de satisfacer dicho interés menos agresivas y afectantes del derecho en cuestión, habrá que emplear estas últimas y no aquellas otras más agresivas y afectantes. Se trata, en definitiva, de la aplicación del principio de proporcionalidad”. Para comprobar si una medida restrictiva de un derecho fundamental supera el juicio de proporcionalidad es necesario constatar si cumple los tres requisitos o condiciones siguientes: . Si tal medida es susceptible de conseguir el objetivo propuesto (juicio de idoneidad); . Si es necesaria, en el sentido de que no exista otra medida más moderada para la consecución de tal propósito con igual eficacia (juicio de necesidad); . Si la misma es ponderada o equilibrada, por derivarse de ella más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto (juicio de proporcionalidad). Así, entre las medidas de vigilancia y control admitidas en el ámbito laboral se incluye la instalación de cámaras de seguridad, si bien estos sistemas deberán responder siempre al principio de proporcionalidad, es decir, el uso de las videocámaras debe ser proporcional al fin perseguido, esto es garantizar la seguridad y el cumplimiento de las obligaciones y deberes laborales. En definitiva, aun cuando el artículo 20.3 del Estatuto de los Trabajadores faculta al empresario para adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, esta adopción debe tener en cuenta obligatoriamente los derechos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/23 específicos de los trabajadores respetando los derechos a la intimidad y el derecho fundamental a la protección de datos. En los términos del citado artículo 89 de la LOPDPGDD, se permite que los empleadores puedan tratar las imágenes obtenidas a través de sistemas de cámaras o videocámaras para el ejercicio de las funciones de control de los trabajadores previstas en el artículo 20.3 del Estatuto de los Trabajadores “siempre que estas funciones se ejerzan dentro de su marco legal y con los límites inherentes al mismo”. De acuerdo con lo expuesto, los empleadores habrán de informar con carácter previo, y de forma expresa, clara y concisa, a los trabajadores y, en su caso, a sus representantes, acerca de esta medida (artículo 89.1 de la LOPDGDD). Por tanto, el tratamiento debe ser ajustado y proporcional a la finalidad a la que se dirige. La pertinencia en el tratamiento de los datos debe producirse tanto en el momento de la recogida de los datos como en el posterior tratamiento que se realice de los mismos, de modo que el sistema de cámaras o videocámaras instalado no pueda obtener imágenes afectando a la intimidad de los empleados, resultando desproporcionado captar imágenes en espacios privados, tales como vestuarios, taquillas o zonas de descanso de trabajadores. Así se establece expresamente en el citado artículo 89 de la LOPDGDD en relación con la instalación de sistemas de videovigilancia: “2. En ningún caso se admitirá la instalación de sistemas de grabación de sonidos ni de videovigilancia en lugares destinados al descanso o esparcimiento de los trabajadores o los empleados públicos, tales como vestuarios, aseos, comedores y análogos. Según este artículo, la vigilancia en centros de trabajo no deberá abarcar lugares reservados al uso privado de los empleados o que no estén destinados a la realización de tareas de trabajo (como servicios, duchas, vestuarios, comedores o zonas de descanso). V Obligaciones en materia de videovigilancia De conformidad con lo expuesto, el tratamiento de imágenes a través de un sistema de videovigilancia, para ser conforme con la normativa vigente, debe cumplir los requisitos siguientes: 1.- La personas físicas o jurídicas, públicas o privadas, pueden establecer un sistema de videovigilancia con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. Se ha de valorar si la finalidad pretendida puede lograrse de otra forma menos intrusiva para los derechos y libertades de los ciudadanos. Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios, considerando 39 del RGPD. 2.- Las imágenes obtenidas no puedan utilizarse para una finalidad ulterior incompatible con la que motivó la instalación del sistema de videovigilancia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/23 3.- Se deberá cumplir el deber de informar a los afectados previsto en los artículos 12 y 13 del RGPD, y 22 de la LOPDGDD, en los términos ya señalados. 4.- No pueden captarse imágenes de la vía pública, puesto que el tratamiento de imágenes en lugares públicos, salvo que concurra autorización gubernativa, sólo puede ser realizado por las Fuerzas y Cuerpos de Seguridad. En algunas ocasiones, para la protección de espacios privados, donde se hayan instalado cámaras en fachadas o en el interior, puede ser necesario para garantizar la finalidad de seguridad la grabación de una porción de la vía pública. Es decir, las cámaras y videocámaras instaladas con fines de seguridad no podrán obtener imágenes de la vía pública salvo que resulte imprescindible para dicho fin, o resulte imposible evitarlo por razón de la ubicación de aquéllas. Y, en tal caso extraordinario, las cámaras sólo podrán captar la porción mínima necesaria para preservar la seguridad de las personas y bienes, así como de sus instalaciones. Las cámaras instaladas no pueden obtener imágenes de espacio privativo de tercero y/o espacio público sin causa justificada debidamente acreditada, ni pueden afectar a la intimidad de transeúntes que transiten libremente por la zona. No está permitida, por tanto, la colocación de cámaras hacia la propiedad privada de vecinos con la finalidad de intimidarlos o afectar a su ámbito privado sin causa justificada. En ningún caso se admitirá el uso de prácticas de vigilancia más allá del entorno objeto de la instalación y en particular, no pudiendo afectar a los espacios públicos circundantes, edificios contiguos y vehículos distintos de los que accedan al espacio vigilado. No pueden captarse ni grabarse imágenes en espacios propiedad de terceros sin el consentimiento de sus titulares, o, en su caso, de las personas que en ellos se encuentren. Resulta desproporcionado captar imágenes en espacios privados, tales como vestuarios, taquillas o zonas de descanso de trabajadores. 5.- Las imágenes podrán conservarse por un plazo máximo de un mes, salvo en aquellos supuestos en que se deban conservar para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En este segundo supuesto, deberán ser puestas a disposición de la autoridad competente en un plazo máximo de 72 horas desde que se tuviera conocimiento de la existencia de la grabación. 6.- El responsable deberá llevar un registro de actividades de los tratamientos efectuados bajo su responsabilidad en el que se incluya la información a la que hace referencia el artículo 30.1 del RGPD. 7.- El responsable deberá realizar un análisis de riesgos o, en su caso, una evaluación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/23 de impacto en la protección de datos, para detectar los derivados de la implantación del sistema de videovigilancia, valorarlos y, en su caso, adoptar las medidas de seguridad apropiadas. 8.- Cuando se produzca una brecha de seguridad que afecte a los tratamientos de cámaras con fines de seguridad, siempre que exista riesgo para los derechos y libertades de las personas físicas, deberá notificarlo a la AEPD en un plazo máximo de 72 horas. Se entiende por brecha de seguridad la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizado a dichos datos. 9.- Cuando el sistema esté conectado a una central de alarma, únicamente podrá ser instalado por una empresa de seguridad privada que reúna los requisitos contemplados en el artículo 5 de la Ley 5/2014 de Seguridad Privada, de 4 de abril. La Agencia Española de Protección de Datos ofrece a través de su página web [https://www.aepd.es] acceso a: . la legislación en materia de protección de datos personales, incluyendo el RGPD y la LOPDGDD (apartado “Informes y resoluciones” / “normativa”), . la Guía sobre el uso de videocámaras para seguridad y otras finalidades, . la Guía para el cumplimiento del deber de informar (ambas disponibles en el apartado “Guías y herramientas”). También resulta de interés, en caso de realizar tratamientos de datos de bajo riesgo, la herramienta gratuita “Facilita” (en el apartado “Guías y herramientas”), que, mediante unas preguntas concretas, permite valorar la situación del responsable respecto del tratamiento de datos personales que lleva a cabo, y en su caso, generar diversos documentos, cláusulas informativas y contractuales, así como un anexo con medidas de seguridad orientativas consideradas mínimas. VI Infracción administrativa. Tipificación y calificación de la infracción. La reclamación se basa en la presunta ilicitud de la cámara de videovigilancia instalada en la zona habilitada como comedor de los trabajadores, en las dependencias de la entidad reclamada sitas en ***DIRECCIÓN.1. No resulta controvertido en este caso el hecho de que la parte reclamada es la titular y responsable del sistema de videovigilancia denunciado y, por tanto, la responsable de los tratamientos de datos que conlleva la utilización de dicho sistema. Y tampoco el hecho de que entre los tratamientos de datos realizados se contempla la recogida y almacenamiento de datos personales relativos a la imagen de empleados y otros afectados en el interior del área indicada anteriormente. La captación de estas imágenes ha sido reconocida por la parte reclamada. Consta probado en las actuaciones, asimismo, que dicha instalación se realiza con fines de seguridad y control empresarial. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/23 Al realizar la recogida y utilización de las imágenes obtenidas en el comedor habilitado para el personal, no tiene en cuenta la parte reclamada los limites previstos en el artículo 20.3 de la Ley del Estatuto de los Trabajadores (LET), que admite la grabación de imágenes para el ejercicio de funciones de control laboral cuando esas funciones respeten el marco legal y con los límites inherentes al mismo, como es el respeto a la dignidad del trabajador; y tampoco lo dispuesto en el artículo 89.2 de la LOPDGDD, que prohíbe, en todo caso, la instalación de sistemas de grabación de imágenes o videovigilancia “en lugares destinados al descanso o esparcimiento de los trabajadores…, tales como vestuarios, aseos, comedores y análogos”. En consecuencia, en este caso, se ha vulnerado la prohibición general que establece el artículo 89.2 de la LOPDGDD, sobre la captación de imágenes en una zona de comedor del personal. La parte reclamada no cuestiona que la zona captada por la cámara que motiva las actuaciones esté destinada a comedor y que la misma sea utilizada con este fin por sus empleados. Pero ha señalado que el comedor en cuestión no es una zona de con acceso exclusivo de empleados, sino una zona con mucha afluencia de personas, de uso común por los trabajadores, autónomos que prestan allí sus servicios (…), personal de ETT, clientes y proveedores; que no tiene, en definitiva, el fin del descanso exclusivo de los trabajadores A este respecto, es preciso destacar, por un lado, que es la norma antes citada la que atribuye a los comedores la calificación de “lugares destinados al descanso o esparcimiento de los trabajadores” y, por otro lado, que el hecho de que el comedor sea utilizado por personas distintas a los trabajadores propios de la empresa no excluye ni minora la cobertura legal aludida, en la medida en que tales circunstancias no excluyen la calificación de esta sala como zona de descanso de trabajadores. Además, a los efectos que nos ocupan, entiende esta Agencia que algunos de los grupos o categorías de afectados indicados por la parte reclamada pueden incluirse en el concepto de trabajadores, no existiendo razón alguna para excluir de la protección que establece el artículo 89.2 de la LOPDGDD a los trabajadores autónomos y personal de ETT que prestan servicio en las dependencias de la parte reclamada. Y no solo eso. Se entiende, además, desproporcionada la captación de imágenes que realiza la cámara instalada en el comedor mencionado y que el fin pretendido pudo obtenerse de forma menos intrusiva, sin que supusiera una intromisión en la intimidad de las personas afectadas. Según consta en el Hecho Probado Tercero, el comedor en el que está emplazada la cámara de videovigilancia es una sala de amplias dimensiones, que cuenta con numerosas mesas para cuatro comensales, una zona de mobiliario de cocina que cuenta con ocho microondas y otra zona con varias máquinas de vending (bebidas frías, bebidas calientes y snacks). Asimismo, según la imagen aportada a las actuaciones por la propia parte reclamada, consta que el campo de visión de dicha cámara capta toda la estancia, si bien la zona C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/23 de ubicación de las mesas se encuentra protegida por una máscara que cubre el límite exacto del espacio que ocupan. No obstante, entre las mesas, que ocupan la parte derecha de la sala comedor en la imagen tomada por la cámara, y las máquinas de vending, situadas en un extremo de la sala, en la parte izquierda de la imagen, existe un espacio amplio, de unos dos metros de ancho y de extremo a extremo de la estancia, que es captado íntegramente por la cámara en cuestión sin restricción de ningún tipo. Este espacio que separa la zona de máquinas de vending y las mesas pertenece íntegramente al interior de la sala comedor, el cual es atravesado inevitablemente por todas las personas que acceden al comedor para hacer uso de la estancia. La captación de este espacio entre las mesas y las máquinas de vending no cumple el juicio de proporcionalidad, considerando la finalidad perseguida por la parte reclamada con la instalación de la cámara en el comedor, de modo que esta medida ha de calificarse como restrictiva de los derechos de los afectados. La parte reclamada, en su respuesta al trámite de traslado de la reclamación y en el escrito de alegaciones a la apertura del procedimiento, manifiesta que, en virtud del artículo 20.3 del Estatuto de los Trabajadores, la instalación de un sistema de videovigilancia en todo el centro de trabajo resulta proporcional, en cuanto a la ponderación del poder de dirección y control de la actividad empresarial y el derecho a la intimidad de los interesados. Considera, también, la parte reclamada que la utilización realizada del sistema de videovigilancia persigue un objetivo legítimo, como es la protección de sus bienes, en concreto las máquinas de vending, que han sufrido varios actos vandálicos y robos; y que dicha utilización se considera lícita por nuestra doctrina jurisprudencial para situaciones como la indicada; y que cumple el juicio de proporcionalidad fijado por el Tribunal Constitucional, entendiendo que los robos y daños que se vienen produciendo en las máquinas de vending legitiman la instalación de la cámara, que esta instalación es idónea para determinar los autores de los daños, necesaria para aportar las pruebas pertinentes y proporcional, dado que la las imágenes se limitan a la zona previamente informada y solo visualiza los útiles de la empresa, las citadas máquinas de vending y las ventanas, en una zona de paso con gran concurrencia de personas. Sin embargo, según se ha indicado anteriormente, esta Agencia no comparte la conclusión de la parte reclamada y entiende que el tratamiento de datos realizado va más allá del estrictamente necesario, a juzgar por el detalle visualizado por la cámara. Esta captación no se limita a controlar exclusivamente las personas que hacen uso de las máquinas de vending, sino que alcanza a todas las personas que acceden al comedor, hagan uso o no de dichas maquinas. El juicio de necesidad implica que no exista otra medida más moderada para la consecución de propósito con igual eficacia. Si el propósito de la instalación de la cámara era la protección de los bienes patrimoniales de la empresa y máquinas de vending, el campo de visión captado por dicha cámara debió limitarse el mínimo imprescindible para garantizar esta protección o para obtener los resultados pretendidos respecto de la sustracción de artículos propiedad de la parte reclamada o la comisión de actos ilícitos contra los bienes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/23 La Sentencia del Tribunal Constitucional 119/2022, de 29 de septiembre, admite estas grabaciones cuando existan indicios sobre la comisión de actos ilícitos, pero siempre que no exista otra forma menos invasiva de confirmar la ilicitud de la conducta del trabajador y se respeten los lugares de descanso. En esta Sentencia se declara: “En consecuencia, en el marco general del control del cumplimiento de un contrato de trabajo, y a estos solos fines, el empresario podrá instalar un sistema de videovigilancia. La instalación y uso del sistema no requerirá el consentimiento de los trabajadores, pero sí exige un deber de informar a estos con carácter previo y de forma expresa sobre su existencia y finalidad. La ubicación de las cámaras habrá de respetar la intimidad propia de los lugares destinados al descanso o esparcimiento, o que tengan un carácter reservado. No obstante, la utilización de las imágenes captadas para verificar o acreditar la comisión flagrante de un acto ilícito no exigirá el previo deber de información, que podrá entenderse cumplido cuando se haya colocado en lugar visible un distintivo informativo de la existencia del sistema, de su responsable y de su finalidad. (…) En las concretas circunstancias del caso, puede afirmarse que la instalación del sistema de videovigilancia y la consiguiente utilización de las imágenes captadas resultaba una medida justificada, idónea, necesaria y proporcionada. (
  11. i)La medida estaba justificada, porque concurrían sospechas indiciarias suficientes de una conducta irregular del trabajador —ya descrita— que debía ser verificada. (
  12. ii)La medida puede considerarse como idónea para la finalidad pretendida, que no era otra que la constatación de la eventual ilicitud de la conducta, lo que fue confirmado precisamente mediante el visionado de las imágenes. (iii) La medida era necesaria, ya que no parece que pudiera adoptarse ninguna otra menos invasiva e igualmente eficaz para acreditar la infracción laboral. Cualquier otra medida habría advertido al trabajador, haciendo entonces inútil la actuación de la empresa. (
  13. iv)Finalmente, la medida puede considerarse como proporcionada. En este punto hay que ponderar diversos elementos de juicio. Así, en primer lugar, las cámaras no estaban instaladas en lugares de descanso, ocio o de carácter reservado, en los que existiera una expectativa razonable de privacidad, sino que estaban instaladas en zonas de trabajo abiertas a la atención al público. En segundo lugar, las cámaras no estaban instaladas de forma subrepticia, sino que estaban ubicadas en lugares visibles, tanto para los trabajadores del establecimiento como para el público en general. En tercer lugar, las cámaras no fueron utilizadas con carácter generalizado o indefinido, o para realizar una investigación de carácter prospectivo, sino para verificar la posible existencia de una conducta irregular detectada el día anterior. Por lo tanto, el grado de intromisión en la esfera de la intimidad del trabajador (art. 18.1 CE), en términos de espacio y tiempo, no puede considerarse como desequilibrado frente a los derechos e intereses de la empresa en la detección y sanción de las conductas atentatorias contra la buena fe contractual, en el marco del ejercicio de los derechos a la propiedad privada y a la libertad de empresa, reconocidos en los arts. 33 y 38 CE, respectivamente”. Alega, asimismo, la parte reclamada que la zona entre las máquinas de vending y el comedor es una “zona de paso”, comunicada con otros espacios de la nave industrial por dos puertas (una próxima a las máquinas de vending y la otra al fondo de la sala, según el campo de visión de la cámara de videovigilancia objeto de las actuaciones). (…). Según el plano aportado a las actuaciones, se comprueba que las dos puertas comunican con otros espacios cerrados en los que puede accederse, en ambos casos, a las escaleras del edificio. Por ello, y considerando las muchas personas que transitan esta zona que atraviesa el espacio en el que se ubican las mesas destinadas a comedor, entiende que no puede considerarse un espacio destinado al descanso ni que el campo de visión de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/23 cámara pertenezca a la sala comedor. Y añade que la orientación de la cámara requiere asegurar el acceso desde la calle al interior del recinto y los accesos de la zona de paso. Esta Agencia entiende, no obstante, que el espacio en cuestión pertenece íntegramente al interior de una sala cerrada destinada a comedor. Además, la parte reclamada no justifica que la seguridad del edificio requiera el control de esa supuesta “zona de paso” y que la misma seguridad y control no puedan obtenerse sin esta cámara adicional instalada en el comedor, haciendo uso solo del sistema instalado en las zonas en las que sí está permitida la captación de imágenes. (…). La propia entidad reclamada admite en su escrito de alegaciones que las personas que acceden al comedor atraviesan “el resto de pasillos de la nave y el lugar de trabajo videovigilado para alcanzar el comedor”. Con esta manifestación, la parte reclamada pretende también asimilar la captación de imágenes del trabajador en la zona controvertida, que pertenece al interior de la sala comedor, con la captación de imágenes en las estancias o espacios contiguos que deben atravesar para llegar al comedor las personas que hacen uso del mismo. Es tanto como decir que, siendo posible captar imágenes de las personas que se dirigen al comedor atravesando distintos lugares del edifico, también es posible captar imágenes en el interior del comedor, salvo en el espacio ocupado por las mesas estrictamente delimitado, como si la intimidad de la persona solo debiera protegerse cuando hace uso de una de las mesas. Sin embargo, es claro ambos espacios no son asimilables, y que la norma protege el espacio destinado al descanso en su integridad y no solo una parte del mismo, a conveniencia de la entidad responsable. En consecuencia, en este caso, puede entenderse desproporcionada e ilícita la captación de imágenes referidas en la reclamación que da lugar al presente procedimiento sancionador. Se tiene en cuenta que la grabación de imágenes en la zona indicada supone una intromisión en la intimidad de las personas. El planteamiento y conclusión expresados en el presente acto no contradicen lo señalado en los precedentes de esta Agencia invocados por la parte reclamada, ni las Sentencias aludidas en su escrito de alegaciones. Cita la parte reclamada los precedentes señalados con los números E/09297/2018 y E/01760/2017, indicando que están referidos a la instalación de cámaras en zonas de descanso orientadas a los bienes que se pretende proteger, que se considera lícita dicha instalación si la captación de imágenes se limita a los bienes que pueden sufrir amenazas y que esta Agencia resolvió el archivo de las actuaciones. En la resolución dictada en el primero de ellos, el número E/09297/2018, se archivan las actuaciones porque el supuesto está referido a una cámara simulada. Se exponen, no obstante, en dicha resolución, los criterios que habilitan la instalación de una cámara de videovigilancia en lugares de descanso para la protección de bienes, y sobre la base legítima del tratamiento se indica lo siguiente: “
  14. a)Si existen actos vandálicos, debe limitarse la toma de imágenes sobre la parte de los bienes que pueden sufrir dichas amenazas, no siendo proporcionado que una cámara tipo domo vigile la totalidad de la zona. Si se decidiera instalar se podrían cambiar de sitio los bienes a proteger C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/23 en el espacio menos invasivo para las personas.
  15. b)La recogida de imágenes, si se acredita dicha finalidad, tendría que ser muy limitada a esos bienes que han sufrido dichas actuaciones, sin que sirva como justificación la creencia o expectativa de que puedan sufrir actos vandálicos”. De la misma forma, la resolución de archivo de actuaciones adoptada en el E/01760/2017, referido a un supuesto de instalación de cámaras para la protección de máquinas de vending en zonas de descanso de trabajadores, declara lo siguiente: “En el presente caso, de la documentación fotográfica aportada por la entidad denunciada se desprende que existen cámaras instaladas en la zona de vending, cuya finalidad es evitar que se cometan actos violentos contra las máquinas expendedoras, indicando que algunas de estas máquinas están ubicadas en salas de descanso utilizadas por los camioneros que vienen a recoger los productos mientras esperan a que se carguen los camiones. De las imágenes aportadas se desprende que dichas cámaras están orientadas a las máquinas expendedoras, lo que sólo permitiría captar a las personas que utilizaran dichas máquinas, debiendo considerarse, que siempre que se mantengan en estas condiciones y ubicación, existiría un tratamiento proporcional que justificaría su instalación, de acuerdo al fin pretendido, siendo el área captada la mínima posible para el fin pretendido”. También en relación con la posibilidad de instalar cámaras para proteger el patrimonio empresarial cuando se han cometido irregularidades o existen sospechas de ello, cita la parte reclamada la Sentencia núm. 630/2016 del Tribunal Supremo y Sentencia de 17/10/2019 del Tribunal Europeo de Derechos Humanos, pero el supuesto analizado no trata de la grabación de zonas privadas, sino zonas de trabajo. También cita la parte reclamada la Sentencia núm. 1190/2021, de la Sala de lo Social del Tribunal Superior de Justicia de las Islas Canarias, pero lo hace destacando las alegaciones de la entidad recurrente en ese supuesto y no lo declarado por el Tribunal. Y la Sentencia 432/2022, de la Sala de lo Contencioso Administrativo de la Audiencia Nacional de 31/01/2022, que no guarda relación con el presente caso al estar referida a la instalación de cámaras en el interior de una vivienda. Por último, en contra de lo manifestado por la parte reclamada, cabe aclarar que esta Agencia si ha tenido en cuenta la existencia de carteles informativos o la no conservación de las imágenes más tiempo del establecido, si bien se trata de circunstancias que no modifican las conclusiones expuestas. De haberse confirmado la inexistencia de carteles informativos, que fue objeto de la reclamación, hubiese motivado la imputación de una infracción por incumplimiento del deber de informar en materia de protección de datos personales. En consecuencia, en virtud de cuanto antecede, se considera que los hechos expuestos vulneran lo establecido en el artículo 6 del RGPD, por lo que suponen la comisión de una infracción tipificada en el artículo 83.5 del RGPD, que da lugar a la aplicación de los poderes correctivos que el artículo 58 del citado Reglamento otorga a la Agencia Española de Protección de Datos. Este artículo 83.5.
  16. a)del RGPD dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/23 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  17. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;”. A efectos del plazo de prescripción de las infracciones, la infracción señalada en el párrafo anterior se considera muy grave conforme al artículo 72.1 de la LOPDGDD, que establece que: “En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  18. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679”. VII Sanción El artículo 58.2 del RGPD establece: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (...)
  19. d)ordenar al responsable o encargado de tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; (...)
  20. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular”. Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en el artículo 58.2.
  21. d)del citado Reglamento es compatible con la sanción consistente en multa administrativa. Con respecto a la infracción del artículo 6 del RGPD, atendiendo a los hechos expuestos, se considera que la sanción que correspondería imponer es de multa administrativa. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Así, se considera, con carácter previo, la condición de gran empresa de la parte reclamada y su volumen de negocio (consta en las actuaciones que (...). A fin de determinar la multa administrativa a imponer se han de observar las previsiones del artículo 83.2 del RGPD, que señala lo siguiente: “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  22. a)a
  23. h)y j). Al decidir la imposición de una multa administrativa y su cuantía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/23 en cada caso individual se tendrá debidamente en cuenta:
  24. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  25. b)la intencionalidad o negligencia en la infracción;
  26. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  27. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  28. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  29. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  30. g)las categorías de los datos de carácter personal afectados por la infracción;
  31. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  32. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  33. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  34. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD, respecto al apartado
  35. k)del citado artículo 83.2 RGPD, dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  36. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  37. a)El carácter continuado de la infracción.
  38. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  39. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  40. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  41. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  42. f)La afectación a los derechos de los menores.
  43. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  44. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, se estiman concurrentes como agravantes los criterios de graduación siguientes: . Artículo 83.2.
  45. a)del RGPD: “
  46. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/23 . El número de interesados: la utilización de la cámara de videovigilancia que ha determinado la infracción no afecta únicamente a la parte reclamada. La propia entidad reclamada ha manifestado que el comedor en el que dicha cámara se encuentra ubicada es un lugar con mucha afluencia de personas, entre sus trabajadores (…), autónomos que prestan allí sus servicios (…), personal de ETT, clientes y proveedores. . Artículo 83.2.
  47. b)del RGPD: “
  48. b)la intencionalidad o negligencia en la infracción”. La negligencia apreciada en la instalación de una cámara de videovigilancia que permite la recogida de imágenes en un espacio privado destinado al descanso de los trabajadores, expresamente prohibido por la normativa de aplicación. A este respecto, se tiene en cuenta lo declarado en Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006) que, partiendo de que se trata de entidades cuya actividad lleva aparejado en continuo tratamiento de datos, indica que “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. Se trata de una empresa que realiza tratamientos de datos personales de manera sistemática y continua en el ámbito en que se han producido los hechos y que debe extremar el cuidado en el cumplimiento de sus obligaciones en materia de protección de datos. . Artículo 83.2.
  49. g)del RGPD: “las categorías de los datos de carácter personal afectados por la infracción”; Si bien no se han visto afectadas “Categorías especiales de datos personales”, según define el RGPD en el artículo 9, los datos personales a los que se refieren las actuaciones (imagen de los interesados) tiene una naturaleza especialmente sensible, por cuanto permite la pronta identificación de los interesados y aumenta los riesgos sobre su privacidad. . Artículo 76.2.
  50. b)de la LOPDGDD: “
  51. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales”. La alta vinculación de la parte reclamada con la realización de los tratamientos de datos personales en el ámbito laboral que son objeto del procedimiento. Esta circunstancia determina un mayor grado de exigencia y profesionalidad y, consiguientemente, de la responsabilidad de la parte reclamada en relación con el tratamiento de los datos. Se considera, asimismo, que concurren como atenuantes las circunstancias siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/23 . Artículo 83.2.
  52. d)del RGPD: “
  53. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32”. La entidad reclamada dispone de un complejo sistema de videovigilancia y ha implantado procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal que conlleva dicho sistema, no habiéndose apreciados en las actuaciones otros defectos distintos a la infracción declarada. Considerando los factores expuestos, la valoración que alcanza la multa por la infracción del artículo 6 del RGPD es de 50.000 euros (cincuenta mil euros). La parte reclamada considera desproporcionada esta sanción, alegando que protege la intimidad de los trabajadores en la zona de mesas destinada a comedor, que la grabación se elimina conforme a lo estipulado legalmente (…). Pero estas circunstancias no modifican la responsabilidad por los hechos que han determinado la infracción sancionada. Ya se ha valorado como atenuante que el sistema de videovigilancia es complejo, sin que se hayan apreciado otros defectos que los determinantes de la infracción declarada. Además, la no conservación de las grabaciones o la no utilización de imágenes fuera de lo previsto en la norma son circunstancias que, de no concurrir, serían motivo de nuevas infracciones. VIII Medidas de adecuación a la normativa Confirmada la infracción, procede imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  54. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. En el texto de este acuerdo se establecen cuáles han sido las infracciones presuntamente cometidas y los hechos que dan lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y el enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, procede requerir a la entidad responsable para que, en el plazo que se indica en la parte dispositiva, suprima la captación de imágenes por el sistema de videovigilancia objeto de las actuaciones en la zona destinada a comedor de los trabajadores, con el alcance expresado en este acto. Deberá suprimir la cámara de videovigilancia instalada en la zona de comedor de los empleados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/23 Se advierte que no atender a los requerimientos de este organismo puede ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador>>. En su escrito de recurso, la parte recurrente se limita a reproducir de los argumentos expuestos en los escritos de alegaciones presentados durante la tramitación del procedimiento que dio lugar a la resolución impugnada, sin considerar los hechos constatados y los fundamentos que sirven de base al acuerdo adoptado, en los que, además, se analizan ampliamente las circunstancias puestas de manifiesto por dicha entidad y se exponen las razones que determinaron su desestimación. Por tanto, los alegatos contenidos en el recurso quedan sobradamente rebatidos con los argumentos transcritos, que se consideran válidos y suficientes para rechazar el archivo de las actuaciones solicitado. No obstante, cabe reiterar que la resolución impugnada no cuestiona la legitimidad del sistema de videovigilancia instalado por la parte recurrente, ni la finalidad pretendida con dicha instalación, atendidas las circunstancias concurrentes. Lo que se cuestiona de manera específica es una de las cámaras que integran ese sistema de videovigilancia, instalada en una estancia utilizada como comedor de los trabajadores. Así, la infracción declarada resulta del tratamiento de datos personales que supone la recogida de la imagen de los afectados mediante una cámara de videovigilancia adicional instalada al efecto en una zona utilizada para el descanso del personal. Como bien indica la resolución impugnada, en la imagen captada por dicha cámara, la zona dispuesta para las mesas del comedor se encuentra protegida por una máscara, pero existe un espacio amplio entre las mesas y las máquinas de vending que también es captada por la cámara sin ningún tipo de restricción. Dice la resolución: No obstante, entre las mesas, que ocupan la parte derecha de la sala comedor en la imagen tomada por la cámara, y las máquinas de vending, situadas en un extremo de la sala, en la parte izquierda de la imagen, existe un espacio amplio, de unos dos metros de ancho y de extremo a extremo de la estancia, que es captado íntegramente por la cámara en cuestión sin restricción de ningún tipo. Este espacio que separa la zona de máquinas de vending y las mesas pertenece íntegramente al interior de la sala comedor, el cual es atravesado inevitablemente por todas las personas que acceden al comedor para hacer uso de la estancia. La captación de este espacio entre las mesas y las máquinas de vending no cumple el juicio de proporcionalidad, considerando la finalidad perseguida por la parte reclamada con la instalación de la cámara en el comedor, de modo que esta medida ha de calificarse como restrictiva de los derechos de los afectados”. Esta recogida de imágenes consta acreditada en las actuaciones y reconocida por la propia parte recurrente, que ha basado su defensa, también en el recurso interpuesto, en negar que la zona videovigilada estuviese destinada al uso indicado, señalando C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/23 que se trataba de una “zona de paso”. Así lo entiende la parte reclamante considerando que la estancia dispone de dos puertas que comunican con varios lugares de trabajo, por lo que la zona en cuestión debe ser transitada necesariamente por los trabajadores y otras personas, al tratarse de una zona pública. Llega a señalar la parte recurrente en su recurso que no es cierto que esas puertas comuniquen con espacios cerrados, aunque seguidamente indica que ambas puertas conectan con otras zonas distribuidoras. Es decir, esas puertas no comunican con el exterior, como puede verse en el plano aportado a las actuaciones por la entidad recurrente. Lo que es innegable es que la mencionada zona pertenece íntegramente al interior de la sala destinada a comedor, que ocupa el espacio que separa las mesas de comedor y las máquinas de vending, por lo que inevitablemente dicha zona es transitada por las personas que acceden a la sala para utilizarla como zona de descanso. No es cierto, por tanto, lo señalado en el recurso cuando se indica que “la captación de imágenes no se realiza en el interior de la sala comedor”. Y tampoco es cierto que la toma de imágenes se limite a “la parte de los bienes que sufren amenazas” (máquinas de vending), dado que la cámara en cuestión capta íntegramente ese espacio, que recorre la sala en su totalidad. En definitiva, según se indica en la misma resolución, “el tratamiento de datos realizado va más allá del estrictamente necesario, a juzgar por el detalle visualizado por la cámara. Esta captación no se limita a controlar exclusivamente las personas que hacen uso de las máquinas de vending, sino que alcanza a todas las personas que acceden al comedor, hagan uso o no de dichas maquinas. El juicio de necesidad implica que no exista otra medida más moderada para la consecución de propósito con igual eficacia. Si el propósito de la instalación de la cámara era la protección de los bienes patrimoniales de la empresa y máquinas de vending, el campo de visión captado por dicha cámara debió limitarse el mínimo imprescindible para garantizar esta protección o para obtener los resultados pretendidos respecto de la sustracción de artículos propiedad de la parte reclamada o la comisión de actos ilícitos contra los bienes”. Sobre el juicio de proporcionalidad de la medida adoptada por la parte recurrente, nada indica en su recurso sobre las razones que determinaron el rechazo de un aspecto tan importante como la necesidad de la medida en relación con el fin perseguido y la posibilidad de alcanzarlo mediante medidas menos intrusivas. En la resolución impugnada también se da respuesta a otras cuestiones reiteradas en el recurso, como las relativas a otros precedentes de la AEPD (E/09297/2018) o la Sentencia de la Audiencia Nacional de 31/01/2022; así como la solicitud de archivo formulada por la parte reclamante. En cuanto al importe de la multa impuesta, que la parte recurrente considera desproporcionado, ninguna mención hace el recurso a los factores y criterios de graduación apreciados en la resolución, y tampoco a las razones que determinaron la desestimación de aquella supuesta falta de proporcionalidad, que ahora se platea nuevamente en base a las mismas circunstancias rechazadas en la resolución. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/23 III Conclusión En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. IV Resolución extemporánea Debido a razones de funcionamiento del órgano administrativo, por ende no atribuibles a la parte recurrente, hasta el día de la fecha no se ha emitido el preceptivo pronunciamiento de esta Agencia respecto al presente recurso. De acuerdo con lo establecido en el art. 24 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. Con todo, y a pesar del tiempo transcurrido, la Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, según dispone el art. 21.1 de la citada LPACAP. Por tanto, procede emitir la resolución que finalice el procedimiento del recurso de reposición interpuesto. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por GRUPO TRANSAHER, S.L. contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 10 de abril de 2023, en el expediente EXP202206735. SEGUNDO: REQUERIR a GRUPO TRANSAHER, S.L. para que, en el plazo de un mes, contado desde la notificación de la presente resolución, adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en el Fundamento de Derecho VIII de la resolución recurrida, y justifique ante esta Agencia Española de Protección de Datos la atención del presente requerimiento en el mismo plazo. TERCERO: NOTIFICAR la presente resolución a GRUPO TRANSAHER, S.L. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  55. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/23 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  56. a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-111122 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.