REPOSICION-PS-00724-2014

1/17 Procedimiento nº. PS/00724/2014 ASUNTO: Recurso de Reposición Nº RR/00649/2015 Examinado el recurso de reposición interpuesto por la entidad INTERSERVE FACILITIES SERVICES, S.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00724/2014, y en base a los siguientes, HECHOS PRIMERO: Con fecha 3/7/5, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00724/2014 , en virtud de la cual se imponía a la entidad INTERSERVE FACILITIES SERVICES, S.A., una sanción de 3.000 €, por la vulneración de lo dispuesto en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.b, de conformidad con lo establecido en el artículo 45.5 y 4de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 10/7/15, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00724/2014, quedó constancia de los siguientes: procedimiento sancionador, <<<<< 1º Consta denuncia presentada por A.A.A. comunicando posible infracción a la Ley Orgánica 15/1999 motivada por cámaras de videovigilancia cuyo titular es la entidad CBRE GLOBAL SOUTHERM EUROPE S.L.U. (en adelante el denunciado) instaladas en centro comercial Gran Vía de VIGO. En particular se manifiestan los siguientes hechos: * Que dicho centro comercial denunciado dispone de un sistema de videovigilancia del que es responsable el titular del centro CBRE GLOBAL SOUTHERM EUROPE S.L.U., el cual tiene contratada la empresa de seguridad SEGURIBERICA, S.A. que dispone de acceso a las imágenes que se graban en un centro de Control. Además también tiene contratado el servicio de limpieza con la empresa INTERSERVE FACILITIES SERVICES, S.A. * Que se están usando las Cámaras de Videovigilancia para vulnerar los derechos de las personas. Aportan copia de una carta de despido de una trabajadora de INTERSERVE FACILITIES SERVICES, S.A. de fecha 15 de noviembre de 2013, basando el despido en incumplimiento de la jornada laboral. La misma carta de despido incluye el siguiente párrafo: “A parte de lo anterior el día 10 de noviembre ocurrió un incidente muy grave en su centro de trabajo. Ese día, la encargada del centro recibe una llamada de su compañera en la cual le informa de un problema que ha sufrido con usted y que casi le da un puñetazo en la cara. En ese mismo momento también la llamaban del puesto de seguridad para decirle que había dos personas de la limpieza que estaban C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/17 discutiendo y que usted estaba empujando a ***NOMBRE.1 y que le quiso dar un puñetazo que estaba grabado y que podía pasar a ver la grabación. La encargada fue al puesto de seguridad a ver la grabación y nos informa que se ve a ***NOMBRE.1 subiendo por las escaleras limpiando los cristales y a usted detrás, ***NOMBRE.1 deja de limpiar y se ve como discuten y como usted le da tres empujones agarrándola con actitud agresiva señalándola con el dedo y acercándole la cara, finalmente se ve como levanta el puño cerrado como si fuese a propinarle un puñetazo en la cara de no ser porque llega ***NOMBRE.2 y la retienen para que se tranquilice y no fuera detrás de ***NOMBRE.1. De no ser porque apareció ***NOMBRE.2 usted hubiese agredido físicamente a su compañera ***NOMBRE.1.” 2º Constan las siguientes alegaciones de INTERSERVE FACILITIES SERVICES, S.A. en relación con los hechos denunciados, * INTERSERVE FACILITIES SERVICES, S.A., no tiene instalado sistema de videovigilancia propio en el centro de trabajo de la empleada a la que se refiere la carta de despido. * Que El sistema existente pertenece y es de la exclusiva responsabilidad de la empresa titular del centro comercial, esto es, ING REAL STATE. * Que la encargada del Centro no tiene acceso al referido sistema de videovigilancia, habiendo sido los empleados de seguridad del Centro Comercial —que carecen de vinculación alguna con INTERSERVE-, quienes mostraron las imágenes a la encargada del Centro, sin que ésta lo solicitase o requiriese en modo alguno. * En el centro existe un reloj fichador propiedad de tres empresas, la de mantenimiento’, seguridad y limpieza (INTERSERVE). * Adjunta un listado de en el que se relacionan los fichajes de control laboral de la trabajadora a la que se envió la carta de despido como documentación acreditativa del fichero origen de los datos relativos a la hora de entrada de la trabajadora que consta en la mencionada carta de despido, desde el 7/0812013 hasta el día 8/11/2013. 3º Constan las siguientes alegaciones de SEGUR IBERICA, S.A * Que fue la encargada directora del centro quien comunico la incidencia a la empresa de limpiezas. Nadie en la empresa de limpiezas tuvo acceso a las imágenes captadas por el servicio de seguridad del mismo * Que las imágenes no fueron utilizadas por Segur Ibérica para sancionar o despedir a la agresora, sino para dar parte de la incidencia de seguridad ocurrida a la Responsable del fichero, siendo verificado el incidente por la Directora del Centro y que sirvieron al responsable del fichero para amonestar a la empresa de limpieza en relación al comportamiento producido por sus empleadas. >>>>> TERCERO: INTERSERVE FACILITIES SERVICES, S.A. ha presentado en fecha 31/7/15, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/17 * Que solo la incorporación de las imágenes a un fichero podría estimarse como tratamiento. En la resolución se pretende calificar como tratamiento no la incorporación de las imágenes a un fichero sino la mención a la existencia de tales imágenes en una carta de despido. * Que no se aprecia concurrencia de dolo o negligencia por parte de Interserve. Ya que es Seguriberica la que comunica y advierte a Interserve de la existencia de la grabación si que por parte de la reclamante se requiera o exija ningún modo su visionado. Considerando que es propugnable una actuación de Interserve acreedora, cuanto menos, de una mayor levedad en la sanción propuesta, tomando en cuenta que no sólo se trata de un hecho puntual y sin que partiese de ella la exigencia de visionado ni acceso a las imágenes. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por INTERSERVE FACILITIES SERVICES, S.A., reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del (II al IX) ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: <<<<< II Con carácter previo, debe señalarse que el artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. La LOPD, viene a regular el derecho fundamental a la protección de datos de las personas físicas, esto es, el derecho a disponer de sus propios datos sin que puedan ser utilizados, tratados o cedidos sin su consentimiento, con la salvedad de las excepciones legalmente previstas. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el apartado

1. a)del artículo 3 de la LOPD, como “Cualquier información concerniente a personas físicas identificadas o identificables”. El artículo 3 de la LOPD define en su letra
2. c)el tratamiento de datos como aquellas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/17 “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. La garantía del derecho a la protección de datos, conferida por la normativa de referencia, requiere que exista una actuación que constituya un tratamiento de datos personales en el sentido expresado. En otro caso las mencionadas disposiciones no serán de aplicación. El artículo 5.1.
3. f)del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, define datos de carácter personal como: “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2.
4. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, según el cual, a efectos de dicha Directiva, se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Asimismo, el Considerando 26 de esta Directiva se refiere a esta cuestión señalando que, para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona para identificar a aquélla. Por su parte, la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras, (BOE del 12/12/06), en sus artículos 1.1 y 2 señala lo siguiente: “Artículo 1.1. La presente Instrucción se aplica al tratamiento de datos personales de imágenes de personas físicas identificadas o identificables, con fines de vigilancia a través de sistemas de cámaras y videocámaras. El tratamiento objeto de esta Instrucción comprende la grabación, captación, transmisión, conservación, y almacenamiento de imágenes, incluida su reproducción o emisión en tiempo real, así como el tratamiento que resulte de los datos personales relacionados con aquéllas. Se considerará identificable una persona cuando su identidad pueda determinarse mediante los tratamientos a los que se refiere la presente instrucción, sin que ello requiera plazos o actividades desproporcionados. Las referencias contenidas en esta Instrucción a videocámaras y cámaras se entenderán hechas también a cualquier medio técnico análogo y, en general, a cualquier sistema que permita los tratamientos previstos en la misma.” “Artículo 2. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/17 1. Sólo será posible el tratamiento de los datos objeto de la presente instrucción, cuando se encuentre amparado por lo dispuesto en el artículo 6.1 y 2 y el artículo 11.1 y 2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. 2. Sin perjuicio de lo establecido en el apartado anterior la instalación de cámaras y videocámaras deberá respetar en todo caso los requisitos exigidos por la legislación vigente en la materia.” El Grupo de protección de las personas, en lo que respecta al tratamiento de datos personales, creado en virtud del artículo 29 de la citada Directiva 95/46/CE, en su Dictamen 4/2004, adoptado en fecha 11/02/2004, relativo al tratamiento de datos personales mediante vigilancia por videocámara, formula distintos criterios para evaluar la legalidad y conveniencia de instalar sistemas de captación de imágenes en zonas públicas. Por otra parte, para determinar si en el supuesto que se analiza implican el tratamiento de datos relacionados con personas identificables, el citado Grupo considera que los datos constituidos por imagen y sonido son personales aunque las imágenes se utilicen en el marco de un sistema de circuito cerrado y no estén asociados a los datos personales del interesado, incluso, si no se refieren a personas cuyos rostros hayan sido filmados, e independientemente del método utilizado para el tratamiento, la técnica, el tipo de equipo, las características de la captación de imágenes y las herramientas de comunicación utilizadas. A efectos de la Directiva, se añade, el carácter identificable también puede resultar de la combinación de los datos con información procedente de terceras partes o, incluso, de la aplicación, en el caso individual, de técnicas o dispositivos específicos. En cuanto a las obligaciones y precauciones que deberán respetarse por los responsables del tratamiento de los datos se mencionan, entre otras, la de evitar las referencias inadecuadas a la intimidad; especificar de forma clara e inequívoca los fines perseguidos con el tratamiento y otras características de la política de privacidad (momento en que se borran las imágenes, peticiones de acceso); obtención del consentimiento del interesado basado en una información clara; mantener la necesaria proporcionalidad entre los datos y el fin perseguido, obligándose al empleo de sistemas idóneos con respecto a dicho fin y a minimizar los datos por parte del responsable del tratamiento; datos que han de ser adecuados, pertinentes y no excesivos y deberán retenerse durante un plazo en consonancia con las características específicas de cada caso. Por tanto, la captación de imágenes con fines de vigilancia y control, como es el caso que nos ocupa, se encuentra plenamente sometida a lo dispuesto en la LOPD, ya que constituye un tratamiento de datos de carácter personal. En el caso que nos ocupa ING REAL ESTATE (en la actualidad) es la titular del centro comercial y responsable del sistema de video vigilancia instalado. La empresa SEGURIBERICA es encargada de tratamiento, teniendo acceso a las imágenes que graban en un centro de control. La empresa INTERSERVE es la empresa responsable del servicio de mantenimiento a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/17 través de un contrato formalizado con el titular del centro. De conformidad con la normativa y jurisprudencia expuesta, debe valorarse en el presente caso, el tratamiento de las imágenes grabadas, en relación a la finalidad, contenido y uso de las imágenes, tanto por la encargada tratamiento, SEGURIBERICA, como por la empresa encargada del servicio de mantenimiento y que tuvo acceso a las imágenes. III Sobre la imputación a SEGURIBERICA Se imputa en primer lugar a SEGURIBERICA una vulneración del art. 11 de la LOPD. Los hechos en que se basa dicha imputación son los siguientes: * Se aporta en la denuncia una carta de despido, por incumplimiento de la jornada laboral, que refiere un incidente acaecido el día 10/11/13. En los que intervienen dos trabajadoras de la empresa de limpiezas. Dicho incidente es captado por las cámaras de seguridad manifestándose en la misma carta que: “a encargada del centro recibe una llamada de su compañera en la cual le informa de un problema que ha sufrido con usted y que casi le da un puñetazo en la cara. En ese mismo momento también la llamaban del puesto de seguridad para decirle que había dos personas de la limpieza que estaban discutiendo y que usted estaba empujando a xxx y que le quiso dar un puñetazo que estaba grabado y que podía pasar a ver la grabación. La encargada fue al puesto de seguridad a ver la grabación y nos informa que se ve a xxx subiendo por las escaleras limpiando los cristales y a usted detrás” (Subrayado de la Agencia de protección de Datos) * En relación a dichos hechos por SEGURIBERICA se manifiesta lo siguiente -- Que la carta al referirse a la “encargada del centro” se está refiriendo a la Directora del centro comercial contratada por la propietaria del mismo. Que dicha carta no se refiere a ninguna encargada de la empresa de limpiezas ya que no hay tal figura presente en el centro, sino a la encargada directora del centro comercial. No hubo cesión de las imágenes captadas por los sistemas de videovigilancia del centro comercial a ningún tercero -- Que fue la encargada directora del centro quien comunico la incidencia a la empresa de limpiezas. Nadie en la empresa de limpiezas tuvo acceso a las imágenes captadas por el servicio de seguridad del mismo -- Que las imágenes fueron utilizadas por SEGURIBÉRICA para dar parte de la incidencia de seguridad ocurrida a la Responsable del fichero, siendo verificado el incidente por la Directora del Centro y que sirvieron al responsable del fichero para amonestar a la empresa de limpieza en relación al comportamiento producido por sus empleadas. * En relación a los mismos hechos por parte de INTERSERVE se manifiesta lo siguiente -- Que fueron los empleados de seguridad del Centro Comercial —que carecen de vinculación alguna con INTERSERVE-, quienes mostraron las imágenes a la encargada C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/17 del Centro, sin que ésta lo solicitase o requiriese en modo alguno. En el periodo de pruebas se solicitó aclaración a la empresa INTERSERVE sobre si las manifestaciones expresadas se referían a la encargada de la empresa (por tanto empleada de Interserve) o a la encargada del centro comercial (trabajadora en este supuesto de la sociedad propietaria del centro comercial). Manifestándose que las alegaciones efectuadas en el escrito de alegaciones al Acuerdo de Inicio hacen alusión a la encargada contratada por INTERSERVE Dª B.B.B.. En consecuencia cabe deducir que fue una empleada de la empresa del servicio de limpieza quien pudo visionar las imágenes, que le fueron mostradas por el personal de la empresa de seguridad, a las que se hace referencia en el escrito de denuncia. Dichos hechos suponen una vulneración, por parte de SEGURIBERICA del art. 11.1 de la LOPD que establece: “Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado” Debe tenerse en cuenta que la imagen de las personas constituye un dato de carácter personal, considerándose que la persona deberá considerarse identificable cuando su identificación no requiere plazos o actividades desproporcionados, De este modo, la comunicación de las imágenes captadas con la cámara, y que se refieren a un incidente ocurrido entre dos trabajadoras de la empresa del servicio de limpieza, constituye una cesión de datos de carácter personal, definida en el artículo 3
5. i)de la Ley Orgánica 15/1999 como “Toda revelación de datos realizada a una persona distinta del interesado”. Tal cesión debe sujetarse al régimen general de comunicación de datos de carácter personal establecido en el artículo 11 de la misma Ley, donde se establece que la misma solo puede verificarse para el cumplimiento de fines directamente relacionados con las funciones legitimas del cedente y cesionario y exige para que pueda tener lugar, el previo consentimiento del interesado (artículo 11.1), otorgado con carácter previo a la cesión y suficientemente informado de la finalidad a que se destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar (Artículo 11.3), y que debe recabar el cedente como responsable del fichero que contiene los datos que se pretenden ceder. Hay que tener en cuenta que en el artículo 11.2 se contemplan una serie de circunstancias tasadas en las que no es preciso dicho consentimiento, que son las siguientes: “
6. a)Cuando la cesión está autorizada en una Ley.
7. b)Cuando se trate de datos recogidos de fuentes accesibles al público.
8. c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique.
9. d)Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/17 Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas.
10. e)Cuando la cesión se produzca entre Administraciones Públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos.
11. f)Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica.” El presente supuesto, en que una empleada del servicio de limpieza ha podido visionar una imágenes en las que ve un incidente ocurrido entre dos trabajadoras de dicha empresa” y que dicho visionado fue posible porque las imágenes le fueron ofrecidas por una persona de la empresa de Vigilancia no cabe encuadrar dicha comunicación en ninguno de los supuestos previstos en el artículo 11.2, de modo que pueden calificarse dichos hechos como una cesión no consentida de imágenes con datos de carácter personal, lo que implica una vulneración del art. 11 de la LOPD IV La infracción del artículo 11 está tipificada como grave en el art .44.3, k de la LOPD que establece como tal: “La comunicación o cesión de los datos de carácter personal sin contar con la legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave” En este caso SEGURIBERIA, tal como se ha razonado en el fundamento anterior, ha incurrido en la infracción descrita, ya que ha vulnerado el principio del consentimiento del afectado para la cesión de datos de carácter personal, (imágenes), consagrado en el artículo 11 de la LOPD, V Sobre la imputación a INTERSERVE En segundo lugar se imputa a INTERSERVE la presunta comisión de una infracción del artículo 6.1 de la LOPD, que dispone lo siguiente: 1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado”. Asimismo, debe recordarse que el tratamiento de las imágenes deberá cumplir con el principio de proporcionalidad en el tratamiento, consagrado por el artículo 4.1 de la Ley Orgánica 15/1999, según el cual “los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido”. Así lo recuerda el artículo 4.1 de la Instrucción 1/2006, al señalar que “de conformidad con el artículo 4 de la Ley Orgánica 15/1999 de 13 de diciembre, de Protección de Datos de Carácter Personal, las imágenes sólo serán tratadas cuando sean adecuadas, pertinentes y no excesivas en relación con el ámbito y las finalidades determinadas, legítimas y explícitas, que hayan justificado la instalación de las cámaras o videocámaras”. Por la empresa denunciada se manifiesta que no se ha realizado por la misma ningún tratamiento de las imágenes, que fueron los responsables de la empresa de seguridad que de manera espontánea avisaron a la encargada de la empresa sobre una agresión que había protagonizado una trabajadora de limpieza. Y que aquella sólo accedió a su mero visionado, sin que lo solicitara o exigiera y sin que le fuera entregada copia o acceso a las citadas imágenes. Se manifiesta que, posteriormente, se limitó a ejercer la potestad sancionadora frente a la trabajadora que presuntamente había agredido a su compañera. Y que dentro de los requisitos formales exigidos en la legislación laboral, se relataron en la carta de despido lo hechos en los que se basa en mismo – pues sobre los mismos versará la prueba del procedimiento de despido -. Y que en su momento solicitaría como prueba, a través del juzgado, el visionado de las cámaras correspondiente al día y la hora en que se refieren los hechos. Sin embargo en este caso, si bien ha quedado constancia que INTERSERVE no es responsable ni encargada del tratamiento, si ha utilizado las imágenes captadas, a las que tuvo acceso al haber sido ofrecido la posibilidad del mismo por la empresa de vigilancia, y que las mismas se han utilizado en la fundamentación de una carta de despido de una trabajadora que aparece en dichas imágenes. Debe analizarse si INTERSERVE estaba legitimada para la utilización de dichas imágenes para el control laboral de los trabajadores, teniendo en cuenta que el sistema de videovigilancia – del que no son responsables - no tiene como finalidad dicho control laboral. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/17 VI En orden a precisar el alcance antijurídico de los referidos hechos, procede analizar, en primer lugar, el principio de consentimiento consagrado en el artículo 6 de la LOPD, cuyo apartado 1 dispone: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. A este respecto, debe señalarse que el artículo 3.
12. c)de la LOPD define el tratamiento de datos como “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporciona a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. En este caso, INTERSERVE ha incorporado a la carta de despido de su trabajadora una información obtenida a través de las imágenes, proporcionadas por Seguriberica, a las que tuvo acceso. Hay que tener en cuenta que el art. 2 de La Ley Orgánica 15/1999, dispone que “será de aplicación a los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”. En consecuencia la norma establece una equivalencia entre registro en soporte físico y fichero aunque, si bien, para que una actuación manual sobre datos personales (recogida, grabación, conservación, elaboración, modificación, bloqueo ...) tenga la consideración de “tratamiento de datos” sujeto al sistema de protección de la Ley Orgánica 15/1999 es necesario que dichos datos estén contenidos o destinados a ser incluidos en un fichero, esto es, en un conjunto estructurado u organizados de datos con arreglo a criterios determinados. Si no es así, el tratamiento manual de datos personales quedará fuera del ámbito de aplicación de la ley, no será un “tratamiento de datos personales” según el concepto normativo que la ley proporciona. La carta de despido de un trabajador resulta evidente que pertenece al fichero de personal de la empresa, sea este automatizado o no, por lo que la LOPD resultaría de aplicación al supuesto examinado. Ahora bien el tratamiento de datos de carácter personal debe contar con el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/17 consentimiento del interesado, el titular de dichos datos. A no ser que medien una de las circunstancias eximentes de dicho consentimiento contempladas en el art. 6.2. Y entre las que podía considerarse las contempladas en el art. 20.3 del Estatuto de los Trabajadores que establece: “3. El empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para la verificación del cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a la dignidad humana y teniendo en cuenta la capacidad real de los trabajadores disminuidos en su caso”. No obstante si bien se dicho artículo 20.3 faculta al empresario para adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad humana. No cabe duda que en la cuestión del control laboral del empleado se debe tener en cuenta el debido equilibrio entre las facultades que le son reconocidas al empleador en el artículo 20.3 del E.T. y los derechos que le son reconocidos al trabajador en el artículo 4.2.
13. e)del E.T. que reconoce al trabajador el derecho “al respeto de su intimidad y a la consideración debida a su dignidad”. En este sentido hay que tener en cuenta la Sentencia del Tribunal Supremo 2618/14 en un supuesto muy similar (fundamentación del despido de una trabajadora a través de las imágenes captadas por un sistema de videovigilancia), dispone lo siguiente: “ por la empresa no se dio información previa a la trabajadora de la posibilidad de tal tipo de grabación ni de la finalidad de dichas cámaras instaladas permanentemente, ni, lo que resultaría más trascendente, tampoco se informó, con carácter previo ni posterior a la instalación, a la representación de los trabajadores de las características y alcance del tratamiento de datos que iba a realizarse” En este supuesto el sistema de videovigilancia no estaba instalado por INTERSERVES ni tenía la consideración de encargada de tratamiento en relación a él, por lo que no estaba legitimada para utilizar sus imágenes como una media de verificación y control del cumplimiento, por parte de sus trabajadores, de sus obligaciones laborales, por consiguiente el acceso a las mismas y su posterior tratamiento se ha realizado sin el debido consentimiento de las personas afectadas, siendo además una de ellas perjudicada por dichas imágenes, por lo que el mismo debe considerarse como no legítimo. Debe tenerse en cuanta la Sentencia del Tribunal Supremo (Sala Cuarta de lo Social) de 13/5/14 que desestima un recurso de casación para unificación de doctrina, confirmando una resolución judicial y por ende la nulidad de un despido de una trabajadora que fue grabada sin ser previamente informada de la utilización de las imágenes para vigilancia laboral La citada sentencia, en su fundamento jurídico sexto dispone lo siguiente: “SEXTO.-1.- En el supuesto ahora enjuiciado, como se ha adelantado, resulta que en el local del supermercado, donde coinciden el " lugar de trabajo ", que es donde pueden movilizarse por los trabajadores las garantías fundamentales, con los espacios físicos utilizados por los clientes que, en el presente caso, estaban sujetos a control mediante C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/17 sistemas tecnológicos a través de varias cámaras instaladas con carácter permanente y esencialmente para controlar las puertas de acceso y los lineales, aunque una de ellas estaba ubicada en la zona de cajas; que ésta fue la cámara que se utilizó expresamente por la empleadora para controlar el puesto de trabajo de la cajera despedida, sin que se acredite que la información de un cliente fuera la que produjo la sospecha sobre la conducta de la trabajadora y la subsiguiente actuación empresarial, utilizando las cámaras de seguridad con tal fin de control de la actividad laboral para luego con base exclusiva en imágenes captadas por dicha cámara intentar acreditar los hechos imputados en la carta de despido (evitar en la caja el escaneo de diversos productos en beneficio de su pareja) (HP 4º y 5º); constando, además, en los hechos probados que " el sistema de vigilancia está dirigido a evitar robos por parte de clientes " (HP 3º), que " no consta haber sido comunicada la existencia del sistema de vigilancia a la representación unitaria " (HP 3º), que el representante de los trabajadores en el año 2008 " momento en el que se produjo la instalación de cámaras en el local, interpeló al responsable del local en orden a si se trataba de un sistema de vigilancia laboral. El responsable en aquella época le repuso seguidamente que no, que únicamente se trataba de un sistema destinado a evitar robos por terceros y que algunas de las cámaras no serían operativas. No se precisó cuáles funcionarían y cuáles no " (HP 11º) y que el responsable nacional de seguridad al servicio de la demandada " advirtió que el sistema de cámaras existente en las instalaciones de aquélla no está preparado para la vigilancia del personal, sino únicamente para disuadir a terceros de robos " (HP 11º). 2.- Como se deduce de lo anteriormente expuesto, y se refleja razonadamente en la sentencia recurrida, por la empresa no se dio información previa a la trabajadora de la posibilidad de tal tipo de grabación ni de la finalidad de dichas cámaras instaladas permanentemente, ni, lo que resultaría más trascendente, tampoco se informó, con carácter previo ni posterior a la instalación, a la representación de los trabajadores de las características y el alcance del tratamiento de datos que iba a realizarse, esto es, en qué casos las grabaciones 8 podían ser examinadas, durante cuánto tiempo y con qué propósitos, ni explicitando muy particularmente que podían utilizarse para la imposición de sanciones disciplinarias por incumplimientos del contrato de trabajo; por el contrario, al requerir tales representantes de los trabajadores a la empresa, una vez instaladas, se les indicó que su finalidad era evitar robos por terceros y no se trataba de un sistema para el control de la actividad laboral, que unas funcionarían y otras no y sin precisar tampoco el almacenamiento o destino de tales grabaciones, y que, a pesar de ello, " lo cierto es que en este concreto caso se usó con la indicada y distinta finalidad de controlar la actividad de la demandante y luego para sancionar a la misma con el despido " y sin que se acredite que la información de un cliente fue la que produjo la sospecha sobre la conducta de la trabajadora y la subsiguiente actuación empresarial. 3.- Destacando, por otra parte, la sentencia de suplicación, lo que compartimos, que la ilegalidad de la conducta empresarial no desaparece por el hecho de que la existencia de las cámaras fuera apreciable a simple vista, puesto que conforme a la citada STC 29/2013 " No contrarresta esa conclusión que existieran distintivos anunciando la instalación de cámaras y captación de imágenes en el recinto universitario, ni que se hubiera notificado la creación del fichero a la Agencia Española de Protección de Datos; era necesaria además la información previa y expresa, precisa, clara e inequívoca a los trabajadores de la finalidad de control de la actividad laboral a la que esa captación podía ser dirigida. Una información que debía concretar las características y el alcance del tratamiento de datos que iba a realizarse, esto es, en qué casos las grabaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/17 podían ser examinadas, durante cuánto tiempo y con qué propósitos, explicitando muy particularmente que podían utilizarse para la imposición de sanciones disciplinarias por incumplimientos del contrato de trabajo ". 4.- A lo que debemos añadir que, --si bien a diferencia del supuesto analizado en la referida STC, en el que las cámaras estaban instaladas de forma visible en vestíbulos y zonas de paso públicos y en que a pesar de ello se apreció como realmente determinante la exigencia a la información expresa y previa --, en el supuesto ahora analizado, las cámaras de grabación estaban instaladas en lugar en que se efectuaba la venta directa a los clientes coincidente con aquel en que se desarrollaba la prestación laboral, tampoco el mero hecho de la instalación y del conocimiento de la existencia de tales cámaras puede comportar la consecuencia de entender acreditado el que existiera evidencia de que podían utilizarse aquéllas para el control de la actividad laboral y para la imposición de sanciones disciplinarias por incumplimientos contractuales, puesto que expresamente, como hemos indicado, en el presente caso la representación empresarial, tras la instalación de la cámaras, comunicó a la representación de los trabajadores que la finalidad exclusiva era la de evitar robos por parte de clientes y que no se trataba de un sistema de vigilancia laboral.” VII En conclusión, en el presente caso, consta que INTERSERVE utilizó las imágenes captadas por el sistema de videovigilancia para la fundamentación de una carta de despido de una trabajadora sin tener legitimación para ello por lo que debe considerarse vulnerado el art. 6 de la LOPD El artículo 44.3.
14. b)de la LOPD considera infracción grave: “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En función de lo expuesto cabe apreciar la existencia de la infracción denunciada por cuanto el motivo de la instalación de las videocámaras es la captación de imágenes de personas, que, tal y como anteriormente se ha referido, constituyen datos de carácter personal, no acreditándose que se cuente con el consentimiento de los afectados cuyos datos personales se tratan por las cámaras instaladas, tal y como establece el artículo 6.1 de la LOPD. VIII Debe tenerse en cuenta que la culpabilidad constituye nota esencial en materia sancionadora -artículo 130 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC)- y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la LRJPAC dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/17 nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento de la culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” La Audiencia Nacional, en Sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 5 de junio de 1998 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables”. Aplicando la anterior doctrina, la Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos debe ser especialmente diligente y cuidadoso a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril y 18 de mayo de 2005). La mera comisión de una infracción administrativa—tipo objetivo—no es suficiente a la hora de proceder a imponer una sanción administrativa. La culpabilidad como reprochabilidad al sujeto activo de la lesión del bien jurídico protegido, resulta evidente cuando el sujeto realiza voluntariamente la conducta típica dirigida intencionalmente a la obtención del resultado antijurídico, que es procurado y querido Habrá de concurrir, pues, una conducta dolosa o negligente, ya sea negligencia grave o leve o simple, según en grado de desatención. Y no existe negligencia, ni por tanto infracción culpable y punible, "cuando se haya puesto la diligencia necesaria en el cumplimiento de las obligaciones exigibles en materia de LOPD". IX El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece en sus apartados 1 a 5 lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/17 “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
15. a)El carácter continuado de la infracción.
16. b)El volumen de los tratamientos efectuados.
17. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
18. d)El volumen de negocio o actividad del infractor.
19. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
20. f)El grado de intencionalidad.
21. g)La reincidencia por comisión de infracciones de la misma naturaleza.
22. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
23. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
24. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora.” A tal efecto, el art. 45.5 de la LO 15/1999 dispone que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: “
25. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
26. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente .
27. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
28. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
29. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente (…)”. La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto “…no es si una manifestación del llamado principio de proporcionalidad (art. 131.1 Ley 30/92), incluido en el más general de prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/17 casos muy extremos…”. En el presente caso, ha quedado acreditado que las cámaras de videovigilancia instaladas en el centro comercial, y cuyo objeto era la vigilancia del mismo, registraron un incidente entre dos trabajadoras de la empresa de limpieza (esta no tenía ninguna vinculación con la empresa de seguridad ni con el sistema de videovigilancia instalado). La empresa de seguridad facilitó el acceso a las imágenes a la empresa de limpieza que trató las mismas, utilizándolas en la justificación del despido de una trabajadora implicada en el incidente captado por las cámaras. No obstante deben tenerse en cuenta las circunstancias relevantes en el presente procedimiento que permiten la responsabilidad de las empresas denunciadas de cara a la aplicación de la facultad contemplada en el 45.5 y que son las siguientes: * Que se trata de un hecho puntual * Que por parte de SEGURIBERICA se trató como una incidencia de seguridad de la que se dio parte al Responsable del Fichero * Por parte de INTERSERVE el acceso a las imágenes fue posible porque le fueron mostradas por los vigilantes de seguridad. En conclusión, teniendo en cuenta el supuesto contemplado en el art. 45 5 y teniendo según los criterios de graduación de las sanciones establecidos en el artículo 45.4, que buscan guardar la debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada, considerándose especialmente los siguientes criterios para la graduación de la sanción a aplicar:
30. a)Existencia de intencionalidad o reiteración,
31. b)La naturaleza de los perjuicios causados, C) La reincidencia. Procede imponer una multa de 3.000 euros a SEGURIBERICA y una multa de 3.000 euros a INTERSERVE >>>>> III Por lo tanto, en el presente recurso de reposición, INTERSERVE FACILITIES SERVICES, S.A. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por INTERSERVE FACILITIES SERVICES, S.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 3 de julio de 2015, en el procedimiento sancionador PS/00724/2014. SEGUNDO: NOTIFICAR la presente resolución a la entidad INTERSERVE FACILITIES SERVICES, S.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/17 en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es