Procedimiento nº.: TD/01593/2017 ASUNTO: Recurso de Reposición Nº RR/00779/2017 Examinado el recurso de reposición interpuesto por D. C.C.C. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente TD/01593/2017, y en base a los siguientes HECHOS PRIMERO: Con fecha 6 de septiembre de 2017, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente TD/01593/2017, en la que se acordó INADMITIR la reclamación de Tutela de Derechos formulada por D. C.C.C. contra SECURITAS DIRECT ESPAÑA, S.A... Dicho acuerdo fue adoptado en base a la definición de dato de carácter personal como cualquier información concerniente a personas físicas identificadas o identificables, y se estimó que los registros y señales originados y almacenados por la alarma ubicada en la propiedad del reclamante no constituían datos de “base” del afectado. SEGUNDO: La resolución ahora recurrida fue notificada fehacientemente a C.C.C. el 13 de septiembre de 2017, según consta en el justificante de la notificación. TERCERO: El recurrente ha presentado recurso potestativo de reposición en el Servicio de Correos de ***LOC.1 el 9 de noviembre de 2017, con entrada en esta Agencia el 11 de noviembre de 2017, en el que señala que:
- a)la resolución recurrida no argumenta que los registros y señales enviadas por el equipo de alarma instalados en mi propiedad así como los contenidos en la memoria interna de la alarma entre los días 26 de noviembre y 18 de diciembre de 2015 (antes o después del robo), no tienen la consideración de datos de carácter personal.
- b)La información a la que se solicita el acceso de entradas, salidas, movimientos, saltos de alarma, activación y desactivación de la alarma por determinado usuario, acaecidos en el interior de mi hogar se puede inferir, directa o indirectamente, actos o comportamientos relacionados con mi persona, o de otras de mi familia o incluso terceros autorizados al acceso de la vivienda, por lo que tienen la información obrante en los servidores, son datos personales.
- c)El Reglamento de la LOPD considera dato de carácter personal “ cualquier información numérica, alfabética, grafica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificada o identificables” por consiguiente los registros y señales generados por el equipo de alarma instalada en mi propiedad es información personal relativa a mi persona, de otras de mi familia o incluso terceros autorizados al acceso a la mi vivienda. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 2/4
- d)finalmente, el recurrente cita la Ley 5/2015, de 4 de abril de Seguridad Privada, en cuanto tiene como objetivo la seguridad de las personas y sus bienes. CUARTO: Por escrito de fecha 20 de octubre de 2017, de conformidad con lo establecido en el artículo 118/ de la Ley 39/2015 de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas –LPACAPse dio traslado del recurso a SECURITAS DIRECT ESPAÑA S.A.., formulando alegaciones en las que reitera lo en su día contestado al recurrente, consistente en:
- a)Los registros y señales -logs- solicitados no pueden calificarse de datos de carácter personal, puesto que el artículo 5 del RLOPD exige “ que una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados”.
- b)Tal como, tiene establecido la AEPD es posible que determinadas informaciones que de forma directa no identifiquen a un interesado puedan ser consideradas datos de carácter personal, cuando dicha identificación es posible sin suponer la misma un tiempo desproporcionado… Por tanto resulta evidente que los logs que se registran en nuestros sistemas de alarmas ante cualquier incidencia de seguridad que se pueda crear como consecuencia de un salto de alarma, no es un dato de carácter personal, pues cualquier “tercero” que pueda acceder a dicha información le resultará imposible o supondrá un esfuerzo desproporcionado identificar al titular de la alarma, no entrando en la calificación expuesta de carácter personal. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En la resolución ahora impugnada ya se advertía sobre el alcance de las normas contenidas en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo, LOPD), y en el Reglamento de desarrollo de la LOPD aprobado por Real Decreto 1720/2007, de 21 de diciembre –RLOPD- . La cuestión controvertida es si los “logs” que se producen a consecuencia del funcionamiento de la alarma de seguridad o los producidos por el salto de la alarma vg. al detectar la presencia de cualquier usuario, les son de aplicación la normativa sobre protección de datos. El artículo 3 de la LOPD define como: C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es “Dato de carácter personal: cualquier información concerniente a personas físicas identificadas o identificables”. Y el artículo 5 del Reglamento de la LOPD define: “
- f)Datos de carácter personal: Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables”. De acuerdo a dichas definiciones, la nota definitoria que determina jurídicamente si los datos originados por el sistema de alarma es si “identifican o hacen identificable” sin esfuerzos desproporcionados a una persona física. Pues bien, el establecimiento de un servicio de alarma se basa en la relación contractual entre la empresa proveedora y el titular del contrato, de suerte que éste puede ser una persona física o jurídica, estando ésta última excluida del paraguas de la normativa protección de datos. Incluso tratándose el cliente de una persona física, los logs del funcionamiento de una alarma pueden ser atribuibles al titular del contrato al residir en la finca, a componentes de su familia o a un tercero titular de un contrato de arrendamiento o subrogación, siendo en este caso los registros generados por la alarma información ajena al titular contractual y, por tanto, no concurría la nota de la identificación en el prestador del servicio. La entidad SECURITAS DIRECT afirma que es imposible que a un “tercero” que acceda a la información de los registros de la alarma le resultará imposible o le supondrá un esfuerzo desproporcionado identificar al titular de la alarma y, por tanto, a su juicio, no son datos de carácter personal. Sin embargo, en el presente caso dado que el recurrente es el titular del contrato de la alarma con la entidad SECURITAS DIRECT, obviamente aquel es perfectamente identificable y, por tanto, le es de aplicación la normativa sobre protección de datos en cuanto al derecho a acceder a los logs sobre el funcionamiento de la alama instalada en su propiedad. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR el recurso de reposición interpuesto por C.C.C. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 6 de septiembre de 2017, en el expediente TD/01593/2017. SEGUNDO: La entidad SECURITAS DIRECT ESPAÑA S.A.. deberá facilitar el acceso al recurrente la información obrante en los servidores de Securitas Direct relativa a los registros y señales enviadas por el equipo de alarma instalado en su propiedad, así como las copias existentes de los registros contenidos en la memoria interna de la alarma entre los días 26 de noviembre y 13 de diciembre del año 2015. Dicha información deberá facilitarse al recurrente en el plazo de DIEZ DIAS siguientes a la notificación de la presente resolución. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 4/4 TERCERO NOTIFICAR la presente resolución a D. SECURITAS DIRECT ESPAÑA S.A.. C.C.C.. y a la entidad De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es