TD-00955-2018

1/8 Procedimiento Nº: TD/00955/2018 RESOLUCIÓN Nº.: R/01628/2018 Vista la reclamación formulada ante esta Agencia por D. A.A.A. contra PROSEGUR SOLUCIONES DE SEGURIDAD S.A., por no haber sido debidamente atendido su derecho de acceso. Realizadas las actuaciones procedimentales previstas en el artículo 117 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, se han constatado los siguientes HECHOS PRIMERO: Con fecha 22 de marzo de 2018 por D. A.A.A. (en lo sucesivo, el reclamante) solicitó ante PROSEGUR SOLUCIONES DE SEGURIDAD S.A., (en lo sucesivo, Prosegur) el acceso a la grabación de las cámaras de videovigilancia del puesto denominado “Eco” del servicio que dicha empresa tiene contratado en el área residencial de ***DIRECCION.1 de las horas 6,25 y 13.05 del 25 de noviembre de 2017, siendo trabajador de dicha empresa y aportando fotocopia de su D.N.I., así como una foto suya actualizada. Prosegur le contesta en carta fechada el 27 de marzo de 2018 lo siguiente: “En referencia al escrito que nos hace llegar con fecha 20 de marzo de 2018, una vez revisados nuestros registros con los datos que nos proporciona no nos consta ningún contrato en Prosegur Alarmas España, S.L.”. SEGUNDO: Con fecha 23 de abril de 2018 tuvo entrada en esta Agencia reclamación de D. A.A.A. contra Prosegur por no haber sido debidamente atendido su derecho de acceso. Con fecha 23 de abril de 2018, se solicita al reclamante complemente la reclamación remitida, aportando con fecha de entrada 10 de mayo de 2018 copia de carta de despido. TERCERO: Trasladadas sucesivamente la reclamación y los escritos de descargos que se produjeron en la tramitación del presente expediente, y por lo que a efectos de la resolución de la presente reclamación interesa, se realizaron, en síntesis, las siguientes alegaciones: Prosegur manifiesta que el interesado realizó una identificación incorrecta de la sociedad responsable del fichero en el escrito de solicitud de derecho de acceso a imágenes, puesto que estableció como destinatario del envío a Prosegur S.L. con domicilio en C/Santa Sabina 8 – 28007 Madrid, tratándose de una Sociedad inexistente, tal y como se evidencia en el Anexo 2. Carta Certificada, remitida en el escrito de alegaciones por el interesado. (…) Que el interesado, en su escrito de alegaciones, y en concreto en su escrito de “Solicitud de acceso a imágenes y acreditación del envío,” identifica de manera incorrecta como Responsable del Fichero a “Prosegur”, no especificando.  C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 Manifiesta que con fecha 27 de marzo de 2018, es decir, días después de la presentación de la solicitud del derecho de acceso por parte del interesado, se da respuesta a dicha solicitud, si bien, es la Sociedad PROSEGUR ALARMAS ESPAÑA S.L. la Entidad que atiende la petición del interesado. Que la falta de exactitud por parte del interesado en la identificación del Responsable del Fichero, así como de la Entidad del Grupo Prosegur, que en este caso debió ser la destinataria de la petición del interesado, imposibilitó que dicha petición fuera atendida por PROSEGUR SOLUCIONES INTEGRALES DE SEGURIDAD ESPAÑA S.L, Sociedad del Grupo Prosegur titular del fichero de videovigilancia, cuya solicitud de acceso se pretendía. Que con fecha 19 de diciembre de 2017 se emite por PROSEGUR SOLUCIONES INTEGRALES DE SEGURIDAD ESPAÑA S.L., una carta al interesado en la que se le comunica la decisión de despedirle en base a unos hechos acaecidos el 25 de noviembre de 2017 en ***DIRECCION.1 desempeñando sus funciones como vigilante de seguridad. Que en fecha 20 de marzo de 2018, en concreto trascurridos 3 meses después de la comunicación de despido, el interesado interpone escrito de solicitud de derecho de acceso a las imágenes captadas el día 25 de noviembre de 2017, a través de los sistemas de videovigilancia, y que de acuerdo con el artículo 6 de la Instrucción 1/2006 de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras, se establece un plazo de cancelación máximo de un mes desde su captación. Que en base a todo lo expuesto, aún en el caso de que el titular hubiera formulado su petición de derecho de acceso correctamente, dirigiéndola a la Sociedad del Grupo que resulta ser efectivamente Responsable del Fichero de videovigilancia, PROSEGUR SOLUCIONES INTEGRALES DE SEGURIDAD ESPAÑA S.L, no hubiera sido posible hacer efectivo el acceso a las imágenes captadas a través de los sistemas de videovigilancia, toda vez que, dichas imágenes fueron canceladas al haber transcurrido un plazo de tiempo superior al indicado en la Instrucción 1/2006 de videovigilancia, de 1 mes desde su captación.  El reclamante no presentó alegaciones. CUARTO: Son conocidos por las partes de forma completa todos los hechos, alegaciones y demás documentación aportada por los interesados para su defensa, al haberse dado traslado por la instrucción del expediente a cada uno de los interesados en este procedimiento y constando todo ello en el expediente que obra en esta Agencia Española de Protección de Datos. FUNDAMENTOS DE DERECHO PRIMERO: Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo, LOPD). SEGUNDO: El artículo 18.1 de la LOPD señala que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 “Las actuaciones contrarias a lo dispuesto en la presente Ley pueden ser objeto de reclamación por los afectados ante la Agencia Española de Protección de Datos, en la forma que reglamentariamente se determine”. TERCERO: El artículo 15 de la LOPD dispone que “1. El interesado tendrá derecho a solicitar y obtener gratuitamente información de sus datos de carácter personal sometidos a tratamiento, el origen de dichos datos, así como las comunicaciones realizadas o que se prevén hacer de los mismos. 2. La información podrá obtenerse mediante la mera consulta de los datos por medio de su visualización, o la indicación de los datos que son objeto de tratamiento mediante escrito, copia, telecopia o fotocopia, certificada o no, en forma legible e inteligible, sin utilizar claves o códigos que requieran el uso de dispositivos mecánicos específicos. 3. El derecho de acceso a que se refiere este artículo sólo podrá ser ejercitado a intervalos no inferiores a doce meses, salvo que el interesado acredite un interés legítimo al efecto, en cuyo caso podrán ejercitarlo antes.” CUARTO: El artículo 27 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre (en lo sucesivo, RLOPD) regula el derecho de acceso en los siguientes términos: "1. El derecho de acceso es el derecho del afectado a obtener información sobre si sus propios datos de carácter personal están siendo objeto de tratamiento, la finalidad del tratamiento que, en su caso, se está realizando, así como la información disponible sobre el origen de dichos datos y las comunicaciones realizadas o previstas de los mismos. 2. En virtud del derecho de acceso el afectado podrá obtener del responsable del tratamiento información relativa a datos concretos, a datos incluidos en un determinado fichero, o a la totalidad de sus datos sometidos a tratamiento. No obstante, cuando razones de especial complejidad lo justifiquen, el responsable del fichero podrá solicitar del afectado la especificación de los ficheros respecto de los cuales quiera ejercitar el derecho de acceso, a cuyo efecto deberá facilitarle una realización una relación de todos ellos. 3. El derecho de acceso es independiente del que otorgan a los afectados las leyes especiales y en particular la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común." QUINTO: El artículo 24.5 del RLOPD establece: “5. El responsable del fichero o tratamiento deberá atender la solicitud de acceso, rectificación, cancelación u oposición ejercida por el afectado aun cuando el mismo no hubiese utilizado el procedimiento establecido específicamente al efecto por áquel, siempre que el interesado haya utilizado un medio que permita acreditar el envío y lar recepción de la solicitud y que ésta contenga los elementos referidos en el párrafo 1 del artículo siguiente” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 SEXTO: El artículo 25 del RLOPD determina: “1. Salvo en el supuesto referido en el párrafo 4 del artículo anterior, el ejercicio de los derechos deberá llevarse a cabo mediante comunicación dirigida al responsable del fichero, que contendrá: a Nombre y apellidos del interesado; fotocopia de su documento nacional de identidad, o de su pasaporte u otro documento válido que lo identifique y, en su caso, de la persona que lo represente, o instrumentos electrónicos equivalentes; así como el documento o instrumento electrónico acreditativo de tal representación. La utilización de firma electrónica identificativa del afectado eximirá de la presentación de las fotocopias del DNI o documento equivalente. El párrafo anterior se entenderá sin perjuicio de la normativa específica aplicable a la comprobación de datos de identidad por las Administraciones Públicas en los procedimientos administrativos.
2. b)Petición en que se concreta la solicitud.
3. c)Dirección a efectos de notificaciones, fecha y firma del solicitante.
4. d)Documentos acreditativos de la petición que formula, en su caso. 2. El responsable del tratamiento deberá contestar la solicitud que se le dirija en todo caso, con independencia de que figuren o no datos personales del afectado en sus ficheros. 3. En el caso de que la solicitud no reúna los requisitos especificados en el apartado primero, el responsable del fichero deberá solicitar la subsanación de los mismos. 4. La respuesta deberá ser conforme con los requisitos previstos para cada caso en el presente título. 5. Corresponderá al responsable del tratamiento la prueba del cumplimiento del deber de respuesta al que se refiere el apartado 2, debiendo conservar la acreditación del cumplimiento del mencionado deber…” SÉPTIMO: El artículo 29 del RLOPD dispone lo siguiente: “1. El responsable del fichero resolverá sobre la solicitud de acceso en el plazo máximo de un mes a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición de acceso, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal de los afectados deberá igualmente comunicárselo en el mismo plazo. 2. Si la solicitud fuera estimada y el responsable no acompañase a su comunicación la información a la que se refiere el artículo 27.1, el acceso se hará efectivo durante los diez días siguientes a dicha comunicación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 3. La información que se proporcione, cualquiera que sea el soporte en que fuere facilitada, se dará en forma legible e inteligible, sin utilizar claves o códigos que requieran el uso de dispositivos mecánicos específicos. Dicha información comprenderá todos los datos de base del afectado, los resultantes de cualquier elaboración o proceso informático, así como la información disponible sobre el origen de los datos, los cesionarios de los mismos y la especificación de los concretos usos y finalidades para los que se almacenaron los datos". OCTAVO: La Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras, establece en el artículo 1.1: “1. La presente Instrucción se aplica al tratamiento de datos personales de imágenes de personas físicas identificadas o identificables, con fines de vigilancia a través de sistemas de cámaras y videocámaras. El tratamiento objeto de esta Instrucción comprende la grabación, captación, transmisión, conservación, y almacenamiento de imágenes, incluida su reproducción o emisión en tiempo real, así como el tratamiento que resulte de los datos personales relacionados con aquéllas. Se considerará identificable una persona cuando su identidad pueda determinarse mediante los tratamientos a los que se refiere la presente instrucción, sin que lo requiera plazos o actividades desproporcionados. Las referencias contenidas en esta Instrucción a videocámaras y cámaras se entenderán hechas también a cualquier medio técnico análogo y, en general, a cualquier sistema que permita los tratamientos previstos en la misma.” NOVENO: Los artículos 5 y 6 de la citada Instrucción 1/2006, determinan lo siguiente: “5. Derechos de las personas. 1 Para el ejercicio de los derechos a los que se refieren los artículos 15 y siguientes de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, el afectado deberá remitir al responsable del tratamiento solicitud en la que hará constar su identidad junto con una imagen actualizada. El ejercicio de estos derechos se llevará a cabo de conformidad con lo dispuesto en la citada Ley Orgánica y su normativa de desarrollo. 2 El responsable podrá facilitar el derecho de acceso mediante escrito certificado en el que, con la mayor precisión posible y sin afectar a derechos de terceros, se especifiquen los datos que han sido objeto de tratamiento. 3 El interesado al que se deniegue total o parcialmente el ejercicio de los derechos señalados en el párrafo anterior, podrá reclamar su tutela ante el Director de la Agencia Española de Protección de Datos. “6. Cancelación. Los datos serán cancelados en el plazo máximo de un mes desde su captación.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 DÉCIMO: En el supuesto aquí analizado, ha quedado acreditado que el reclamante ejercitó su derecho de acceso ante Prosegur, S.L y aunque ésta le contestó dentro del plazo legalmente establecido no le doy la respuesta legalmente exigible. Durante la tramitación del presente procedimiento, Prosegur manifestó en primer lugar, que la falta de exactitud por parte del interesado en la identificación del Responsable del Fichero, así como de la Entidad del Grupo Prosegur, que en este caso debió ser la destinataria de la petición del interesado, imposibilitó que dicha petición fuera atendida por PROSEGUR SOLUCIONES INTEGRALES DE SEGURIDAD ESPAÑA S.L, Sociedad del Grupo Prosegur titular del fichero de videovigilancia, cuya solicitud de acceso se pretendía. A este respecto, cabe decir que el reclamante ejercitó su derecho de acceso con los requisitos legales ante el grupo PROSEGUR S.L., recibiendo contestación de la misma que no era la legalmente exigible, siendo independiente a los efectos que importan, que el reclamante la dirigiera directamente ante la sociedad del grupo, responsable del fichero cuyo acceso se solicitaba, puesto que no se le puede exigir que conozca quien es el responsable del fichero que solicita, a mayor abundamiento, en una organización tan amplia como es la citada sociedad. Así el artículo 24.5 del RLOPD establece: “5. El responsable del fichero o tratamiento deberá atender la solicitud de acceso, rectificación, cancelación u oposición ejercida por el afectado aun cuando el mismo no hubiese utilizado el procedimiento establecido específicamente al efecto por áquel, siempre que el interesado haya utilizado un medio que permita acreditar el envío y lar recepción de la solicitud y que ésta contenga los elementos referidos en el párrafo 1 del artículo siguiente” El artículo 25 .3 del RLOPD determina:”En el caso de que la solicitud no reúna los requisitos especificados en el apartado primero, el responsable del fichero deberá solicitar la subsanación de los mismos” En segundo lugar, PROSEGUR SOLUCIONES INTEGRALES DE SEGURIDAD ESPAÑA S.L, manifiesta que aún en el caso de que el titular hubiera formulado su petición de derecho de acceso correctamente, dirigiéndola a la Sociedad del Grupo que resulta ser efectivamente Responsable del Fichero de videovigilancia, PROSEGUR SOLUCIONES INTEGRALES DE SEGURIDAD ESPAÑA S.L, no hubiera sido posible hacer efectivo el acceso a las imágenes captadas a través de los sistemas de videovigilancia, toda vez que, dichas imágenes fueron canceladas al haber transcurrido un plazo de tiempo superior al indicado en la Instrucción 1/2006 de videovigilancia, de 1 mes desde su captación. A este respecto, conviene señalar que el artículo 29.1 del Reglamento de la LOPD, dispone lo siguiente: “El responsable del fichero resolverá sobre la solicitud de acceso en el plazo máximo de un mes a contar desde la recepción de la solicitud”. Asimismo, el artículo 25 de dicho Reglamento establece que: “El responsable del tratamiento deberá contestar la solicitud que se le dirija en todo caso” y que: “Corresponderá al responsable del tratamiento la prueba del cumplimiento del deber de respuesta (…), debiendo conservar la acreditación del cumplimiento del mencionado deber”. Asimismo, el artículo 29.2 del mencionado Reglamento establece que: “En el caso de que no disponga de datos de carácter personal de los afectados deberá igualmente comunicárselo en el mismo plazo”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 Las normas antes citadas no permiten que pueda obviarse la solicitud como si no se hubiera planteado, dejándola sin la respuesta que obligatoriamente deberán emitir los responsables de los ficheros, incluso en aquellos supuestos en los que no reuniera los requisitos previstos, en cuyo caso el destinatario de la misma viene igualmente obligado a requerir la subsanación de las deficiencias observadas. Por tanto, la obligación general del responsable del fichero para el ejercicio de cualquier derecho es contestar expresamente a la solicitud recibida, empleando para ello cualquier medio que acredite el envío y recepción de la contestación, estimando o desestimando la petición. Esta obligación de contestación expresa procede incluso cuando no existen datos registrados relativos al solicitante, debiendo el responsable informar específicamente de la inexistencia de datos referentes al interesado en sus ficheros. El ejercicio del derecho de acceso en el ámbito de la video vigilancia reviste características singulares, como recoge el arriba transcrito artículo 5.2 de la Instrucción 1/2006, de 8 de noviembre, como resulta prácticamente imposible acceder a las imágenes sin que pueda verse comprometida la imagen de un tercero, puede facilitarse el acceso mediante escrito certificado en el que, con la mayor precisión posible y sin afectar a derechos de terceros, se especifiquen los datos que han sido objeto de tratamiento. En la Guía de Videovigilancia publicada por esta Agencia Española de Protección de Datos se incluye un ejemplo de cómo se podría facilitar ese acceso mediante un certificado: “Su imagen fue registrada en nuestros sistemas el día __ del mes __ del año __ entre las __ horas y las __ horas. En concreto el sistema registra su acceso y salida del edificio.” No obstante, y en el presente caso, dado el tiempo transcurrido desde la grabación de las imágenes, más de un mes desde su captación, éstas ya han sido canceladas, por lo que ya no es posible facilitarlas. No obstante, no consta acreditado que Prosegur atendiese expresamente al derecho solicitado, facilitando las imágenes solicitadas o certificase los datos del reclamante que habían sido tratados, o denegando fundada y motivadamente el acceso. Por lo tanto, procede la estimación de la presente reclamación por no haber sido cumplimentado el deber de respuesta establecido en el artículo 25 del RLOPD, debiendo proceder a dar respuesta expresa al reclamante. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por D. A.A.A., e instar a PROSEGUR SOLUCIONES DE SEGURIDAD S.A., para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita al reclamante certificación motivada y fundamentada en la que se haga constar la imposibilidad de atención del derecho de acceso solicitado conforme al artículo 25 del RLOPD, pudiendo incurrir en su defecto en una de las infracciones previstas en el artículo 44 de la LOPD. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A., y a PROSEGUR SOLUCIONES DE SEGURIDAD S.A., C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del RLOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 18.4 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos, en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la Disposición Adicional Cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción ContenciosoAdministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es