RESOLUCIÓN: R/01216/2012

Transcripción

1 1/15 Procedimiento Nº PS/00551/2011 RESOLUCIÓN: R/01216/2012 En el procedimiento sancionador PS/00551/2011, instruido por la Agencia Española de Protección de Datos a la COMPAÑIA ESPAÑOLA DISTRIBUIDORA DE PETROLEOS, S.A. (CEDIPSA), vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 16/12/2010, tuvo entrada en esta Agencia una denuncia de D. A.A.A. (en adelante el denunciante) comunicando posible infracción a la Ley Orgánica 15/1999, de 13/12, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), motivada porque en la estación de servicio CEPSA, de Ciudad Real, carretera de Carrión s/n, dirección Carrión de Calatrava, existe un sistema de videovigilancia, cuyas imágenes obtenidas el 19/07/2010 fueron utilizadas por la Policía Local del Ayuntamiento de Ciudad Real para imputarle un delito relacionado con un atropello en una zona próxima, habiendo sido grabado por una cámara, que según él, enfoca hacia la carretera. Indica que el sistema no dispone del sistema de información de recogida de datos del artículo 5 de la LOPD, careciendo de cartel informativo en lugar visible. Aporta foto de la gasolinera detallando el lugar en el que se sitúa la cámara denunciada, pero no aporta una toma cercana del sitio en el que se sitúa la cámara para comprobar la carencia del cartel informativo. De la fotografía y para que sirva de localizador, se aprecia que en la parte derecha hay unos bloques de cemento de cierta altura. Un nuevo escrito con fecha de entrada 23/02/2011 se aporta por el denunciante por la solicitud de subsanación y mejora pedida, identificando la situación y señas de la estación de servicio. El denunciante aporta copia de atestado de la Policía Local ***ATESTADO.1/2010 en el que el 19/07/2010 le informan que ha sido denunciado por su participación presunta en un hecho de lesiones por imprudencia y omisión del deber de socorro. Aporta también copia del acta de declaración del denunciante del mismo día, manifestando este que el día 16/07/2010 circuló por la ctra. de Carrión, señalando que se desvió por la gasolinera tomando un enlace de un camino de tierra. Se le informa al denunciante por los Agentes que es presunto responsable porque es el titular del vehículo que aparece recogido en el visionado de las cámaras de seguridad a las que ha tenido acceso la Policía Local. Con fecha 26/11/2010, el Letrado del denunciante solicitó al Juzgado que le informara de la situación procesal del denunciante, adjuntando copia de respuesta del mismo, de 30/11/2010 determinando que se ha identificado posteriormente a otra persona, como presunto autor de los hechos, por este Juzgado no se ha instruido causa alguna contra el denunciante. Indica el denunciante que se le informe sobre el valor probatorio de las grabaciones realizadas y su uso por la Policía local, en un sistema que según el carece de distintivo informativo.

2 SEGUNDO: Tras la recepción de las denuncias, el Director de la Agencia Española de Protección de Datos, ordenó a la Subdirección General de Inspección de Datos la realización de las actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1) Con fecha 5/04/2011, se recibió respuesta a la información solicitada por la Agencia, por parte de la entidad CEDIPSA, COMPAÑÍA ESPAÑOLA DISTRIBUIDORA DE PETRÓLEOS, S.A.(en adelante la denunciada) - El responsable del sistema de videovigilancia es la denunciada, y fue instalado por la Empresa de Seguridad SEGURIDAD THRON, SL, inscrita en el Registro de Empresas de Seguridad. Adjunta copia de los contratos de prestación de servicios formalizados con dicha entidad para la instalación de las cámaras de vigilancia en las estaciones de servicio Molino I y Molino II situadas una a cada lado de la vía. El sistema de videovigilancia no se encuentra conectado con central de alarmas. Las cámaras graban imágenes en un grabador digital, y se almacenan durante 25 días y luego se sobrescriben. Respecto de la finalidad por la cual se han instalado las mismas manifiestan que fue dotar de la seguridad adecuada a las instalaciones de las estaciones de servicio. - Respecto de los lugares donde se encuentran ubicadas las cámaras de videovigilancia hay que confrontar las diferentes imágenes aportadas por la denunciada y las del denunciante de las que se concluye del examen de los folios 3, 80, 81, 76 y croquis, folio 75, que la citada cámara se corresponde con la 6 de El Molino II. - La denunciada señala que en Molino I hay 8 cámaras, folio 39, todas fijas sin zoom, aportando plano donde las cámaras se ubican (67) que como se desprende, no coincide con la situación de la cámara denunciada por el denunciante. De todas las cámaras se aporta detalle de rotulo informativo advirtiendo de la instalación del sistema, folios 47 a 55, también las imágenes que cada cámara captan, folios 67 a 75, no apreciándose irregularidad alguna. - La denunciada señala que en Molino II hay 7 cámaras, folio 39, todas fijas sin zoom, aportando plano donde las cámaras se ubican (75) que como se desprende, coincide con la situación de la cámara denunciada por el denunciante De todas las cámaras se aporta detalle de carteles informativos advirtiendo de la instalación del sistema, folios 38, 56 a 66, también las imágenes que cada cámara captan, folios (76 a 81). En la cámara objeto de la denuncia (folios 75, 80 e imagen que capta según monitor, 81 no se aprecia captación de espacio público más de lo necesario. - Aporta copia de los formularios informativos que deben estar a disposición de los ciudadanos, según se recoge en el Art. 3.b de la Instrucción 1/2006 y que se encuentran a disposición de los interesados o afectados en la caja del la estación de servicio. - Respecto de las personas que pueden acceder al sistema de videovigilancia instalado, manifiestan que está únicamente autorizado al Jefe de la estación mediante control de accesos visualizando imágenes en el monitor principal que se ubica en su despacho. - Declara que existe además un monitor de puerta ubicado a la entrada

3 3/15 de la tienda, donde se reproduce únicamente en tiempo real la imagen de la cámara que graba esa misma puerta. De las fotos que aporta, en Molino I, folios 82, 85, la 86 se ve un monitor de pantalla o de puerta, expuesto en la tienda gasolinera que enfoca a la puerta de acceso a la misma recogiendo imágenes en tiempo real. En el croquis y fotos que aportan de Molino II, folios 87 a 90, también se aprecia un monitor en la tienda gasolinera en el que se ve en tiempo real las imágenes. - El código de inscripción del fichero en el Registro General de Protección de Datos de la Agencia Española de Protección de Datos es el ***CÓD.1 (folio 104). Se aporta también documento de seguridad (folios 91 y ss.). 2) Con fecha 12/08/2011, se solicita información a la denunciada relativa a la copia de los documentos por los que se legitimó a la Policía Local de Ciudad Real el acceso a las imágenes del sistema de videovigilancia instalado en la estación de servicio teniendo entrada en esta Agencia escrito de respuesta en fecha 31/08/2011 en el que se adjunta documento de la Policía Local de Ciudad Real de fecha 19/07/2010, por el que se requiere visionado y copia de las imágenes captadas por las cámaras de dicha estación de servicio con el objeto de resolver la autoría de un atropello y comunicarlo a la Autoridad Judicial. En el mismo se indicaba que el 16/07 un vehículo tipo furgoneta color blanco Citroën 15 Renault Kangoo Express produjo un atropello, y que en el vehículo resultó con la luna delantera fracturada y un faro dañado, y que el vehículo según testigos tomo dirección del Polígono Industrial Avazado por el paso entre la vía del AVE y su Estación de Servicio. TERCERO: Respecto a la cesión de las imágenes captadas por la gasolinera por la cámara 6 de la estación de servicio Molino II, objeto de la denuncia, se debe indicar que el artículo 11 de la LOPD señala: 1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso: a) Cuando la cesión está autorizada en una Ley. d) Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas. La Ley Orgánica del Poder Judicial regula en los artículo 547 y siguientes las funciones de la Policía Judicial que puede ser desarrollada por la Policía Local tendentes la investigación y esclarecimiento de delitos, y dependerán funcionalmente de las autoridades judiciales. CUARTO: Con fecha 29/11/2011, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a CEDIPSA, COMPAÑÍA ESPAÑOLA

4 DISTRIBUIDORA DE PETRÓLEOS, S.A., por presunta infracción del artículo 4.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.c) de dicha norma, en la redacción dada por la disposición final quincuagésima sexta dos de la Ley 2/2011, de 4/03 de Economía Sostenible, BOE del 5/03 (LES), pudiendo ser sancionada con una multa de a , de acuerdo con el artículo 45.2 de dicha Ley Orgánica en la redacción dada por la disposición final quincuagésima sexta tres de la LES. QUINTO:Notificado el acuerdo de inicio, mediante escrito de fecha 20/12/2011 el denunciante indica que el acuerdo no se ha pronunciado sobre el valor probatorio de las grabaciones realizadas por las cámaras descritas y su utilización por los policías locales intervinientes, es decir conocer si los agentes citados incumplieron la normativa al respecto cuando utilizaron la grabación de la cámara, a sabiendas de que se carecía de distintivo informativo, y de que los monitores de las dos tiendas de las gasolineras incumplen el artículo 4.1 de la LOPD, ya que de ser así, obtuvieron una prueba de forma ilícita e inválida, pudiendo tratarse de un responsabilidad patrimonial de la Administración por los perjuicios sufridos. SEXTO: Con fecha de entrada 26/12/2011 la denunciada efectúa alegaciones señalando: 1) Las estaciones de servicio se encuentran entre los lugares de trabajo calificados como de alto riesgo, por eso se intentan implementar los medios para garantizar la seguridad de las personas. 2) No se detalla ni explica en qué consiste la desproporcionalidad del monitor, pues es pertinente para cumplir la finalidad perseguida, sin menoscabo de derechos, y en todo caso debiéndose a la pretensión de garantizar la integridad física de las personas, que debe prevalecer en caso de conflicto sobre la intimidad y protección de datos de los afectados. 3) La declaración de que las imágenes del monitor pueden ser vistas por el público que accede a la tienda no ha sido acreditada, ya que la instalación del monitor fue situado ex profeso de modo que únicamente la persona que es captada por la cámara pueda visualizar su imagen, evitándose que cualquier otra persona acceda a la visualización de dichas imágenes. Además, el tamaño y la resolución de la pantalla de los monitores están en consonancia con el criterio de identificación de la propia persona como un mero reflejo de su entrada en el local, sin posibilidad de visualización por el resto de personas que no se encuentren próximas al monitor. 4) La finalidad de la imagen capturada es que las personas que acceden a la instalación puedan identificarse a sí mismos y sean conscientes del funcionamiento del sistema vigilante suponiendo el carácter verdaderamente disuasorio de la cámara, ya que solo los carteles informativos y las cámaras no son suficientemente disuasorias. Por otro lado, no se acredita que la captación de imágenes se encuentran a la vista del público que se halle en el establecimiento, circ8sntancia no acreditada por cualquier medio de prueba. 5) CEDIPSA actuaba en el convencimiento de que cumplía con los principios de la LOPD. Cautelarmente se han desconectado los monitores hasta que se emita resolución firme.

5 5/15 6) En su caso, se debería aplicar el procedimiento de apercibimiento introducido por la Ley de Economía Sostenible Ley 3/ ) Solicita se aplique la escala de sanciones conforme al artículo 45.5 de la LOPD, pues se ha regularizado la situación desconectando los monitores, se aprecia cualificada disminución de la culpabilidad y antijuridicidad, y además se aplicara el artículo 45.4 de la LOPD, al no ser una infracción continuada, el volumen de datos es mínimo pues las imágenes son eliminadas periódicamente, ausencia de beneficio, falta de intencionalidad, buena fe, no reincidencia, ausencia de perjuicio, la denuncia no tiene relación con la infracción imputada, se contaban con dispositivos y medidas adecuadas de actuación en materia de protección de datos, teniendo en cuenta los casos de los PS 634/2009, y 48/2010 SÉPTIMO: Con fecha 27/01/2011, se inició el período de práctica de pruebas, incorporando la procedente de la denuncia, de las actuaciones previas de investigación contenidas en el expediente E/00343/2011 y las alegaciones al acuerdo de inicio. Además, se solicita a la denunciada que acredite la retirada o desconexión de los monitores objeto de la denuncia que declara haber acometido, mediante aportación preferentemente de fotos y/o certificado de empresa instaladora. Con fecha de entrada 13/02/2012 tuvo entrada escrito de la denunciada al que acompaña 5 fotos de monitores del Molino I y II en las que no se aprecia visión de imagen alguna. OCTAVO: Con fecha 11/04/2012, se formuló propuesta de resolución, proponiendo la imposición de una sanción de 6.000, a la COMPAÑIA ESPAÑOLA DISTRIBUIDORA DE PETROLEOS, S.A. (CEDIPSA), por la comisión de una infracción del artículo 4.1 de la LOPD, tipificada como grave en el artículo 44.3.c) de dicha norma, de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. Con fecha de entrada de 3/05/2012, reitera lo ya manifestado respecto a la aplicación del procedimiento de apercibimiento, y añade: 1) La pantalla tenía filtrado de privacidad de pantalla de modo que impide que las imágenes proyectadas puedan ser visualizadas por terceras personas que se hallen fuera del ángulo de captación de la cámara, limitado a 30 grados, solo la persona captada podría ver su propia imagen, siendo un mero reflejo de su entrada en el local, sin posibilidad de visualización por parte del resto de personas que no se encuentren próximas al monitor y a la cámara que graba la entrada, resultando un tratamiento proporcional y no excesivo. 2) Los carteles y el resto de las cámaras instaladas no son suficientes para lograr la finalidad que se persigue, no siendo desproporcionado aunar las pantallas con el resto de elementos teniendo en cuenta que protege el bien jurídico de la seguridad y la vida de las personas. HECHOS PROBADOS 1) El denunciante denuncia que una cámara de videovigilancia de La Estación de Servicio El Molino de CEDIPSA, en ctra. N 430, dirección Carrión de

6 Calatrava, km 309,200, al pasar el puente del AVE, se halla enfocando hacia la carretera descrita y fue utilizada por la Policía Local de Carrión de Calatrava para imputarle el 19/07/2010 la comisión de un delito de lesiones por imprudencia y omisión del deber de socorro, que dicha cámara no tiene expuesto cartel informativo alguno a la vez que solicita el valor probatorio de las grabaciones realizadas en los términos expuestos (1 a 3, 15). Con fecha 30/11/2010 el Juzgado que instruía el caso dictó providencia en el sentido de que aunque en las diligencias policiales aparece su nombre, sin embargo habiéndose identificado posteriormente a otra persona, no se ha instruido ninguna causa contra el denunciante (35) 2) CEDIPSA dispone de dos estaciones de Servicio, El Molino I y El Molino II (36 a 38) en las que cuenta con un sistema de videovigilancia instalado para dotar de la seguridad adecuada a las instalaciones de las estaciones de servicio. El responsable del sistema de videovigilancia es la denunciada, y fue instalado por la Empresa de Seguridad SEGURIDAD THRON, SL, (37, 43 a 46). 3) Ambas estaciones de servicio cuentan con carteles informativos de zona videovigilada (47 a 66) así como del folleto informativo de recogida de datos previsto en el artículo 3.b de la Instrucción 1/2006 de videovigilancia, sin que se acredite la infracción denunciada por el denunciante, al no haber aportado este evidencia alguna (1 a 3). 4) De las cámaras que componen el sistema de videovigilancia de El Molino I y II, incluida la cámara 6 de el Molino II que fue la que se denunció por el denunciante, se aprecia que captan imágenes de los surtidores y conjuntamente de los accesos más inmediatos a las mismas, contiguos a las gasolineras en un mínimo espacio imprescindible, sin captar la carretera (67 a 82). La cámara objeto de la denuncia (80-81) capta el espacio público cercano a dos surtidores, coincidiendo con un camino de tierra por el que se puede conducir a otro lugar, no exclusivo de la gasolinera. 5) CEDIPSA dispone de documento de seguridad (91 y ss.) y cuenta con un fichero de Videovigilancia inscrito (104). 6) El sistema de videovigilancia no se halla conectado a una central de alarmas. El acceso al sistema se produce por el Jefe de la Estación en una habitación, mediante control de acceso (40, 41). 7) Las estaciones de servicio El Molino I y El Molino II disponían cada una de un monitor de puerta a la entrada de la tienda, donde se reproduce únicamente en tiempo real la imagen de la cámara que graba esa misma puerta, según manifestó en actuaciones de investigación la denunciada. (40, 86 y 90), aportándose croquis de su situación (82, 87). En período de pruebas la denunciada aporta fotos manifestando que se desconectó el sistema sin que se visualice imagen alguna, junto con un certificado de 13/02/2012 del instalador que señala que se encuentran apagados (171 a 174). 8) La Policía Local de Ciudad Real, por escrito de 19/07/2010, al objeto de aclarar un atropello de peatones en las inmediaciones de la estación de servicio denunciada, solicitó a CEDIPSA copia de la grabación de las imágenes registradas el 16/07, al objeto de resolver su autoría y comunicarlo

7 7/15 a la autoridad judicial (119). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37. g) en relación con el artículo 36 de la LOPD. II. Las imágenes se consideran un dato de carácter personal, en virtud de lo establecido en el artículo 3 de la LOPD y el artículo 5 del Real Decreto 1720/ 2007, de 21/12, por el que se aprueba el reglamento de desarrollo de la LOPD, (BOE de 19/01/2008) que considera como dato de carácter personal la información gráfica o fotográfica. El artículo 4.1 de la LOPD señala, 1. Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido. Este artículo consagra el principio de pertinencia en el tratamiento de los datos de carácter personal, que impide el tratamiento de aquellos que no sean necesarios o proporcionados a la finalidad que justifica el tratamiento, debiendo restringirse el tratamiento de los datos excesivos o bien procederse a la supresión de los mismos. En consecuencia, el tratamiento del dato ha de ser pertinente al fin perseguido. Este criterio, se encuentra recogido también en el artículo 6 de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24/10/1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y aparece también reflejado en el Convenio 108, cuyo artículo 5 c) indica que "los datos de carácter personal que sean objeto de un tratamiento automatizado (...) serán adecuados, pertinentes y no excesivos en relación con las finalidades para las cuales se hayan registrado. La pertinencia en el tratamiento de los datos no sólo debe producirse en el ámbito de la recogida e introducción de los datos en el fichero, sino que habrá asimismo de respetarse en el posterior tratamiento que se realice de los mismos. Ya la Sentencia del Tribunal Constitucional 202/1999 de 8/11, en su fundamento jurídico 4º, se señala que en el desarrollo del artículo 18.4 de la Constitución, en la LORTAD se enuncian, entre otros principios generales de la protección de datos, la congruencia y racionalidad de su utilización, en cuya virtud ha de mediar una nítida conexión entre la información personal que se recaba y trata informáticamente y el legitimo objetivo para el que se solicita y, en consecuencia, prohíbe tajantemente el uso de los datos para finalidades distintas de las que motivaron su recogida, apartados 1 y 2 del artículo 4, así como su exactitud y puesta al día. La Instrucción 1/2006 de 8/11, de la Agencia Española de Protección de Datos,

8 sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras, BOE 12/12/2006, indica en la exposición de motivos que En relación con la instalación de sistemas de videocámaras, será necesario ponderar los bienes jurídicos protegidos. Por tanto, toda instalación deberá respetar el principio de proporcionalidad, lo que en definitiva supone, siempre que resulte posible, adoptar otros medios menos intrusivos a la intimidad de las personas, con el fin de prevenir interferencias injustificadas en los derechos y libertades fundamentales. Asimismo la proporcionalidad es un elemento fundamental en todos los ámbitos en los que se instalen sistemas de videovigilancia, dado que son numerosos los supuestos en los que la vulneración del mencionado principio puede llegar a generar situaciones abusivas, tales como la instalación de sistemas de vigilancia en espacios comunes, o aseos del lugar de trabajo. Por todo ello se trata de evitar la vigilancia omnipresente, con el fin de impedir la vulnerabilidad de la persona. Además, indica en su artículo 4: 1. De conformidad con el artículo 4 de la Ley Orgánica 15/1999 de 13 de diciembre, de Protección de Datos de Carácter Personal, las imágenes sólo serán tratadas cuando sean adecuadas, pertinentes y no excesivas en relación con el ámbito y las finalidades determinadas, legítimas y explícitas, que hayan justificado la instalación de las cámaras o videocámaras. 2. Sólo se considerará admisible la instalación de cámaras o videocámaras cuando la finalidad de vigilancia no pueda obtenerse mediante otros medios que, sin exigir esfuerzos desproporcionados, resulten menos intrusivos para la intimidad de las personas y para su derecho a la protección de datos de carácter personal. 3. Las cámaras y videocámaras instaladas en espacios privados no podrán obtener imágenes de espacios públicos salvo que resulte imprescindible para la finalidad de vigilancia que se pretende, o resulte imposible evitarlo por razón de la ubicación de aquéllas. En todo caso deberá evitarse cualquier tratamiento de datos innecesario para la finalidad perseguida. Igualmente, dicho principio se relaciona con el artículo 9 de la citada Instrucción 1/2006 que señala: El responsable deberá adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos y eviten su alteración, pérdida, tratamiento o acceso no autorizado. Asimismo cualquier persona que por razón del ejercicio de sus funciones tenga acceso a los datos deberá de observar la debida reserva, confidencialidad y sigilo en relación con las mismas. El responsable deberá informar a las personas con acceso a los datos del deber de secreto a que se refiere el apartado anterior. En el presente caso, los fines disuasorios de evitar hurtos en la tienda donde se coloca el monitor, o de seguridad, se dan poniendo las imágenes del monitor a la vista del público que entra en la tienda, no siendo necesario este tipo de tratamiento para la finalidad que se persigue, debiendo ser accesibles tales imágenes solo por el responsable del fichero o persona por el designada, significando una infracción del

9 9/15 artículo 4.1 de la LOPD. El uso y visualización de las imágenes captadas se debe limitar a la seguridad interna del establecimiento, no siendo necesario el tratamiento que se efectúa en los monitores que resulta visualizado por el público en general que se halla en el establecimiento, siendo ya disuasorios el cartel informativo y las cámaras instaladas en el establecimiento. Por tanto, pese a estar legitimado la denunciada para captar dentro de su establecimiento imágenes en aras de evitar hurtos, ya que cumple el resto de los requisitos de la Instrucción de Videovigilancia, sin embargo se produce un exceso en el tratamiento de estos datos por el hecho de que no es pertinente y es excesivo dicho tipo de tratamiento puesto en evidencia al exponer dichas imágenes al público en general, constatándose dicha infracción. III La cámara y el monitor de bienvenida son sistemas complementarios. En este caso, una recoge la imagen, la otra lo muestra. En este sentido, el hecho de recoger imágenes aunque no se graben, supone un tratamiento de datos, según el artículo 3.c) de la LOPD que determina Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias. El tratamiento no exige la conservación de los datos, bastando con su recogida o grabación como señaló la Sentencia de la Audiencia Nacional, sala de lo contencioso, de 24/01/2003. En tal sentido un medio automatizado capta imágenes, el otro las muestra. Sobre la captación no existe dificultad en su admisión, si existe sin embargo en mostrar dichas imágenes, que es lo que aquí se dirime. También es aplicable la Instrucción de videovigilancia 1/2006 ya que se está captando imágenes, incluida su emisión en tiempo real, como determina su artículo 1. Ello obliga a que se cumpla el derecho de información sobre la captación de las mismas, que en este caso se proporciona, con independencia de que esa cámara en concreto que solo capta imágenes no genere ningún fichero. IV Hasta la entrada en vigor de la citada Ley 25/2009, la legitimación para el tratamiento por particulares y empresas de imágenes captadas a través de dispositivos de videovigilancia sólo era posible en caso de que dichos sistemas hubieran sido contratados con empresas de seguridad privada, debidamente acreditadas ante el Ministerio del Interior, al que además debía notificarse el contrato que se hubiese celebrado, conforme a lo exigido por la Ley 23/1992, de 30/07 de Seguridad Privada. La Ley 25/2009 ha suprimido para la mayor parte de los casos estas exigencias, al liberalizar la comercialización, entrega, instalación y mantenimiento de estos dispositivos, de forma que ya no será necesario acudir para su puesta en funcionamiento a una empresa de seguridad privada ni cumplir las obligaciones de notificación del contrato al Ministerio del Interior.. El artículo 14 de la nueva Ley modifica el artículo 5.1 e) de la Ley 23/1992, de 30/07 de Seguridad Privada, añadiendo una Disposición Adicional Sexta a la Ley de Seguridad Privada con la siguiente redacción:

10 Disposición Adicional Sexta. Exclusión de las empresas relacionadas con equipos técnicos de seguridad: Los prestadores de servicios y las filiales de empresas de seguridad que vendan, entreguen, instalen o mantengan equipos técnicos de seguridad, siempre que no incluyan la prestación de servicios de conexión con centrales de alarma, quedan excluidas de la legislación de seguridad privada, siempre y cuando no se dediquen a ninguno de los otros fines definidos en el artículo 5, sin perjuicio de otras legislaciones específicas que pudieran resultarles de aplicación. La interpretación de la mencionada disposición determina que cualquier particular o empresa cuya actividad no sea la propia de una empresa de seguridad privada podrá; vender, entregar, instalar y mantener equipos técnicos de seguridad sin necesidad de cumplir las exigencias previstas en la Ley de Seguridad Privada para tales empresas. De este modo, dado que la Ley permite la instalación y mantenimiento de dichos equipos por empresas distintas a las de seguridad privada, legitima a quienes adquieran de estos dispositivos para tratar los datos personales derivado de la captación de las imágenes en espacios privados sin necesidad de acudir a empresas de seguridad privada, siendo dicho tratamiento conforme a lo previsto en la Ley Orgánica de Protección de Datos de Carácter Personal. No obstante, la instalación de un sistema de videovigilancia conectado a una central de alarma, sí seguirá requiriendo la concurrencia de los requisitos exigidos hasta ahora; esto es, que el dispositivo sea contratado, instalado y mantenido por una empresa de seguridad privada autorizada por el Ministerio del Interior y que el contrato sea notificado a dicho Departamento. A la vista de tal circunstancia se señala que aunque el tratamiento de los datos de las personas cuyas imágenes eran captadas por las cámaras de videovigilancia instaladas en el interior de las gasolineras-tienda se encontrara habilitado por la LSP, este hecho no autorizaría a la visualización de las imágenes en la forma en que se producía en la fecha de los hechos denunciados, al no ser proporcional al fin perseguido, tal y como se desarrollara seguidamente al justificar la vulneración del artículo 4.1 de la LOPD. Debe tenerse en cuenta que no se obliga a no disponer de vigilancia en las tiendas de la gasolinera, sino al hecho de que las imágenes que se captan no sean visibles por el público en general. La denunciada, con un cartel informativo en el interior de las tiendas puede advertir que las imágenes de las personas se están recabando, para la finalidad de evitar hurtos, y estas pueden ser vistas en un monitor al que solo las personas autorizadas convenientemente tengan acceso. A la vista de lo anterior, CEDIPSA vulneró el artículo 4.1 de la LOPD al decidir que las imágenes captadas fueran transmitidas en un monitor de las tiendas de las gasolineras, que por su ubicación posibilitaba que todas las personas que pasaran y transitaran por los espacios adyacentes fueran enfocadas por las cámaras de videovigilancia, produciéndose de este modo un tratamiento excesivo, no pertinente e inadecuado de datos de carácter personal en relación con la finalidad de protección y seguridad para las que se recogían y que no hacia preciso que la toma de imágenes se difundiera de tal modo, siendo obligación del responsable del tratamiento adecuar el uso de la instalación de modo que el impacto en los derechos de los afectados sea el mínimo posible.

11 11/15 V La infracción quedaría tipificada en el artículo 44.3 c) que considera grave,: Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave. CEDIPSA, responsable del fichero ha vulnerado un principio básico del derecho fundamental a la protección de datos, en concreto el principio de calidad de los datos en lo que se refiere al uso proporcional de los mismos, al permitir que los datos de carácter personal (imágenes) captados por la mencionada cámara estuvieran accesibles y visibles a todo el personal y clientes del establecimiento a través del monitor instalado en el mismo, actuación que no responde a la intervención mínima que exige la ponderación entre la finalidad de vigilancia y control de bienes y personas y la posible afectación por la utilización de la mencionada videocámaras al derecho al honor, a la propia imagen, a la intimidad de las personas y a la normativa de protección de datos, hecho que vulnera el principio de calidad de los datos recogido en el artículo 4.1 de la LOPD. VI En lo que respecta a la petición de información solicitada desde el inicio por el denunciante relacionada con la validez o legalidad de la aportación de las imágenes captadas por la estación de servicio denunciada a la Policía Local, y su presentación al Juzgado, que según el denunciante por no cumplir el requisito de aviso de zona videovigilada podría llevar a la nulidad de dicha prueba, se debe contestar en primer lugar que corresponde al Juzgado del caso concreto al que compete dictaminar si una prueba aportada lo ha sido vulnerando derechos de las partes, siendo ello diferente a que el sistema de videovigilancia no cumpliera todos o alguno de los requisitos administrativos que prevé la LOPD, para lo que se prevé otra vía y otras medidas diferentes. No obstante cabe puntualizar: a) En el presente procedimiento no se ha detectado que el incumplimiento lo sea por no tener el cartel informativo, sino por disponer de dos monitores en el interior de la tienda a la vista del público, hecho que no guarda relación con los términos en que denuncia el denunciante. Obviamente, la disposición de estos monitores nada tiene que ver con las imágenes aportadas. Aparte, ya en el acuerdo de inicio se detallaba que existe legitimación para que la Policía Local solicitase y obtuviese la copia de los registros de las imágenes captadas, en base al artículo 11.2.d) de la LOPD. b) Además, en este caso nos encontramos ante el ejercicio por los efectivos de la Policía Judicial de funciones que, siéndoles expresamente reconocidas por sus disposiciones reguladoras, se identifican con las atribuidas, con carácter general, a todos los miembros de las Fuerzas y Cuerpos de Seguridad del Estado, por lo que resultará aplicable lo dispuesto en el artículo 22.2 de la LOPD, según el cual "la recogida y tratamiento automatizado para fines policiales de datos de carácter personal por las Fuerzas y Cuerpos de Seguridad sin consentimiento de las personas afectadas, están limitados a aquellos supuestos y categorías de datos que resulten necesarios para la

12 prevención de un peligro real y grave para la seguridad pública o para la represión de infracciones penales, debiendo ser almacenados en ficheros específicos establecidos al efecto, que deberán clasificarse por categorías, en función de su grado de fiabilidad". El citado artículo habilita a los miembros de la Policía Judicial para la obtención y tratamiento de los datos requeridos, lo que llevará aparejada la procedencia de la cesión instada, siempre y cuando se acredite que la obtención de los datos resulta necesaria para la prevención de un peligro real y grave para la seguridad pública o para la represión de infracciones penales, se trate de una petición concreta y específica, no de de solicitudes masivas de datos, y que la petición se efectúe con la debida motivación. Además, debe indicarse que, tratándose de actuaciones llevadas a cabo en el ámbito de las competencias consagradas en el artículo 547 y siguientes de la Ley Orgánica del Poder Judicial, la Policía Judicial se encuentra obligada a dar cuenta de los hechos a la Autoridad Judicial y Fiscal de forma inmediata. Estos elementos se hallan presentes en la petición de las imágenes cursadas por la Policía Local a la titular de la estación de servicio. c) Finalmente, se ha observado en el presente procedimiento que las imágenes que captan la cámara denunciada no son desproporcionadas para la finalidad que tienen de control de la estación de servicio, ajustándose a lo previsto en la Instrucción 1/2006 de videovigilancia en su artículo 4.3 que señala que Las cámaras y videocámaras instaladas en espacios privados no podrán obtener imágenes de espacios públicos salvo que resulte imprescindible para la finalidad de vigilancia que se pretende, o resulte imposible evitarlo por razón de la ubicación de aquéllas. En todo caso deberá evitarse cualquier tratamiento de datos innecesario para la finalidad perseguida.. VII El artículo 45. 1), 2), 4), 5) y 6 de la LOPD, en la versión modificada por la Ley 2/2011, en su disposición final quincuagésima sexta, número tres establece lo siguiente: 1. Las infracciones leves serán sancionadas con multa de 900 a euros. 2. Las infracciones graves serán sancionadas con multa de a euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios: a) El carácter continuado de la infracción. b) El volumen de los tratamientos efectuados. c) La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal. d) El volumen de negocio o actividad del infractor. e) Los beneficios obtenidos como consecuencia de la comisión de la infracción. f) El grado de intencionalidad.

13 13/15 g) La reincidencia por comisión de infracciones de la misma naturaleza. h) La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. i) La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor. j) Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5) El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: a) Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. b) Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. c) Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. d) Cuando el infractor haya reconocido espontáneamente su culpabilidad. e) Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» 6. Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos: a) Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley. b) Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento. En cuanto a la alegación de que se aplique el procedimiento de apercibimiento, estableció en la en la disposición final quincuagésima sexta cuatro de la Ley 2/2011 de 4/03, de Economía Sostenible (BOE ) que ha añadido este nuevo apartado 6 al artículo 45 de la LOPD, en lugar del existente hasta su entrada en vigor, se debe indicar que al acordar el inicio del procedimiento sancionador no concurrían los elementos señalados en el artículo 45.6 de la LOPD, al tratarse de una infracción consistente un

14 tratamientos continuos y permanentes en todo momento al posibilitarse la recogida automática de las imágenes de las personas que entran en el establecimiento. Con ello se está dando lugar a un elevado índice de tratamientos, además es una entidad comercial de cierta importancia dedicada a la venta de carburantes de ámbito nacional que tiene implementado un importante sistema de videovigilancia externa y el tratamiento relacionado con el desenvolvimiento de un servicio de uso público recoge un alto número de datos de modo indiscriminado, que interrumpió solamente cuando recibió el acuerdo de inicio, tratando la denunciada en su actividad de modo habitual con estos datos. Por tanto, no se cumplen los criterios del 45.5.a) de reducción de culpabilidad o antijuridicidad reflejados en el 45.4 de la LOPD. Por tanto, las alegaciones de que se proceda al cambio a dicho procedimiento no pueden prosperar. La denunciada solicita la aplicación del artículo 45.5 de la LOPD en su grado mínimo en base a que regularizó la situación desconectando los monitores, y se dan ciertos elementos incluidos en el artículo 45.4 de la LOPD, al no ser una infracción continuada, el volumen de datos es mínimo, no existe ánimo de beneficio, existe falta de intencionalidad, buena fe, no reincidencia, ausencia de perjuicio, la denuncia no tiene relación con la infracción imputada, y se contaban con dispositivos y medidas adecuadas de actuación en materia de protección de datos. La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló respecto al 45.5 de la LPD que dicho precepto << no es sino manifestación del llamado principio de proporcionalidad (artículo de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión especialmente cualificada ) y concretos. Debe tenerse en cuenta que la sanción arranca de una cuantía de El establecimiento denunciado disponía de dos monitores de puerta o de bienvenida del que se acredita su desconexión a partir de haber recibido el acuerdo de inicio, según se constata en el período probatorio. Además, la denunciada no ha incumplido la totalidad de las disposiciones relacionadas con protección de datos relativas a la videovigilancia, pues cumple el resto de los variados requisitos exigibles. La denunciada contaba con las advertencias informativas de videovigilancia en cada uno de los espacios en los que existen cámaras, tenía inscrito el fichero, dispone de documento de seguridad que presentó pese a no ser específicamente requerido, lo que junto a la ausencia de intencionalidad, pueden contribuir a que la cuantía que figuraba en la propuesta de resolución disminuya por la especial reducción de antijuridicidad, valorando el conjunto de todos estos elementos para imponer una sanción de Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la COMPAÑIA ESPAÑOLA DISTRIBUIDORA DE PETROLEOS, S.A. (CEDIPSA), por una infracción del artículo 4.1 de la LOPD, tipificada como grave en el artículo 44.3.c) de dicha norma, una multa de 3.000, de conformidad con lo establecido en el artículo 45.1,2, 4 y 5 de la citada Ley Orgánica.

15 15/15 SEGUNDO: NOTIFICAR la presente resolución a COMPAÑIA ESPAÑOLA DISTRIBUIDORA DE PETROLEOS, S.A. (CEDIPSA) y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Madrid, 22 de mayo de 2012 EL DIRECTOR DE LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS Fdo.: José Luis Rodríguez Álvarez