RESOLUCIÓN: R/01768/2017

Transcripción

1 1/7 RESOLUCIÓN: R/01768/2017 Procedimiento Nº PS/00063/2017 En el procedimiento sancionador PS/00063/2017, instruido por la Agencia Española de Protección de Datos a la entidad DIMONORTE AUTOMÓVILES, S.A., vista la denuncia presentada y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 6 de abril de 2016 tiene entrada en esta Agencia un escrito de A.A.A. en el que declara que: - El 25 de septiembre de 2013 presentó una denuncia respecto del sistema de videovigilancia instalado por DIMONORTE. - El 4 de septiembre de 2014 la AÊPD archivó la denuncia a pesar de que varias cámaras enfocaban a la vía pública al entender que estaban apagados por unas obras en las instalaciones eléctricas que acabarían al final de del año El 1 de marzo de 2015 presentó nueva denuncia con la misma motivación, añadiendo que las obras habían sido rematadas el año 2014 y, por lo tanto, las obras en la instalación eléctrica - El 4 de mayo de 2015 la AEPD archiva la denuncia al entender que habría que demostrar que las cámaras se volvieron a encender. - En la actualidad, más de 2 años después de la finalización de las obras en la instalación eléctrica, las cámaras siguen enfocando a la vía pública. - Aporta capturas de pantalla de Street View, acreditativas de la existencia de cámaras en el exterior de las instalaciones de le entidad investigada, al menos desde SEGUNDO: Por la Subdirección General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/02434/2016 Concluyéndose la investigación con informe de la Inspección de Datos de fecha 20/12/16. TERCERO Por parte de la Directora de la Agencia Española de Protección de Datos se acordó iniciar procedimiento sancionador con fecha 28/3/17 por la presunta infracción del art. 6 1 de la LOPD. CUARTO: Con fecha 19/4/17 se recibe escrito de alegaciones ante el Acuerdo de Inicio, por parte de la entidad denunciada, manifestando que se ha procedido a dar instrucciones para que se inactiven las cámaras 21 y 23 con el compromiso de que en las próximas semanas sean retiradas. QUINTO: Se inició periodo de práctica de pruebas, dándose por reproducidas a efectos probatorios la denuncia interpuesta, los documentos obtenidos en el expediente de actuaciones previas de investigación, el informe E/02434/2016, y las alegaciones y documentación aportada por la entidad denunciada en el escrito de alegaciones al acuerdo de inicio.

2 2/7 SEXTO: Se dictó Propuesta de resolución, con fecha 16/6/17, en el sentido de que por parte de la Directora de la AGPD se sancionase a DIMONORTE AUTOMOVILES S.A. con multa de por infracción del artículo 6 de la LOPD. SEPTIMO: Se presentó escrito de alegaciones por le entidad denunciada en el que se adjunta certificación de empresa de seguridad, de fecha 7/7/17, acreditando que se ha procedido a la retirada de todas las cámaras exteriores existentes adosadas a la fachada del recinto. HECHOS PROBADOS 1º Consta denuncia presenta por A.A.A. en el que declara que: - El 25 de septiembre de 2013 presentó una denuncia respecto del sistema de videovigilancia instalado por DIMONORTE. - El 4 de septiembre de 2014 la AÊPD archivó la denuncia a pesar de que varias cámaras enfocaban a la vía pública al entender que estaban apagados por unas obras en las instalaciones eléctricas que acabarían al final de del año El 1 de marzo de 2015 presentó nueva denuncia con la misma motivación, añadiendo que las obras habían sido rematadas el año 2014 y, por lo tanto, las obras en la instalación eléctrica - El 4 de mayo de 2015 la AEPD archiva la denuncia al entender que habría que demostrar que las cámaras se volvieron a encender. - En la actualidad, más de 2 años después de la finalización de las obras en la instalación eléctrica, las cámaras siguen enfocando a la vía pública. - Aporta capturas de pantalla de Street View, acreditativas de la existencia de cámaras en el exterior de las instalaciones de le entidad investigada, al menos desde º La instalación de las cámaras de videovigilancia fue realizada por B.B.B.. para F.F.F., empresa que a fecha de contrato era propietaria de las instalaciones. Actualmente la empresa es propiedad de DIMONORTE AUTOMOVILES SA, cuya adquisición se realizó a mediados del año Aporta documento copia del contrato de instalación entre ambas empresas. 3º Las cámaras de videovigilancia se instalaron por un motivo de seguridad, dado el alto valor de los bienes que albergan las instalaciones y los diversos intentos de robo sufridos en el pasado. 4º Existen carteles informativos de zona videovigilada, ubicados en las puertas de acceso a las instalaciones de la entidad, y copia del modelo del formulario informativo que tiene a disposición de los ciudadanos 5º Se ha aportado croquis identificativo de la ubicación de las cámaras, en el que se observa la existencia de cinco cámaras en el exterior de las instalaciones. 6º Se aportan fotografías en las que se muestran tanto las cámaras en su ubicación como las imágenes captadas por éstas. Respecto de las cámaras exteriores, no aparecen fotografías de las imágenes captadas, sino una rotulación indicando FUERA

3 3/7 DE USO POR REFORMAS EXTERIORES EN LAS INSTALACIONES. 7º Que a las imágenes se accede desde los ordenadores de las personas autorizadas: el representante legal y el informático de la entidad. 8º El plazo de conservación de las imágenes es de 15 días. Se ha inscrito un fichero de VIDEOVIGILANCIA en el Registro general de Protección de Datos con el código ***REG.1. La entidad ha informado a los trabajadores entregando un documento explicativo a todos ellos con la finalidad del sistema de videovigilancia. 9º Consta que por parte de los servicios de inspección de la Agencia se solicita colaboración a la Unidad de Seguridad Privada de la Policía Nacional, por la misma se ha realizado inspección en las instalaciones de DIMONORTE el día 22 de noviembre de 2016 durante las cuales se ha podido comprobar que: * En las puertas de acceso de ambos edificios existen carteles anunciadores de zona video vigilada perfectamente visibles. * El sistema de captación y registro de imágenes consta de cinco cámaras exteriores que cubren parte del perímetro de los dos edificios de que dispone la entidad, dos de las cuales están inoperativas. * La cámara numerada como 23 capta parte de la carretera ***CARR.1 y la cámara 21 capta parte de la D.D.D., al pretender dar cobertura a la puerta de entrada a la zona taller, el cual se encuentra en el edificio al otro lado de la E.E.E.. * Aporta la Policía Nacional fotografías de las imágenes captadas por estas cámaras permiten apreciar sin dudas que captan la vía pública, la primera de ellas en toda su amplitud, de acera a acera, y la segunda muestra toda la vía hasta la fachada contraria 10º Consta certificación de empresa de seguridad Boal Seguridad S.L. de fecha 7/7/17, acreditando que se ha procedido a la retirada de todas las cámaras exteriores existentes adosadas a la fachada del recinto FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.g) en relación con el artículo 36 de la LOPD. II La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.d) de la LOPD, el responsable del fichero o del tratamiento es la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento. El propio artículo 3 en su apartado c) delimita en qué consiste el

4 4/7 tratamiento de datos, incluyendo en tal concepto las operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias. En este caso el tratamiento de los datos personales (imágenes de las personas) se realiza a través de cámaras de videovigilancia siendo responsable la entidad titular del sistema que además realiza dicho tratamiento: DIMONORTE AUTOMÓVILES, S.A. Tal como consta en el fichero de videovigilancia registrado a su nombre en esta AEPD. III La seguridad y la vigilancia, elementos presentes en la sociedad actual, no son incompatibles con el derecho fundamental a la protección de la imagen como dato personal, lo que exige respetar la normativa existente en materia de protección de datos. Las imágenes se consideran un dato de carácter personal. El concepto de dato de carácter personal se define en el artículo 3.a) de la citada LOPD como Cualquier información concerniente a personas físicas identificadas o identificables y en el artículo 1.4 del Real Decreto 1332/1994, de 20 de junio, por el que se desarrollan determinados aspectos de la Ley Orgánica 5/1992, que continúa en vigor de conformidad con lo establecido en la disposición transitoria tercera de la LOPD, como toda información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, susceptible de recogida, registro, tratamiento o transmisión concerniente a una persona física identificada o identificable. En este mismo sentido se pronuncia el artículo 2.a) de la Directiva 95/46/CE, del Parlamento y del Consejo, de 24/10/1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, según el cual se entiende por dato personal toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social. Asimismo, el Considerando 26 de la citada Directiva se refiere a esta cuestión señalando que, para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona para identificar a aquélla. De lo anteriormente expuesto se desprende que el concepto de dato personal, según la definición de la LOPD, requiere la concurrencia de un doble elemento: por una parte, la existencia de una información o dato y, por otra, que dicho dato pueda vincularse a una persona física identificada o identificable, por lo que la imagen de una persona física identificada o identificable constituye un dato de carácter personal IV En el caso que nos ocupa, ha quedado acreditado que el sistema de videovigilancia instalado lo fue por motivos de seguridad, dado el alto valor de los bienes que albergan las instalaciones, que fueron adquiridas, en el año 2012 por la empresa DIMONORTE AUTOMOVILES.

5 5/7 Respecto a la legitimación en el tratamiento de las imágenes, la respuesta se encuentra en el artículo 2 de la Instrucción 1/2006, que establece que: 1. Sólo será posible el tratamiento de los datos objeto de la presente instrucción, cuando se encuentre amparado por lo dispuesto en el artículo 6.1 y 2 y el artículo 11.1 y 2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. 2. Sin perjuicio de lo establecido en el apartado anterior la instalación de cámaras y videocámaras deberá respectar en todo caso los requisitos exigidos por la legislación vigente en la materia. El artículo 6 de la LOPD exige el consentimiento de los afectados para el tratamiento de sus datos personales salvo que la Ley determine otra cosa o cuando concurra alguna de las circunstancias previstas en el apartado 2 del citado artículo 6. Debe tenerse en cuenta que el tratamiento de imágenes en lugares públicos sólo puede ser realizado, salvo que concurra autorización gubernativa, por las Fuerzas y Cuerpos de Seguridad, o que opere la excepción establecida el artículo 4.3 de la Instrucción 1/2006 de esta Agencia que establece: las cámaras y videocámaras instaladas en espacios privados no podrán obtener imágenes de espacios públicos salvo que resulte imprescindible para la finalidad de vigilancia que se pretende, o resulte imposible evitarlo por razón de la ubicación de aquellas. En todo caso deberá evitarse cualquier tratamiento de datos innecesario para la finalidad perseguida No obstante, en algunas ocasiones la protección de los espacios privados sólo es posible si las cámaras se ubican en espacios como las fachadas. A veces también resulta necesario captar los accesos, puertas o entradas, de modo que aunque la cámara se encuentre en el interior del edificio, resulta imposible no registrar parte de lo que sucede en la porción de vía pública que inevitablemente se capta Para que esta excepción resulte aplicable, no deberá existir una posibilidad de instalación alternativa. Debiendo tenerse en cuenta que: - El responsable del fichero adecuará el uso de la instalación de modo que el impacto en los derechos de los viandantes sea el mínimo posible. - En ningún caso se admitirá el uso de prácticas de vigilancia más allá del entorno objeto de la instalación y en particular en lo que se refiere a los espacios públicos circundantes, edificios contiguos y vehículos distintos de los que accedan al espacio vigilado. Esta última precisión no viene sino a recoger el principio de proporcionalidad en todo tratamiento de datos personales: 1. Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido. 2. Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos. V

6 6/7 Dicho principio, aplicado al tratamiento de datos personales con fines de video vigilancia se explicita en el artículo 4 de la Instrucción 1/2006, que establece: 1. De conformidad con el artículo 4 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, las imágenes sólo serán tratadas cuando sean adecuadas, pertinentes y no excesivas en relación con el ámbito y las finalidades determinadas, legítimas y explicitas, que hayan justificado la instalación de las cámaras o videocámaras. 2. Sólo se considerará admisible la instalación de cámaras o videocámaras cuando la finalidad de vigilancia no pueda obtenerse mediante otros medios que, sin exigir esfuerzos desproporcionados, resulten menos intrusivos para la intimidad de las personas y para su derecho a la protección de datos de carácter personal. 3. Las cámaras y videocámaras instaladas en espacios privados no podrán obtener imágenes de espacios públicos salvo que resulte imprescindible para la finalidad de vigilancia que se pretende, o resulte imposible evitarlo por razón de la ubicación de aquéllas. En todo caso deberá evitarse cualquier tratamiento de datos innecesario para la finalidad perseguida. En este caso de la documentación aportada en el trámite de actuaciones previas se deducía la existencia dos cámaras exteriores: la etiquetada como numero 23 (que capta parte de la carretera ***CARR.1) y número 21 (que capta parte de la D.D.D. al dar cobertura a la puerta de entrada a la zona de taller), lo que permitía inferir que se estaba captando la vía pública sin tener habilitación legal para ello, lo que supondría una vulneración del artículo 44.3.b) de la LOPD que considera infracción grave tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta ley y sus disposiciones de desarrollo. Sin embargo se ha aportado certificación de una empresa de seguridad por la que se acredita que se ha procedido a retirar las cámaras adosadas al edificio por lo que ya no se capta ningún espacio de vía pública, y en consecuencia no se produce un tratamiento de datos inconsentido que vulnere la LOPD. VI Siendo de aplicación al Derecho administrativo sancionador, con matices pero sin excepciones, los principios inspiradores del orden penal, adquiere plena virtualidad el principio de presunción de inocencia en el ámbito de la potestad sancionadora, que desplaza a quien acusa la carga de probar los hechos y su autoría. En tal sentido, el Tribunal Constitucional, en su sentencia 76/1990, de 26/04, considera que el derecho a la presunción de inocencia comporta que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio. En atención a lo expuesto, teniendo en cuenta que en el presente caso se observa una falta de acreditación en los hechos denunciados, al no haberse constatado que a través de dichas cámaras se puedan obtener imágenes de espacios o superficies pertenecientes a la vía pública frente a la certeza y concreción exigida en estos supuestos para poder calificar la conducta como sancionable, debe concluirse que no existe prueba de cargo suficiente, por lo que procede acordar en archivo del presente expediente,

7 7/7 De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a DIMONORTE AUTOMOVILES S.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos