1/19
Procedimiento Nº: PS/00003/2020
RESOLUCIÓN R/00522/2020 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO
En el procedimiento sancionador PS/00003/2020, instruido por la Agencia Española de
Protección de Datos a PLAY ORENES, S.L., vista la reclamación presentada por
AYUNTAMIENTO DE ***LOCALIDAD.1, y en base a los siguientes,
ANTECEDENTES
PRIMERO: Con fecha 12 de marzo de 2020, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a PLAY ORENES, S.L..
Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha
29 de septiembre de 2020 se emitió la propuesta de resolución que a continuación se
transcribe:
<<
Procedimiento nº: PS/00003/2020
926-300320
Del procedimiento instruido por la Agencia Española de Protección de Datos y
en base a los siguientes:
ANTECEDENTES
PRIMERO: Con fecha 16 de octubre de 2019, tuvo entrada en esta Agencia Española
de Protección de Datos un escrito presentado por AYUNTAMIENTO DE
***LOCALIDAD.1 (en lo sucesivo, el reclamante), mediante el que formula
reclamación contra PLAY ORENES, S.L. con NIF B73002099 (en adelante, el
reclamado), por la instalación de un sistema de videovigilancia instalado en CALLE
***DIRECCIÓN.1, respecto al que existen indicios de un posible incumplimiento de lo
dispuesto en la normativa de protección de datos.
Los motivos que fundamentan la reclamación son los siguientes:
«Que distintos vecinos de esta localidad han manifestado reiterativamente ante
este Ayuntamiento que la mercantil Play Orenes S.L.U, con NIF B73002099, empresa
dedicada a las apuestas deportivas, ha instalado en su local sito en ***LOCALIDAD.1,
Calle ***DIRECCIÓN.1, cámaras de videovigilancia que por su posicionamiento y
características parece están abarcando una parte importante de la vía pública, más
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/19
allá del estricto acceso que por la vigilancia de la fachada del inmuebles podría
considerarse adecuado.
Ante esta situación, y tras valorar la situación con la Policía Municipal, se
decidió acudir a comprobar este extremo a dicho local, al objeto de confirmar la
existencia de máscaras de privacidad. Personados en el local, en fecha 9 de agosto,
no se nos permitió el acceso a las imágenes, a cuyo efecto se acompaña acta de la
policía municipal de la fecha.»
SEGUNDO: Con carácter previo a la admisión a trámite de esta reclamación, se
trasladó al reclamado, de conformidad con lo establecido en el artículo 65.4 la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de
los derechos digitales (en lo sucesivo, LOPDGDD), siendo notificada el 21/11/2019.
El día 18/12/2019 tuvo entrada escrito de contestación del reclamado en el que señala
que:
«[…] 4. Número y características de las cámaras. En el caso de que se trate de
cámaras ficticias deberán aportar la factura, ticket de compra o cualquier otro
documento que sirva para acreditar que son ficticias.
El citado establecimiento dispone de un total de 16 Cámaras de CCTV. En
cuanto a Cámaras ficticias informar que, el establecimiento no dispone de
ninguna de ellas. (Ver ANEXO Nº1: Croquis de la instalación y cuadrante de
capturas de las cámaras).
5. Alcance de las cámaras y lugares donde están instaladas, acreditando
mediante fotografía de las imágenes captadas por las cámaras, tal y como se
visualizan en el monitor o sistema equivalente, que se ha limitado el espacio de
captación para no afectar a terrenos y viviendas colindantes, la vía pública o
cualquier otro espacio ajeno o reservado.
De las cuatro cámaras que dispone el establecimiento orientadas hacia los
accesos, indicar que una de ellas, se encuentra instalada en el interior del
establecimiento y las otras tres en la fachada enfocando únicamente a los dos
accesos peatonales y de forma mínima la vía pública como se puede apreciar
en los fotogramas adjuntos, fechados a 2.019-11-25/17:14 horas.
6. Indicar el plazo de conservación de las imágenes registradas.
El plazo de conservación de las imágenes del grabador es de 19 días;
capacidad máxima programada en función de la calidad y número de cámaras
que soporta dicho grabador.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/19
En nuestra Política de Privacidad respecto a Videovigilancia de todos los
centros de Play Orenes, S.L., se determina que las imágenes se conservarán
un plazo máximo de 30 días.
(Ver ANEXO Nº 2: Política de privacidad de videovigilancia)
7. Cualquier otra información que considere de interés para valorar la
adecuación de la instalación de las cámaras de videovigilancia a la normativa
de protección de datos.
Cabe destacar que, por parte de nuestro Departamento de Seguridad,
en lo que va de año se han tramitado un total de 760 Oficios Policiales,
recibidos tanto del Cuerpo Nacional de Policía como de Guardia Civil. En gran
parte de dichas solicitudes, iban encaminadas a intereses ajenos a esta
Compañía, y si en pro de la Seguridad Ciudadana. Hacer mención a, que, en
dichas solicitudes de colaboración, nos han requerido la aportación de las
imágenes captadas por las cámaras exteriores accesos de los distintos
establecimientos, pudiendo esclarecer como así se puede acreditar, numerosos
hechos delictivos investigados por las Unidades policiales de toda España en
favor de la seguridad de los ciudadanos.
En lo que respecta a protección de datos, adjunto la descripción del
tratamiento, así como sus evaluaciones de impacto describiendo las medidas
técnicas y organizativas que forman parte del tratamiento, así como los
diferentes análisis de riesgo realizados sobre el mismo.
(Ver ANEXO Nº 3: Registro de actividades de tratamiento: Videovigilancia)
(Ver ANEXO Nº4: Análisis básico de riesgos: Videovigilancia)
(Ver ANEXO Nº 5. Análisis de riesgos y necesidad de EIPD: Videovigilancia).»
TERCERO: La reclamación fue admitida a trámite mediante resolución de 8 de enero
de 2020.
CUARTO: Con fecha 12 de marzo de 2020, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con
arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (en adelante,
LPACAP), por la presunta infracción del Artículo 5.1.c) del RGPD, tipificada en el
artículo 83.5 del RGPD.
QUINTO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de
alegaciones el en el que pone de manifiesto que:
«[…]PRIMERA.- De la nulidad del procedimiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/19
Se manifiesta en los antecedentes de la resolución notificada que por esta
Administración, con carácter previo a la admisión a trámite de la reclamación
que ha dado origen al presente procedimiento sancionador, se dio traslado a
PLAY ORENES S.L. de la reclamación existente- presentada por el
Ayuntamiento- y ello de conformidad con lo establecido en el artículo 65.4 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de datos Personales y
garantía de los derechos digitales (en lo sucesivo LOPDGDD), siendo
notificada tal reclamación el 21/11/2019:
Pues bien, lo cierto y verdad es que en nunca ha sido notificada a Play
ORENES SL reclamación alguna, y únicamente en la fecha indicada
(21/11/2019) se nos dio traslado de una “solicitud de información” (CVS:
***CVS.1), cuya copia se acompaña como documento nº1:
En contestación a esa solicitud de información – y no a ninguna reclamación-,
esta mercantil presentó escrito de contestación en fecha 18/12/2019, cuya
copia se adjunta como documento nº2.
Por tanto, PLAY ORENES, nunca ha tenido conocimiento de reclamación
alguna respecto de las cámaras instaladas en su establecimiento ni por tanto
ha podido efectuar alegación alguna en su defensa.
A la vista de lo anterior, es evidente que esta Administración no ha actuado, tal
y como indica, de conformidad con el artículo 65.4 de la LOPDGDD,
vulnerando el derecho de defensa de mi representada, que ha visto como de
contestar a una solicitud de información, le ha sido incoado un procedimiento
sancionador fundado en una reclamación de la cual ni si quiera ha tenido
conocimiento ni posibilidad de defenderse.
En este sentido, la jurisprudencia de la Sala Tercera del Tribunal Supremo tiene
declarado que nadie puede ser condenado sin ser oído (Sentencias, entre
otras, de 30 de noviembre de 1995, 5 de noviembre de 2001, 17 de junio de
2002 y 28 de junio de 2002), encontrándose la nulidad del acto del que deriva
esta indefensión justificada en el hecho de que a mi representada no se le ha
dado la oportunidad de hacer valer sus propios argumentos y de utilización de
los pertinentes medios de prueba para la defensa de sus derechos e intereses
legítimos amparados por el artículo. 24.1. de la Constitución Española.
Sirvan al respecto las Sentencias del Tribunal Constitucional números 31/1984,
48/1984, 70/1984, 48/1986, 155/1988 y 58/1989: […]
Por todo lo anterior entendemos que este expediente no se ajusta al
procedimiento legalmente establecido toda vez que no se ha dado
cumplimiento al artículo 65. 4 LOPDGDD y ello a pesar de que esta
Administración reitera en varias ocasiones -en la incoación de este
sancionador- que sí ha procedido a ello.
Basta que esta Administración compruebe en su registro y contenido de la
notificación telemática en su día efectuada (21/11/2019) para comprobar lo que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/19
esta mercantil defiende: solo se trasladó a PLAY ORENES S.L. una solicitud de
información.
El acuerdo de inicio del presente procedimiento sancionador, recoge en sus
antecedentes de hecho PRIMERO, SEGUNDO y TERCERO la tramitación de
un expediente previo de conformidad con el precitado artículo 65 LOPDGDD,
admisión a trámite de una reclamación de un tercero y tras ello entiende que
debe procederse a la incoación de este procedimiento sancionador.
Sin embargo, ello no es cierto y por tanto la resolución que inicia este
expediente sancionador ni el expediente previo no se ajustan ni a la realidad de
los hechos ni al artículo 65 LOPDGDD.
Por tanto, es conforme a derecho que se anule y deje sin efecto el acuerdo de
inicio de procedimiento sancionador notificado, procediendo al archivo del
procedimiento, toda vez que trae causa de un expediente previo que no se
ajusta al procedimiento legalmente establecido (artículo 65 y concordantes),
adoleciendo en consecuencia de un vicio de nulidad o en su defecto
anulabilidad ex artículo 47 y 48 de la Ley 39/2015, de 1 de octubre.
SEGUNDA.- Del cumplimiento de la excepción establecida por el artículo 22 de
la LOPDGDD
Manifiesta esta Administración que la reclamación que ha dado origen al
presente procedimiento -insistir en que nunca nos fue notificada- se basa en la
“presunta ilicitud de la instalación por parte de mi representada de un sistema
de videovigilancia, compuesto por cuatro cámaras ubicadas en el local sito en
CALLE ***DIRECCIÓN.1, que podría captar imágenes de la vía pública de
forma desproporcionada, captando no solo la totalidad el ancho de acera (si
bien es estrecha) (en todas ellas) sino también a los vehículos aparcados
colindando con esta (en dos de las instaladas en la fachada)”.
En este sentido cabe recordar el artículo 22 de la LOPDGDD, que establece lo
siguiente:
“1. Las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el
tratamiento de imágenes a través de sistemas de cámaras o videocámaras con
la finalidad de preservar la seguridad de las personas y bienes, así como de
sus instalaciones.
2. Solo podrán captarse imágenes de la vía pública en la medida en que
resulte imprescindible para la finalidad mencionada en el apartado anterior.
No obstante, será posible la captación de la vía pública en una extensión
superior cuando fuese necesario para garantizar la seguridad de bienes o
instalaciones estratégicos o de infraestructuras vinculadas al transporte, sin
que en ningún caso pueda suponer la captación de imágenes del interior de un
domicilio privado.”
Pues bien, debido a la naturaleza del negocio de esta mercantil y siguiendo las
indicaciones de la LOPD, mi representada se ajusta a la excepción
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/19
contemplada por el artículo 22 que permite la grabación de una porción mínima
de la vía pública siempre que resulte imprescindible para garantizar la finalidad
de la seguridad.
Sirva a modo de justificación, que en algunas ocasiones y debido al diseño de
la vía pública, cuando se procede a la instalación de cámaras en la fachada,
éstas captan mínimamente o parcialmente las aceras, toda vez que no son
pocas las ocasiones que los delincuentes aprovechan los vehículos aparcados
en la entrada del establecimiento para esconderse y atracar o agredir a
nuestros empleados y clientes en la entrada o salida del establecimiento. En
este sentido cabe recordar que estamos ante un establecimiento que combina
la actividad de hostelería y la de juego, siendo necesaria la recaudación casi
diaria de las máquinas instaladas en el mismo provocando que el personal de
recaudación -e incluso clientes- sean o puedan ser objeto de atracos a su
salida. Es por ello que el cumplimiento de la finalidad de seguridad de las
cámaras exige un plus o reforzamiento siempre en los márgenes permitidos
por el artículo 22.
En prueba de lo anteriormente expuesto, se adjunta como documento nº3,
informe del departamento de seguridad de mi representada donde se justifica
la necesidad de garantizar la seguridad del establecimiento mediante la
colocación de determinadas cámaras y el cumplimiento por las mismas de las
medidas exigidas legalmente.
Tal y como se indica en el informe adjunto, la implantación de las medidas de
seguridad en cada establecimiento es decisión del departamento de seguridad
en colaboración con el responsable de protección de datos del Grupo Orenes,
garantizando así el cumplimiento de las exigencias legales en ambos ámbitos
normativos. Es una decisión que responde a un criterio técnico y especializado,
midiendo en todo caso el alcance de la excepción regulada en el artículo 22.
TERCERA.- Desproporcionalidad de la sanción
De manera subsidiaria, y para el caso de que por parte de esta Administración
se apreciara la comisión de algún tipo de infracción por parte de esta mercantil,
resultaría flagrante la desproporcionalidad de una sanción de 20.000 euros, la
cual es absolutamente desmesurada y carente de toda motivación, resultando
ser arbitraria.
No se justifica por esta Administración los motivos que amparen la gravedad de
tal sanción, teniendo en cuenta que:
- Nunca fue notificada reclamación de ningún tipo -impidiendo a mi
representada poder ejercer su derecho de defensa-
- No existe reincidencia alguna
Se contraviene por ello el principio de proporcionalidad establecido por el
artículo 29.3 de la Ley 40/2015 de 1 de octubre, de Régimen Jurídico del
Sector Público, que dispone que, en la imposición de las sanciones, las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/19
Administraciones Públicas deberán observar la debida idoneidad y necesidad
de la sanción a imponer, y su adecuación a la gravedad del hecho constitutivo
de la infracción; operando para la graduación la culpabilidad, intencionalidad, la
persistencia, los perjuicios causados, o la reincidencia. En este sentido,
advertir a esta Administración de que no procede intentar justificar la
graduación y gravedad de la sanción aquí propuesta trayendo a colación la
existencia de 16 expedientes – que como bien indica son de naturaleza no
sancionadora – relacionados con sistemas de videovigilancia instalados en
establecimientos titularidad de mi representada.
- Absoluta buena fe por mi representada. Si lo anterior no bastase, nos
encontramos con que el presente procedimiento deviene de la contestación
exhaustiva por parte de mi representada de un requerimiento de información, el
cual y sorprendentemente, según manifiesta esta Administración se trataba de
una reclamación (Vid. documento nº1).
No resultaría ocioso recordar que el principio de proporcionalidad desempeña,
en el ámbito del Derecho Administrativo Sancionador, un papel capital y ello no
sólo en cuanto expresión de unos abstractos poderes de aplicación de la Ley
en términos de equidad, sino por el hecho concreto de que las sanciones a
imponer se encuentran definidas en nuestro ordenamiento, por lo general, de
forma sumamente flexible, de tal modo que una misma conducta puede
merecer la imposición de sanciones muy diversas y que se mueven en
márgenes muy amplios y que, por lo mismo, pueden resultar, en la práctica, de
cuantía y período extraordinariamente diversos. El principio de
proporcionalidad impone que al no ser la actividad sancionadora de la
Administración una actividad discrecional, sino una actividad típicamente
jurídica o de aplicación de las normas, (así lo reconoce nuestro Tribunal
Supremo en Sentencias de 23 de diciembre de 1981 [ RJ 1981, 5453] , 3 de
febrero de 1984 [ RJ 1984, 1027] y 19 de abril de 1985 [ RJ 1985, 1716] ), los
factores que han de presidir su aplicación estén en función de lo que disponga
el Ordenamiento Jurídico en cada sector en particular y, muy especialmente, en
las circunstancias concurrentes.
Tiene declarado el Tribunal Supremo en su Sentencia de 29 de julio de 2014
(Sala de lo Contencioso-Administrativo, Sección 1ª), respecto del principio de
proporcionalidad, que:
“El principio de proporcionalidad desempeña, en el ámbito del Derecho
Administrativo Sancionador, un papel capital y ello no sólo en cuanto expresión
de unos abstractos poderes de aplicación de la Ley en términos de equidad,
sino por el hecho concreto de que las sanciones a imponer se encuentran
definidas en nuestro ordenamiento, por lo general, de forma sumamente
flexible, de tal modo que una misma conducta puede merecer la imposición de
sanciones muy diversas y que se mueven en márgenes muy amplios y que, por
lo mismo, pueden resultar, en la práctica, de cuantía y período
extraordinariamente diversos. El principio de proporcionalidad impone que al
no ser la actividad sancionadora de la Administración una actividad
discrecional, sino una actividad típicamente jurídica o de aplicación de las
normas, (así lo reconoce nuestro Tribunal Supremo en Sentencias de 23 de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/19
diciembre de 1981 [ RJ 1981, 5453] , 3 de febrero de 1984 [ RJ 1984, 1027] y
19 de abril de 1985 [ RJ 1985, 1716] ), los factores que han de presidir su
aplicación estén en función de lo que disponga el Ordenamiento Jurídico en
cada sector en particular y, muy especialmente, en las circunstancias
concurrentes.”
Debe recordarse, tal y como refiere la Sentencia del TSJ de Islas Baleares,
Sala de lo Contencioso-Administrativo, Sección 1ª, de 25 de julio de 2006, que:
“la Constitución, que ha reconocido la legitimidad de las sanciones
administrativas, ha tenido buen cuidado de subrayar el carácter reglado de la
potestad sancionadora de la Administración: no que la Administración tenga
“libertad” para elegir entre soluciones distintas, pero igualmente justas
-indiferentes jurídicamente-. Toda la actuación de la Administración en el
terreno sancionador resulta pues reglada.”
Es evidente que en el presente caso no concurre ninguna circunstancia que
justifique la imposición de tan grave sanción y quizás por ello tampoco se
motive por esta Administración
.
Sea como fuere, y pese a no mediar requerimiento expreso por parte de esta
Administración, en aras a demostrar la buena fe de mi representada se
manifiesta que procedió a la retirada de las cámaras exteriores del
establecimiento, tal y como se acredita con el documento nº 4. […]».
El informe emitido por D. A.A.A.,, miembro del Departamento de Seguridad y
responsable del Tratamiento de imágenes de los establecimientos del Grupo Orenes,
adjuntado como documento nº 3 señala, de manera fundamental, que la mercantil se
ajusta a la normativa de protección de datos en la instalación de sus sistemas de
videovigilancia siendo en ocasiones necesario captar una porción mínima de vía
pública para garantizar la seguridad de bienes y personas, que las Fuerzas y Cuerpos
de Seguridad han requerido su la aportación de imágenes para la investigación de
hechos delictivos, que Madrid se erige como la zona con mayor índice de hechos
delictivos que afectan a clientes y empleados y que por cuestiones técnicas, no es
posible redireccionar el ángulo de captación de las cámaras instaladas.
SEXTO: Con fecha 03/09/2020, el instructor del procedimiento acordó la apertura de
un período de práctica de pruebas, teniéndose por reproducidos, a efectos probatorios
la reclamación interpuesta por el reclamante, los datos obtenidos y generados por la
Subdirección General de Inspección de Datos y las alegaciones presentadas por el
reclamado.
SÉPTIMO: Se acompaña como anexo relación de documentos obrantes en el
procedimiento.
De las actuaciones practicadas en el presente procedimiento y de la
documentación obrante en el expediente, han quedado acreditados los siguientes:
HECHOS PROBADOS
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/19
PRIMERO: Existencia de un sistema de videovigilancia instalado en un
establecimiento de juego sito en CALLE ***DIRECCIÓN.1, compuesto por 16 cámaras,
4 de ellas orientadas hacia el exterior (3 situadas en las fachadas y 1 en el soportal del
acceso de entrada) tal y como se refleja en el contenido del escrito y las fotografías
que acompañan la contestación efectuada por el reclamado al traslado previo de la
reclamación presentada. Se acredita, mediante los fotogramas extraídos del monitor
de visionado del sistema y aportados por el reclamante, que, a través de las
mencionadas 4 cámaras orientadas hacia el exterior, se capta la totalidad del ancho de
acera (si bien estrecha), así como a los vehículos aparcados en 2 de ellas.
SEGUNDO: El responsable del sistema de videovigilancia es PLAY ORENES S.L.
TERCERO: El reclamado ha procedido a la retirada de 3 de las 4 cámaras orientadas
hacia el exterior (concretamente las 3 instaladas en las fachadas), tal y como se
acredita en las fotografías que acompañan el escrito, de alegaciones al acuerdo de
inicio, presentado el 11 de junio de 2020.
FUNDAMENTOS DE DERECHO
I
Es competente para resolver este procedimiento la Directora de la Agencia
Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del
Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante
RGPD y en los art. 47 y 48.1 de LOPDGDD.
II
En el presente caso procede examinar la reclamación presentada por el
Ayuntamiento de ***LOCALIDAD.1 el 16 de octubre de 2019 en el que se señala la
instalación de un sistema de videovigilancia en un establecimiento de PLAY ORENES
S.L. ubicado en la CALLE ***DIRECCIÓN.1 de la localidad que «que por su
posicionamiento y características parece están abarcando una parte importante de la
vía pública, más allá del estricto acceso que por la vigilancia de la fachada del
inmuebles podría considerarse adecuado».
El artículo 5.1.c) del RGPD dispone que los datos personales serán
«adecuados, pertinentes y limitados a lo necesario en relación con los fines para los
que son tratados (“minimización de datos”).»
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/19
Esta infracción se tipifica en el Artículo 83.5 del RGPD:
«Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo
con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9;
b) los derechos de los interesados a tenor de los artículos 12 a 22; […].»
A efectos del plazo de prescripción de la infracción, la misma se considera muy
grave y prescribe a los tres años, conforme al artículo 72.1 de la LOPDGDD, que
establece que:
«En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679
se consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/19
III
De conformidad con las evidencias de las que se dispone en el presente
procedimiento sancionador, se considera que el reclamado ha dispuesto un sistema de
videovigilancia mal orientado en lo relativo a 4 cámaras orientadas hacia el exterior. De
las referidas cámaras 3 de ellas (las colocadas en las fachadas) han sido retiradas,
como consta en el Hecho Probado Tercero; subsistiendo presuntamente la ubicada en
el soportal del acceso al local, cámara que capta imágenes no solo de la entrada al
establecimiento y de un mínimo de acera adyacente, sino que también alcanza en su
enfoque a los vehículos aparcados frente dicha entrada.
Respecto a las alegaciones presentadas, corresponde realizar las siguientes
consideraciones:
Por lo que se refiere a la solicitud de anulación del procedimiento
motivada en una supuesta vulneración del derecho de defensa del reclamado
al considerar que no se le ha trasladado la reclamación, es preciso señalar, en
primer lugar, que el traslado de la reclamación recogido en el artículo 65.4 de la
LOPDGDD se configura como un trámite potestativo a juicio de la Agencia
Española de Protección de Datos en un intento de poner en conocimiento del
responsable o encargado que a dicho organismo se le han hecho llegar unos
hechos que podrían suponer la vulneración de la normativa de protección de
datos, y todo ello con el objetivo de que por parte de dicho responsable o
encargado se pueda aportar información o justificación que permita adoptar
una decisión motivada acerca de la admisión o no a trámite de la reclamación o
denuncia y de la posterior apertura de oficio de un expediente de investigación
o de un procedimiento sancionador.
En este trámite, lo nuclear es proporcionar al responsable o encargado de la
oportunidad de defenderse respecto a los hechos recogidos en la reclamación
y esto es lo que se ha cumplido en el presente caso con el escrito remitido el
día 21/11/2019, donde se comunica a PLAY ORENES S.L. que «Esta Agencia
ha tenido conocimiento de la existencia de cámaras de videovigilancia
ubicadas en CALLE ***DIRECCIÓN.1, que podrían estar incumpliendo la
normativa de protección de datos […] Por este motivo se le solicita que, en el
plazo de un mes desde la recepción de este escrito, acredite que la instalación
de las cámaras es conforme a la normativa de protección de datos dando
respuesta, al menos, a los siguientes puntos […]». Es decir, si bien no se ha
dado traslado de la reclamación en toda su como tal, sí se le ha solicitado
información en base a los hechos que tienen relación respecto a la normativa
de protección de datos debidamente identificados. En este caso, por tanto, no
se ha producido indefensión, ya que el reclamado ha tenido conocimiento
preciso de la situación presuntamente susceptible de vulnerar la normativa de
protección de datos que el reclamante ha puesto en conocimiento de la AEPD.
La doctrina que ha venido manteniendo el Tribunal Constitucional en relación
con la indefensión es que para que esta pueda invocarse es necesario que se
trate de una indefensión material que implica que haya causado un perjuicio
real y efectivo. (entre otras, SSTC 90/1988, 43/1989, STC, 105/1995, 118/1997,
91/2004).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/19
Además, es necesario puntualizar que en este caso lo que se solicita es una
contestación a la AEPD y no que el responsable o encargado responda a quien
ha presentado la reclamación o denuncia.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/19
En lo atinente a la posibilidad, amparada en el artículo 22 de la
LOPDGDD de que, con la finalidad de garantizar la seguridad de personas y
bienes, que faculta la captación de vía pública en la medida en que resulte
imprescindible, señalar que, efectivamente, esta posibilidad se recoge para,
atendiendo al apartado 1 del mencionado artículo «personas físicas o jurídicas,
públicas o privadas».
Ahora bien, lo determinante en este punto, para que se produzca una
conjunción con el principio de minimización de datos enunciado en el artículo
5.1.c) del RGPD, es que ha de ser «en la medida en que resulte
imprescindible», lo que significa que, si por razones de seguridad fuese
necesario captar vía pública —facultad que con carácter general está atribuida
a las Fuerzas y Cuerpos de Seguridad de conformidad con lo dispuesto en la
Ley Orgánica 4/1997 por la que se regula la utilización de videocámaras por las
Fuerzas y Cuerpos de Seguridad en lugares públicos y su normativa de
desarrollo—por tratarse del espacio adyacente al bien (zona de acceso o
perímetro) este habrá de reducirse al mínimo; tratándose de una acera podrá
captar una porción de ella en la parte adyacente a ese acceso o perímetro,
pero no será proporcionado captar la totalidad del ancho de la misma ni
alcanzar los automóviles aparcados para que los transeúntes y automovilistas
que aparcan sus vehículos no vean afectado de manera excesiva su derecho a
la protección de la imagen física..
La posibilidad de ampliación de captación de vía pública que establece el
artículo 22.2, se refiere a bienes o entidades estratégicos (debiendo entender
estos a los definidos como tal en el Catálogo Nacional de Infraestructuras
Estratégicas) o a infraestructuras de transporte, categoría en la que no se
encuentra un negocio dedicado al juego. Por tanto, no perteneciendo el
negocio del reclamado a la categoría de bien o entidad estratégico o de
infraestructura de transporte, ha de respetar el criterio de captación mínima de
la vía pública, y ello con independencia de la zona donde se ubique el negocio
(aspecto este que ha resultado de una decisión libre y voluntaria de la
empresa), ya que una aplicación desigual del mencionado criterio conllevaría
una consideración desigual (y por lo tanto una posible discriminación) en los
derechos de las personas que transitan por una determinada zona respecto a
los de otras.
Por tanto, de acuerdo con lo anterior, el reclamado está facultado para disponer
de un sistema de videovigilancia orientado hacia el exterior (e incluso situado
en el exterior) cuya finalidad sea garantizar la seguridad del bien, empleados y
clientes, pero debiendo tener en cuenta que, en el supuesto de necesitar captar
vía pública, esta captación debe circunscribirse al mínimo imprescindible que
se encuentra adyacente al acceso y perímetro.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/19
Por lo que se refiere a la alegación relacionada con la
desproporcionalidad de la sanción pecuniaria propuesta, es necesario traer a
colación lo recogido en el acuerdo de inicio del presente procedimiento. En este
acuerdo de inicio no se ha recogido en ningún momento la agravante de
reincidencia, sino que las circunstancias concurrentes consideradas a efectos
de modular la sanción propuesta son: como agravantes, la intencionalidad o
negligencia en la infracción (artículo 83.2.b) RGPD) y la falta de medidas
tomadas por el responsable o encargado del tratamiento para paliar los daños y
perjuicios sufridos por los interesados (artículo 83.2.c); como atenuantes, la
colaboración con esta Agencia en el seno del presente procedimiento al haber
contestado al traslado de la reclamación (artículo 83.2.f) RGPD), no existencia
la de vinculación de la actividad del infractor con la realización de tratamientos
de datos personales (artículo 76.2.b) LOPDGDD), no existencia de beneficios
obtenidos como consecuencia de la comisión de la infracción (artículo 76.2.c)
LOPDGDD) y disponer de la figura del delegado de protección de datos aun no
perteneciendo al conjunto de entidades obligadas a disponer de la citada figura
(artículo 76.2.g) LOPGDD).
En cuanto a las agravantes mencionadas, la motivación descansa, como se
señala en el acuerdo de inicio, en una previa existencia del acta-denuncia
levantada por la Guardia Civil de ***LOCALIDAD.2 y que fue presentada ante
la AEPD el 11 de febrero de 2019 por la existencia de un sistema de
videovigilancia en el local sito en C/ ***DIRECCIÓN.1 (el mismo sistema del
que es objeto el presente procedimiento sancionador) que vulneraría lo
dispuesto en la normativa de protección de datos. El día 26 del mismo mes se
remitió al reclamado una comunicación en la que se le informaba de ese
extremo, de dónde consultar los requisitos al respecto y de que, de no adoptar
las medidas necesarias, se podría estar incurriendo en una infracción tipificada
en la normativa de protección de datos que podría dar inicio a actuaciones
investigadoras y sancionadoras. A esta comunicación el reclamado contestó, el
26 de marzo de 2019, que el sistema cumplía los requisitos.
Pues bien, de los hechos que han motivado el presente procedimiento
sancionador, se pone en evidencia que el reclamado no implementó ninguna
medida al respecto que le hubieran permitido comprobar y, por tanto, corregir,
la grabación excesiva de la vía pública que se recoge en el Hecho Probado
Primero.
Asimismo, la mención a los 16 expedientes no sancionadores abiertos al
reclamado sirve para incidir en la idea de falta de diligencia del reclamado en la
falta de revisión de una política de instalación de sistemas de videovigilancia
que ha sido advertida en esas ocasiones desde la AEPD acerca de su posible
falta de adecuación a la normativa de protección de datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/19
En base a lo anterior, y habida cuenta de que según las últimas cuentas
anuales presentadas (ejercicio 2018) consta que la mercantil tuvo un importe
neto de la cifra de negocios de XXX €. y contó con un número medio de
personas empleadas fijas de 317,28 y de no fijas de 174,58 —lo que la excluye
de la definición de PYME de acuerdo con el Reglamento (UE) nº 651/2014 de
la Comisión, de 17 de junio de 2014, se consideró proporcionado proponer una
sanción de 20.000 euros.
Ahora bien, teniendo en cuenta que el reclamado ha procedido a retirar 3 de las
4 cámaras (las situadas en la fachadas) que captaban en exceso vía pública,
se considera que la circunstancia concurrente del artículo 83.2.c) ha de tornar
de agravante a atenuante, toda vez que por aquel se han adoptado medidas
tendentes a evitar el daño en los afectados que verían vulnerado su derecho a
la protección de datos personales al verse captados por el sistema de
videovigilancia.
IV
A tenor de lo dispuesto por el RGPD en su art. 83.2, al decidir la imposición de
una multa administrativa y su cuantía en cada caso individual se tendrán en cuenta los
factores agravantes y atenuantes que se relacionan en el artículo señalado, así como
cualquier otro que pueda resultar aplicable a las circunstancias del caso.
En consecuencia, se han tenido en cuenta, como agravantes:
La intencionalidad o negligencia en la infracción (artículo 83.2.b) RGPD),
Por otra parte, se han tomado en consideración, como atenuantes:
La adopción de medidas tomadas por el responsable o encargado del
tratamiento para paliar los daños y perjuicios sufridos por los interesados
(artículo 83.2.c) RGPD)
La colaboración con esta Agencia en el seno del presente procedimiento
al haber contestado al traslado de la reclamación (artículo 83.2.f) RGPD)
No existencia de vinculación de la actividad del infractor con la
realización de tratamientos de datos personales (artículo 76.2.b) LOPDGDD)
No existencia de beneficios obtenidos como consecuencia de la
comisión de la infracción (artículo 76.2.c) LOPDGDD)
Disponer de la figura del delegado de protección de datos aun no
perteneciendo al conjunto de entidades obligadas a disponer de la citada figura
(artículo 76.2.g) LOPGDD).
En base a lo anterior, procede proponer graduar la sanción a imponer a la
reclamada y fijarla en la cuantía de CINCO MIL EUROS (5.000 €).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/19
De confirmarse la infracción, podría acordarse imponer al responsable la
adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada
en este acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD,
según el cual cada autoridad de control podrá «ordenar al responsable o encargado
del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado».
En tal caso, en la resolución que se adopte, esta Agencia podrá requerir al
responsable para que en el plazo que se determine:
Acredite haber procedido a la retirada de la cámara situada en el
soportal de entrada (espacio privado del establecimiento pero exterior al local)
de su emplazamiento actual, o bien a la reorientación de la misma reduciendo
el ángulo de captación.
Se advierte que no atender a los requerimientos de este organismo puede ser
considerado como una infracción administrativa conforme a lo dispuesto en el RGPD,
tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la
apertura de un ulterior procedimiento administrativo sancionador.
A la vista de lo expuesto se procede a emitir la siguiente
PROPUESTA DE RESOLUCIÓN
Que por la Directora de la Agencia Española de Protección de Datos se
sancione a PLAY ORENES, S.L., con NIF B73002099, por una infracción del Artículo
5.1.c) del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de CINCO MIL
EUROS (5.000 €).
Que, al amparo de los dispuesto en el artículo 58.2.d) del RGPD, se le
ORDENE al reclamado que, en el plazo UN MES desde la fecha en la que la
resolución en que así lo acuerde le sea notificada, proceda a la retirada de la cámara
situada en el soportal de entrada de su emplazamiento actual, o bien a la reorientación
de la misma reduciendo el ángulo de captación.
Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP,
se le informa de que podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta
reducción, la sanción quedaría establecida en CUATRO MIL EUROS (4.000 €) y su
pago implicará la terminación del procedimiento. La efectividad de esta reducción
estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía
administrativa contra la sanción.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/19
En caso de que optara por proceder al pago voluntario de la cantidad
especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado,
deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000
0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de
Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número
de referencia del procedimiento que figura en el encabezamiento de este documento y
la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo,
deberá enviar el justificante del ingreso a la Subdirección General de Inspección para
proceder a cerrar el expediente.
En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el
procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere
en su defensa y presentar los documentos e informaciones que considere pertinentes,
de acuerdo con el artículo 89.2 de la LPACAP).
B.B.B.
JEFA DE ÁREA
INSTRUCTORA DEL PROCEDIMIENTO
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/19
ANEXO: Índice del Expediente PS_00003_2020
1.
Reclamación de C.C.C.
2.
Traslado reclamación a PLAY ORENES, S.L.
3.
Contestación requerimiento de D.D.D.
4.
Admisión a trámite a C.C.C.
5.
E/02186/2019
6.
Consulta antecedentes
7.
Diligencia
A. apertura a PLAY ORENES, S.L.
8. Alegaciones de PLAY ORENES SL
9. Notif. p. pruebas a PLAY ORENES, S.L.
>>
SEGUNDO: En fecha 16 de octubre de 2020, PLAY ORENES, S.L. ha procedido al
pago de la sanción en la cuantía de 4.000 euros haciendo uso de la reducción prevista
en la propuesta de resolución transcrita anteriormente.
TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía
administrativa contra la sanción, en relación con los hechos a los que se refiere la
propuesta de resolución.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de
control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos
es competente para sancionar las infracciones que se cometan contra dicho
Reglamento; las infracciones del artículo 48 de la Ley 9/2014, de 9 de mayo, General
de Telecomunicaciones (en lo sucesivo LGT), de conformidad con lo dispuesto en el
artículo 84.3 de la LGT, y las infracciones tipificadas en los artículos 38.3 c), d) e i) y
38.4 d), g) y h) de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la
información y de comercio electrónico (en lo sucesivo LSSI), según dispone el artículo
43.1 de dicha Ley.
II
El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
19/19
“1. Iniciado un procedimiento sancionador, si el infractor reconoce su
responsabilidad, se podrá resolver el procedimiento con la imposición de la
sanción que proceda.
2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa
imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha
justificado la improcedencia de la segunda, el pago voluntario por el presunto
responsable, en cualquier momento anterior a la resolución, implicará la
terminación del procedimiento, salvo en lo relativo a la reposición de la situación
alterada o a la determinación de la indemnización por los daños y perjuicios
causados por la comisión de la infracción.
3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al
menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos
acumulables entre sí. Las citadas reducciones, deberán estar determinadas en
la notificación de iniciación del procedimiento y su efectividad estará
condicionada al desistimiento o renuncia de cualquier acción o recurso en vía
administrativa contra la sanción.
El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”
De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de
Datos
RESUELVE:
PRIMERO: DECLARAR la terminación del procedimiento PS/00003/2020, de
conformidad con lo establecido en el artículo 85 de la LPACAP.
SEGUNDO: NOTIFICAR la presente resolución a PLAY ORENES, S.L..
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
968-150719
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es