1/15
Procedimiento Nº: PS/00227/2020
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y
en base a los siguientes
ANTECEDENTES
PRIMERO: Don A.A.A. (en adelante, el reclamante), con fecha 23 de julio de 2020,
interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra RECAMBIOS VILLALEGRE, S.L., con NIF B74393992
(en adelante, el reclamado) por unos hechos que podrían estar vulnerando la
legislación sobre protección de datos personales. Los motivos principales en que basa
la reclamación son los siguientes:
«Me pongo en contacto con ustedes debido al acoso y amenazas que está su-
friendo un pobre indigente de la ciudad de ***LOCALIDAD.1 (***PROVINCIA.1)
por culpa de una publicación que la empresa Recambios Villalegre puso en su
página de Facebook en la noche del día ***FECHA.1. En dicha publicación,
acusan a este indigente (que se gana la vida pidiendo limosna) de haberles ro-
bado todo el dinero efectivo de la caja registradora, y por si fuera poco tan gra-
ve acusación, adjuntan una fotografía tomada a la citada persona desde las cá-
maras de videovigilancia algo totalmente ilegal más aún cuando la citada em-
presa carece de cartel informativo de zona videovigilada en sus instalaciones.
Como podrán ver en las capturas adjuntadas a esta reclamación, se imagina-
rán la gran repercusión que esto ha tenido en la ciudad ya que, en el momento
de escribir este texto, la publicación ha sido compartida por XXXX personas y
con cientos de comentarios vejatorios, insultantes e incluso amenazantes.
Cabe mencionar que, aunque en la polémica publicación aseguran tenerlo todo
perfectamente grabado llama la atención que en la fotografía aportada no se ve
la caja registradora por ninguna parte, motivo por el cual da que pensar si real-
mente ha sido un robo o por el contrario algún tipo de venganza o enemistad
de la empresa con el perjudicado.
Por si fuera poco, todo lo anteriormente expuesto, la citada empresa ha
hecho circular también por grupos de WhatsApp otra fotografía (la cual se ad-
junta a esta reclamación) de esta persona tomada en este caso de frente, des-
de lo que parece ser un vehículo y en la cual su cara es perfectamente recono-
cible, multiplicando más aún si cabe todo el acoso y las amenazas que éste po-
bre hombre está sufriendo por toda la ciudad.
Puesto que esta persona carece de recurso alguno para tratar de solu-
cionar el problema que le han causado de forma intencionada, y tras comuni-
carme su decisión de abandonar la ciudad (en el mejor de los casos) por todo
lo que está sufriendo, me veo en la obligación de comunicarlo a la AEPD con la
intención de que tomen las medidas oportunas con la citada empresa que ha
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/15
abusado de forma desmesurada contra esta persona.
Cabe recordar que, la Constitución Española de 1.978 en su artículo 18,
protege y predica el derecho al honor, a la intimidad personal y familiar, así
como a la propia imagen, derecho que esta empresa ha vulnerado de forma fla-
grante contra esta persona.
Por todo lo anteriormente expuesto, ruego tomen las medidas neces-
arias para acabar con esta situación a la mayor brevedad posible, así como
proceder a imponer la correspondiente sanción a la citada empresa en el caso
de que sea procedente.
P.d.: Se adjuntan tres capturas de pantalla que demuestran todo lo ex-
plicado, así como también el enlace de la publicación que hizo la empresa.
***URL.1
Una de las imágenes enviadas es una fotografía de una persona que arrastra
un carrito.
La otra imagen es la incluida en el perfil de Facebook de la entidad reclamada,
que se publicó el pasado ***FECHA.1 un post en el que se incluía una fotografía co-
rrespondiente con un fotograma de las imágenes captadas por la cámara de videovigi-
lancia de la tienda, en la que se ve al otro lado del umbral de la puerta del local (la cá -
mara capta una parte importante de la acera sin que se observe cartel informativo), por
fuera, la silueta de un hombre con un carrito de la compra. La publicación se acompa-
ña del siguiente comentario:
“Este señor que se pasa los días pidiendo ayuda muy educadamente por el
centro de ***LOCALIDAD.1 y en especial, por las terrazas de los bares, hoy
por la tarde nos ha entrado en nuestro negocio y en un momento que hemos
tenido que estar en la parte de atrás de la tienda, ha entrado por dentro del
mostrador y se llevo todo el dinero que teníamos en efectivo.
Las cámaras lo han grabado perfectamente.
Ruego máxima difusión para ayuda de todos.
Se ha comprobado que la publicación permanece disponible.
SEGUNDO: La reclamación fue admitida a trámite mediante resolución de 24 de julio
de 2020.
TERCERO: El reclamante presentó nuevo escrito, en fecha 25 de julio de 2020, en el
que señala lo siguiente:
“Pidiéndoles disculpas de antemano por escribirles por el mismo tema con un
intervalo de tiempo de poco más de 24 horas, me veo en la hacerlo debido a los cam-
bios surgidos recientemente con este asunto. Para ponernos en antecedentes, se trata
del caso de la empresa ***LOCALIDAD.1 que publicó en sus redes sociales la foto-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/15
grafía, tomada de forma totalmente ilegal de un indigente que había entrado al local a
pedir limosna. En dicha denuncia ante ustedes en el día de ayer, se acusaba a la cita-
da persona de haber cometido un robo bastante dudoso desde nuestro punto de vista,
pero debido a la versión tan inverosímil argumentada por la empresa, se hubiera pro-
ducido una vulneración a Ley de Protección de Datos por haber publicado la fotografía
del supuesto delincuente. Pues bien, tal y como se puede ver en los enlaces más aba-
jo aportados, la repercusión de este incidente se ha visto incrementa de forma consi-
derable ya que ha sido publicado en los diarios más leídos en esta zona (***DIARIO.1
y ***DIARIO.2) Tal y como publican ambos, la detención de dicha persona por la de-
nuncia que la empresa había cursado y teniendo que acudir a la celebración de un jui-
cio rápido, ya que el supuesto robo superaba los XXX, en el día de hoy y por el que
salió totalmente absuelto por falta de pruebas. Prueba de su inmediata liberación pue-
den corroborar ustedes leyendo la nueva publicación que la empresa denunciante ha
puesto en sus redes sociales en la que afirma lo aquí expongo. Persona acusada de
un delito penal ha sido puesta en libertad en el mismo día que se celebrara el juicio,
creemos que es prueba más que suficiente y no hay motivo alguno por el cual someter
al acusado a semejante exposición social. Y una vez más, que conformes con este
acoso, vuelven a publicar las imágenes de esta persona para facilitar el reconocimien-
to del resto de personas. Tal y como hice en el día de ayer, mediante capturas de pan-
talla de la red social de la citada empresa, así como en los distintos enlaces en los que
se ha publicado por medios de comunicación.
Ruego su inmediata retirada de esas publicaciones:
***URL.2
***URL.3
***URL.4
CUARTO: Con fecha 11 de agosto de 2020, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la
presunta infracción del artículo 6 del RGPD, y del artículo 13 del RGPD, tipificadas en
el Artículo 83.5 del RGPD.
QUINTO: El acuerdo de inicio fue notificado electrónicamente al reclamado. Así lo exi-
ge el artículo 14.2 de la Ley 39/2015 de Procedimiento Administrativo Común de las
Administraciones Públicas (LPACAP) conforme al cual “En todo caso estarán obliga-
dos a relacionarse a través de medios electrónicos con las Administraciones Públicas
para la realización de cualquier trámite de un procedimiento administrativo, al menos,
los siguientes sujetos: a) Las personas jurídicas”.
Obra en el expediente el Certificado emitido por el Servicio de Notificaciones
Electrónicas y de Dirección Electrónica Habilitada de la FNMT-RCM, que deja constan-
cia del envío del acuerdo de inicio, notificación de la AEPD dirigida al reclamado, a tra-
vés de ese medio siendo la fecha de puesta a disposición en la sede electrónica del
organismo el 13/08/2020 y la fecha de rechazo automático el 24/08/2020.
El artículo 43.2. de la LPACAP establece que cuando la notificación por medios
electrónicos sea de carácter obligatorio -como acontece en el presente caso- “se en-
tenderá rechazada cuando hayan transcurrido diez días naturales desde la puesta a
disposición de la notificación sin que se acceda a su contenido.” (El subrayado es de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/15
AEPD)
Añadir que los artículos 41.5 y 41.1, párrafo tercero, de la LPACAP dicen, res-
pectivamente:
“Cuando el interesado o su representante rechace la notificación de una actua-
ción administrativa, se hará constar en el expediente especificándose las circunstan-
cias del intento de notificación y el medio, dando por efectuado el trámite y siguiéndo-
se el procedimiento.” (El subrayado es de la AEPD)
“Con independencia del medio utilizado, las notificaciones serán válidas siempre
que permitan tener constancia de su envío o puesta a disposición, de la recepción o
acceso por el interesado o su representante, de sus fechas y horas, del contenido ín-
tegro, y de la identidad fidedigna del remitente y del destinatario de la misma. La acre-
ditación de la notificación efectuadas se incorporará al expediente”.
Así pues, atendiendo a que la notificación del acuerdo de inicio al reclamado se
efectuó electrónicamente por imperativo legal (artículo 14 LPACAP) y que se produjo
el rechazo de la notificación transcurridos diez días, tal y como dispone el artículo 43.2
de la precitada ley, el trámite se consideró efectuado y el procedimiento siguió su cur-
so (ex artículo 41.5 LPACAP)
SEXTO: Con fecha 26 de septiembre de 2020, se inició fase de prueba, acordando
practicar las siguientes:
1. Se dan por reproducidos a efectos probatorios la reclamación interpuesta por el
reclamante y la documentación aportada.
2. Se solicita a RECAMBIOS VILLALEGRE S.L., que nos informe de las
cuestiones siguientes:
a) Si ha presentado denuncia por robo de XXX euros contra el indigente que
señala en el facebook de la entidad.
b) Si se ha dictado sentencia sobre esa denuncia y su resultado,
acompañando copia de la misma, si la hubiese.
c) Si ha retirado de su Facebook las imágenes del indigente al que atribuía el
robo de XXX euros de la caja de su establecimiento y de la grabación de
esos hechos.
d) Aporte prueba documental del cartel informativo de zona videovigilada con
la información exigida por la normativa de protección de datos.
La Notificación de la práctica de prueba ha sido devuelta con la leyenda de
“Desconocido”.
SÉPTIMO: De conformidad con el artículo 73.1 de la LPACAP el plazo para formular
alegaciones al Acuerdo de Inicio es de diez días computados a partir del siguiente al
de la notificación.
El artículo 64.2. LPACAP, indica que se informará al denunciado del derecho a
formular alegaciones, del “derecho a la audiencia en el procedimiento y de los plazos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/15
para su ejercicio, así como la indicación de que en caso de no efectuar alegaciones en
el plazo previsto sobre el contenido del acuerdo de iniciación éste podrá ser conside-
rado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de
la responsabilidad imputada”. (El subrayado es de la AEPD)
El acuerdo de inicio del expediente sancionador que nos ocupa contenía un pro-
nunciamiento preciso sobre la responsabilidad de la entidad reclamada: en el citado
acuerdo se concretaba cuál era conducta infractora, el tipo sancionador en el que era
subsumible, las circunstancias modificativas de la responsabilidad descrita y la sanción
que a juicio de la AEPD procedía imponer.
En consideración a lo expuesto y de conformidad con lo establecido en el artícu-
lo 64.2.f) de la LPACAP, el acuerdo de inicio del PS/00227/2020 es considerado Pro-
puesta de Resolución.
A la vista de todo lo actuado, por parte de la Agencia Española de Protección
de Datos en el presente procedimiento se consideran hechos probados los siguientes,
HECHOS
PRIMERO: Con fecha 23 de julio de 2020, se recibió en la Agencia Española de Pro-
tección de Datos una reclamación en la que se indicaba que la empresa Recambios
Villalegre había publicado en su página de Facebook, el día ***FECHA.1, que un indi-
gente les había robado todo el dinero efectivo que tenían en la caja registradora.
Acompañaban a la publicación una imagen de la persona acusada tomada desde su
cámara de videovigilancia. Incluyen la información siguiente:
“Este señor que se pasa los días pidiendo ayuda muy educadamente por el
centro de ***LOCALIDAD.1 y en especial, por las terrazas de los bares, hoy por la tar-
de nos ha entrado en nuestro negocio y en un momento que hemos tenido que estar
en la parte de atrás de la tienda, ha entrado por dentro del mostrador y se llevo todo el
dinero que teníamos en efectivo. Las cámaras lo han grabado perfectamente. Ruego
máxima difusión para ayuda de todos.
SEGUNDO: La publicación ha sido compartida por XXXX personas y se recogen nu-
merosos comentarios vejatorios, insultantes e incluso amenazantes.
Asimismo, la empresa reclamada ha hecho circular también por grupos de
WhatsApp otra fotografía (la cual se adjunta a esta reclamación) de esta persona to-
mada en este caso de frente, desde lo que parece ser un vehículo y en la cual su cara
es perfectamente reconocible, multiplicando más aún si cabe todo el acoso y las ame-
nazas que éste pobre hombre está sufriendo por toda la ciudad.
TERCERO: La empresa reclamada no dispone de carteles informando que es una
zona videovigilada.
FUNDAMENTOS DE DERECHO
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/15
I
En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), reconoce a cada
Autoridad de Control, y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garan-
tía de los derechos digitales (en adelante, LOPDGDD), la Directora de la Agencia Es-
pañola de Protección de Datos es competente para iniciar y resolver este procedimien-
to.
El artículo 63.2 de la LOPDGDD determina que: «Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos.»
II
La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato
personal y su protección, por tanto, es objeto de dicho Reglamento. En el artículo 4.2
del RGPD se define el concepto de “tratamiento” de datos personales.
Es, por tanto, pertinente analizar si el tratamiento de datos personales (imagen
de las personas físicas) llevado a cabo a través de la captación de fotografía y video
denunciada es acorde con lo establecido en el RGPD.
III
En primer lugar y referido a la publicación de las imágenes indicadas en los an-
tecedentes por parte de la reclamada, el artículo 6.1 del RGPD, establece los supues-
tos que permiten considerar lícito el tratamiento de datos personales:
«1. El tratamiento sólo será lícito si cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos
personales para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el
interesado es parte o para la aplicación a petición de este de medidas
precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal
aplicable al responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de
otra persona física.
e) el tratamiento es necesario para el cumplimiento de una misión realizada en
interés público o en el ejercicio de poderes públicos conferidos al responsable
del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos
perseguidos por el responsable del tratamiento o por un tercero, siempre que
sobre dichos intereses no prevalezcan los intereses o los derechos y libertades
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/15
fundamentales del interesado que requieran la protección de datos personales,
en particular cuando el interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al
tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.»
Sobre esta cuestión de la licitud del tratamiento, incide asimismo el
Considerando 40 del mencionado RGPD, cuando dispone que «Para que el
tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento
del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya
sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los
Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de
cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de
ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas
a instancia del interesado con anterioridad a la conclusión de un contrato.»
En relación con lo anterior, se considera que existen evidencias de que el
tratamiento de datos de la persona que aparece en las imágenes objeto de esta
reclamación se ha efectuado sin causa legitimadora de las recogidas en el artículo 6
del RGPD.
El RGPD se aplica a los datos personales, que se definen como «datos
personales»: toda información sobre una persona física identificada o identificable («el
interesado»); se considerará persona física identificable toda persona cuya identidad
pueda determinarse, directa o indirectamente, en particular mediante un identificador,
como por ejemplo un nombre, un número de identificación, datos de localización, un
identificador en línea o uno o varios elementos propios de la identidad física,
fisiológica, genética, psíquica, económica, cultural o social de dicha persona.
La persona cuyos datos ha tratado la reclamada, es perfectamente identificable
ya que su identidad pueda determinarse, directa o indirectamente, en particular
mediante las imágenes y los comentarios que ha incluido en el Facebook la empresa
reclamada.
IV
En segundo lugar, la fotografía que se extrae del sistema de videovigilancia
instalado por la reclamada invade la acera de la calle desde la que se entra al local.
Es, por tanto, pertinente analizar si el tratamiento de datos personales (imagen
de las personas físicas) llevado a cabo a través del sistema de videovigilancia de la
reclamada es acorde con lo establecido en el RGPD.
El artículo 5.1.c) del RGPD, relativo a los principios del tratamiento, dispone que
los datos personales serán «adecuados, pertinentes y limitados a lo necesario en
relación con los fines para los que son tratados (“minimización de datos”).» Este
artículo consagra el principio de minimización de datos en el tratamiento de los datos
personales. Supone que dicho tratamiento sea ajustado y proporcional a la finalidad a
la que se dirige, debiendo restringirse el tratamiento de los datos excesivos o bien
procederse a la supresión de los mismos.
La pertinencia en el tratamiento de los datos debe producirse tanto en el ámbito
de la recogida de los datos como en el posterior tratamiento que se realice de los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/15
mismos.
El artículo 12.1 del RGPD señala: “1. El responsable del tratamiento tomará las
medidas oportunas para facilitar al interesado toda información indicada en los artícu-
los 13 y 14” El RGPD enumera las categorías de información que deben facilitarse a
un interesado en relación con el tratamiento de sus datos personales en los casos en
los que se recaban del mismo (artículo 13) o se obtienen de otra fuente (artículo 14).
El 12.7 indica: “La información que deberá facilitarse a los interesados en virtud
de los artículos 13 y 14 podrá transmitirse en combinación con iconos normalizados
que permitan proporcionar de forma fácilmente visible, inteligible y claramente legible
una adecuada visión de conjunto del tratamiento previsto”
El artículo 22 de la LOPDGDD establece las especificidades del tratamiento de
datos con fines de videovigilancia, indicando lo siguiente:
“1. Las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el
tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la
finalidad de preservar la seguridad de las personas y bienes, así como de sus
instalaciones.
2. Solo podrán captarse imágenes de la vía pública en la medida en que resulte
imprescindible para la finalidad mencionada en el apartado anterior.
No obstante, será posible la captación de la vía pública en una extensión superior
cuando fuese necesario para garantizar la seguridad de bienes o instalaciones
estratégicos o de infraestructuras vinculadas al transporte, sin que en ningún caso
pueda suponer la captación de imágenes del interior de un domicilio privado.
3. Los datos serán suprimidos en el plazo máximo de un mes desde su
captación, salvo cuando hubieran de ser conservados para acreditar la comisión de
actos que atenten contra la integridad de personas, bienes o instalaciones. En tal
caso, las imágenes deberán ser puestas a disposición de la autoridad competente en
un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la
existencia de la grabación.
No será de aplicación a estos tratamientos la obligación de bloqueo prevista en el
artículo 32 de esta ley orgánica.
4. El deber de información previsto en el artículo 12 del Reglamento (UE)
2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo
en lugar suficientemente visible identificando, al menos, la existencia del tratamiento,
la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los
artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el
dispositivo informativo un código de conexión o dirección de internet a esta
información.
En todo caso, el responsable del tratamiento deberá mantener a disposición de los
afectados la información a la que se refiere el citado reglamento.
5. Al amparo del artículo 2.2.c) del Reglamento (UE) 2016/679, se considera
excluido de su ámbito de aplicación el tratamiento por una persona física de imágenes
que solamente capten el interior de su propio domicilio.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/15
Esta exclusión no abarca el tratamiento realizado por una entidad de seguridad
privada que hubiera sido contratada para la vigilancia de un domicilio y tuviese acceso
a las imágenes.
6. El tratamiento de los datos personales procedentes de las imágenes y
sonidos obtenidos mediante la utilización de cámaras y videocámaras por las Fuerzas
y Cuerpos de Seguridad y por los órganos competentes para la vigilancia y control en
los centros penitenciarios y para el control, regulación, vigilancia y disciplina del
tráfico, se regirá por la legislación de transposición de la Directiva (UE) 2016/680,
cuando el tratamiento tenga fines de prevención, investigación, detección o
enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluidas
la protección y la prevención frente a las amenazas contra la seguridad pública. Fuera
de estos supuestos, dicho tratamiento se regirá por su legislación específica y
supletoriamente por el Reglamento (UE) 2016/679 y la presente ley orgánica.
7. Lo regulado en el presente artículo se entiende sin perjuicio de lo previsto en
la Ley 5/2014, de 4 de abril, de Seguridad Privada y sus disposiciones de desarrollo.
8. El tratamiento por el empleador de datos obtenidos a través de sistemas de
cámaras o videocámaras se somete a lo dispuesto en el artículo 89 de esta ley
orgánica.”
V
Con la finalidad de que el deber de información previsto en el artículo 12 del
RGPD se cumpla de manera concisa y comprensible para el afectado, el citado
artículo 22 de la LOPDGDD prevé un sistema de “información por capas”.
Se recomienda que la primera capa o modalidad insertada en el icono de
advertencia de área videovigilada contenga la información más importante, los detalles
del propósito del tratamiento, la identidad del responsable y una descripción de los
derechos del interesado, base jurídica del tratamiento e identificación del responsable
del tratamiento y forma de contacto. La importancia de proporcionar esta información
por adelantado surge, en particular, del considerando 39 del RGPD, no siendo
necesario especificar la ubicación precisa del equipo de vigilancia; sin embargo,
deberá quedar bien claro el contexto de la vigilancia.
Así, en resumen, en el cartel o distintivo de zona videovigilada, deberá informar
acerca de:
-La existencia del tratamiento (videovigilancia).
-La identidad del responsable del tratamiento o del sistema de videovigilancia, y
la dirección del mismo.
-La posibilidad de ejercitar los derechos reconocidos en los artículos 15 a 22
del RGPD.
-Dónde obtener más información sobre el tratamiento de los datos personales.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/15
La información de la segunda capa debe estar disponible en un lugar
fácilmente accesible al interesado, sea una hoja informativa en una recepción, cajero
etc. o colocada en un espacio público visible, o referirse a una dirección web con el
resto de los elementos del artículo 13 del RGPD.
El artículo 13 del RGPD establece la información que deberá facilitarse cuando
los datos personales se obtengan del interesado, que es la siguiente:
“1. Cuando se obtengan de un interesado datos personales relativos a él, el
responsable del tratamiento, en el momento en que estos se obtengan, le facilitará
toda la información indicada a continuación:
a) la identidad y los datos de contacto del responsable y, en su caso, de su re-
presentante;
b) los datos de contacto del delegado de protección de datos, en su caso;
c) los fines del tratamiento a que se destinan los datos personales y la base ju-
rídica del tratamiento;
d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intere-
ses legítimos del responsable o de un tercero;
e) los destinatarios o las categorías de destinatarios de los datos personales, en su
caso;
f) en su caso, la intención del responsable de transferir datos personales a un
tercer país u organización internacional y la existencia o ausencia de una decisión de
adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artícu-
los 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías
adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de
que se hayan prestado.
2. Además de la información mencionada en el apartado 1, el responsable del
tratamiento facilitará al interesado, en el momento en que se obtengan los datos per-
sonales, la siguiente información necesaria para garantizar un tratamiento de datos
leal y transparente:
a) el plazo durante el cual se conservarán los datos personales o, cuando no
sea posible, los criterios utilizados para determinar este plazo;
b) la existencia del derecho a solicitar al responsable del tratamiento el acceso
a los datos personales relativos al interesado, y su rectificación o supresión, o la limita-
ción de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabili-
dad de los datos;
c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el
artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en
cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el con-
sentimiento previo a su retirada;
d) el derecho a presentar una reclamación ante una autoridad de control;
e) si la comunicación de datos personales es un requisito legal o contractual, o
un requisito necesario para suscribir un contrato, y si el interesado está obliga-
do a facilitar los datos personales y está informado de las posibles consecuen-
cias de que no facilitar tales datos;
f) la existencia de decisiones automatizas, incluida la elaboración de perfiles, a
que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/15
significativa sobre la lógica aplicada, así como la importancia y las consecuencias pre-
vistas de dicho tratamiento para el interesado.
3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de da-
tos personales para un fin que no sea aquel para el que se recogieron, proporcionará
al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro
fin y cualquier información adicional pertinente a tenor del apartado 2.
4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en
la medida en que el interesado ya disponga de la información.”
La segunda parte de la reclamación se concreta en que la entidad reclamada
no dispone de cartel en el que se informe sobre la presencia de las cámaras.
Conforme a lo expuesto, esta Agencia considera que existen indicios sobre la
existencia de cámaras de videovigilancia instaladas en la entidad reclamada sin el
necesario distintivo informativo.
VI
Los poderes correctivos de los que dispone la Agencia Española de Protección
de Datos, como autoridad de control, se establecen en el artículo 58.2 del RGPD.
Entre ellos se encuentran la potestad de sancionar con apercibimiento -artículo 58.2
b)-, la potestad de imponer una multa administrativa con arreglo al artículo 83 del
RGPD -artículo 58.2 i)-, o la potestad de ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
RGPD, cuando proceda, de una determinada manera y dentro de un plazo
especificado -artículo 58. 2 d)-.
Ha quedado acreditado que los hechos expuestos incumplen lo establecido en
los artículos 6.1. y 13 RGPD, por lo que podrían suponer la comisión de sendas
infracciones tipificadas en el artículo 83.5 del RGPD, que dispone lo siguiente:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo
con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9;
b) los derechos de los interesados a tenor de los artículos 12 a 22; […].”
A efectos del plazo de prescripción de las infracciones, la infracción señalada en
el párrafo anterior se considera muy grave y prescribe a los tres años, conforme al
artículo 72.1 de la LOPDGDD, que establece que:
“En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679
se consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/15
siguientes:
b) El tratamiento de datos personales sin que concurra alguna de las
condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento
(UE) 2016/679.
(…)
h) La omisión del deber de informar al afectado acerca del tratamiento de sus
datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento
(UE) 2016/679 y 12 de esta Ley Orgánica.”
VII
A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:
“Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.”
“Las multas administrativas se impondrán, en función de las circunstancias de
cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento
para paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del
tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan
aplicado en virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del
tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner
remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción,
en particular si el responsable o el encargado notificó la infracción y, en tal
caso, en qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido
ordenadas previamente contra el responsable o el encargado de que se trate
en relación con el mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos
de certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa
o indirectamente, a través de la infracción.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/15
Respecto al apartado k) del artículo 83.2 del RGPD, la LOPDGDD, artículo 76,
“Sanciones y medidas correctivas”, dispone:
“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de
la infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier interesado.”
En el presente caso, se han tenido en cuenta, en especial, los siguientes
elementos:
La naturaleza y gravedad de la infracción, teniendo en cuenta el propósito
de la operación de tratamiento de que se trate así como el nivel de los da-
ños y perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
Que se trata de una pequeña empresa cuya actividad principal no está vin-
cula con el tratamiento de datos personales.
Que no se aprecia reincidencia, por no constar la comisión, en el término de
un año, de más de una infracción de la misma naturaleza.
VIII
De acuerdo con lo establecido en el artículo 58.2 d) del RGPD, según el cual
cada autoridad de control podrá «ordenar al responsable o encargado del tratamiento
que las operaciones de tratamiento se ajusten a las disposiciones del presente Regla-
mento, cuando proceda, de una determinada manera y dentro de un plazo especifica-
do […].», se le requiere a que adecue el tratamiento de datos que supone la videovigi-
lancia del centro veterinario a los requisitos establecidos en el RGPD, y en concreto, a
la colocación en lugar visible de un dispositivo informativo.
Se advierte que no atender a los requerimientos de este organismo puede ser
considerado como una infracción administrativa conforme a lo dispuesto en el RGPD,
tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la
apertura de un ulterior procedimiento administrativo sancionador.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/15
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
La Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a RECAMBIOS VILLALEGRE S.L., con NIF B74393992, por
una infracción del artículo 6 del RGPD, tipificada en el Artículo 83.5.a) del RGPD, una
multa de 10.000 euros (diez mil euros).
SEGUNDO: IMPONER a RECAMBIOS VILLALEGRE S.L., con NIF B74393992, por
una infracción del artículo 13 del RGPD, tipificada en el Artículo 83.5.b) del RGPD, una
multa de 2.000 euros (dos mil euros).
TERCERO: REQUERIR a RECAMBIOS VILLALEGRE S.L., con NIF B74393992, para
que a tenor del art. 58.2 d) RGPD, y en el plazo de un mes a contar desde la notifica-
ción de esta resolución:
-Retire las imágenes subidas a Facebook y los comentarios que identifican a la
persona cuyos datos son objeto de tratamiento.
-Acredite haber procedido a la colocación del dispositivo informativo en las
zonas videovigiladas o a completar la información ofrecida en el mismo (deberá
identificarse, al menos, la existencia de un tratamiento, la identidad del responsable y
la posibilidad de ejercitar los derechos previstos en dichos preceptos), ubicando este
dispositivo en lugar suficientemente visible, tanto en espacios abiertos como cerrados.
-Acredite que mantiene a disposición de los afectados la información a la que
se refiere el citado RGPD.
CUARTO: NOTIFICAR la presente resolución a RECAMBIOS VILLALEGRE S.L.
QUINTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una
vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el
art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago
voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado
por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003,
de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número
de procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso
contrario, se procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se
encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el
pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si
se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del
pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/15
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la
presente Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art.
48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la
LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición
ante la Directora de la Agencia Española de Protección de Datos en el plazo de un
mes a contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la
LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa
si el interesado manifiesta su intención de interponer recurso contencioso-
administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este
hecho mediante escrito dirigido a la Agencia Española de Protección de Datos,
presentándolo a través del Registro Electrónico de la Agencia
[https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes
registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También
deberá trasladar a la Agencia la documentación que acredite la interposición efectiva
del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la
interposición del recurso contencioso-administrativo en el plazo de dos meses desde el
día siguiente a la notificación de la presente resolución, daría por finalizada la
suspensión cautelar.
938-300320
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es