1/9
Procedimiento Nº: PS/00377/2021
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
HECHOS
PRIMERO: Doña A.A.A. (*en adelante, la parte reclamante) con fecha 17 de abril de
2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra AYUNTAMIENTO DE ***LOCALIDAD.1 con CIF
P4626100D (en adelante, la parte reclamada). Los motivos en que basa la
reclamación son los siguientes, según se recogen en su escrito,
“El pasado 12 de marzo se instalaron cámaras de videovigilancia en el Ayunta-
miento de ***LOCALIDAD.1(Valencia). Estas cámaras se instalaron en la entrada del
Ayuntamiento y en el mostrador, desde donde graban a los empleados y a los ciuda-
danos que entran en las dependencias municipales (…)
En varias ocasiones mostré mi disconformidad a la alcaldesa y a la secretaria
sobre estos aspectos. Llamé a Delegación de Gobierno para comprobar si se había
concedido autorización para su instalación conforme a los dispuesto en el Decreto
596/1999 y la Ley Orgánica 4/1997, y no existía esa autorización, pero es que ni si-
quiera se había solicitado”.
“No se me ha informado de la instalación del sistema (…) solo puedo pensar
que se me ha grabado sin previo aviso de la puesta en marcha de la cámara, por eso
son conocedores de mis conversaciones privadas mantenidas en esas dependencias
(…)”.
Junto con la reclamación aporta prueba documental (fotografía nº 1) que
acredita la presencia de cartel si bien no está rellenado en sus aspectos esenciales.
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada en fe-
cha ***FECHA.1, para que procediese a su análisis e informase a esta Agencia en el
plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos pre-
vistos en la normativa de protección de datos.
No se ha recibido respuesta a este escrito a día de la fecha en esta Agencia, ni
explicación alguna se ha dado a tal efecto.
TERCERO: Con fecha 19 de julio de 2021 la Directora de la Agencia Española de Pro-
tección de Datos acordó admitir a trámite la reclamación presentada por la parte recla-
mante.
CUARTO: Con fecha 7 de septiembre de 2021, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/9
presunta infracción del Artículo 5.1.c) del RGPD, tipificada en el Artículo 83.5 del
RGPD.
QUINTO: De conformidad con el artículo 73.1 de la LPCAP el plazo para formular
alegaciones al Acuerdo de Inicio es de diez días computados a partir del siguiente al
de la notificación.
El artículo 64.2. LPACAP, indica que se informará al denunciado del derecho a
formular alegaciones, del “derecho a la audiencia en el procedimiento y de los plazos
para su ejercicio, así como la indicación de que en caso de no efectuar alegaciones en
el plazo previsto sobre el contenido del acuerdo de iniciación éste podrá ser
considerado propuesta de resolución cuando contenga un pronunciamiento preciso
acerca de la responsabilidad imputada”. (El subrayado es de la AEPD)
El acuerdo de inicio del expediente sancionador que nos ocupa contenía un
pronunciamiento preciso sobre la responsabilidad de la entidad reclamada: en el citado
acuerdo se concretaba cuál era conducta infractora, el tipo sancionador en el que era
subsumible, las circunstancias de la responsabilidad descritas y la sanción que a juicio
de la AEPD procedía imponer.
En consideración a lo expuesto y de conformidad con lo establecido en el artículo
64.2.f) de la LPACAP, el acuerdo de inicio del PS/00375/2021 es considerado
Propuesta de Resolución: Notificado el acuerdo de inicio, el reclamado al tiempo de la
presente resolución no ha presentado escrito de alegaciones, por lo que es de
aplicación lo señalado en el artículo 64 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas, que en su
apartado f) establece que en caso de no efectuar alegaciones en el plazo previsto
sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de
resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad
imputada, por lo que se procede a dictar Resolución.
A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos
en el presente procedimiento se consideran hechos probados los siguientes:
Primero. Los hechos traen causa de la reclamación de fecha 17/04/21 por medio de la
cual se traslada a esta AEPD lo siguiente:
“El pasado 12 de marzo se instalaron cámaras de videovigilancia en el Ayunta-
miento de ***LOCALIDAD.1(Valencia). Estas cámaras se instalaron en la entrada del
Ayuntamiento y en el mostrador, desde donde graban a los empleados y a los ciuda-
danos que entran en las dependencias municipales (…)
En varias ocasiones mostré mi disconformidad a la alcaldesa y a la secretaria
sobre estos aspectos. Llamé a Delegación de Gobierno para comprobar si se había
concedido autorización para su instalación conforme a los dispuesto en el Decreto
596/1999 y la Ley Orgánica 4/1997, y no existía esa autorización, pero es que ni si-
quiera se había solicitado”.
“No se me ha informado de la instalación del sistema (…) solo puedo pensar
que se me ha grabado sin previo aviso de la puesta en marcha de la cámara, por eso
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/9
son conocedores de mis conversaciones privadas mantenidas en esas dependencias
(…)”—folio nº 1--.
Segundo. Consta acreditado como principal responsable la entidad Ayuntamiento de
***LOCALIDAD.1.
Tercero. Consta acreditado que el sistema de video-vigilancia instalado no está
debidamente informando adoleciendo de irregularidades, como el hecho de mencionar
una normativa derogada o no indicar el responsable del tratamiento de los datos.
Cuarto. Consta acreditado la presencia de dispositivo de video-vigilancia en la zona de
entrada al inmueble, sin que se haya alegado sobre si el mismo puede obtener audio
de la zona dónde está instalado.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de
control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora
de la Agencia Española de Protección de Datos es competente para iniciar y para re-
solver este procedimiento.
II
En fecha 17/04/21 se recibe en esta Agencia reclamación de la epigrafiada por medio
de la cual se traslada como hecho principal el siguiente:
“El pasado 12 de marzo se instalaron cámaras de videovigilancia en el Ayunta-
miento de ***LOCALIDAD.1(Valencia). Estas cámaras se instalaron en la entrada del
Ayuntamiento y en el mostrador, desde donde gravan a los empleados y a los ciuda-
danos que entran en las dependencias municipales (…)
En varias ocasiones mostré mi disconformidad a la alcaldesa y a la secretaria
sobre estos aspectos. Llamé a Delegación de Gobierno para comprobar si se había
concedido autorización para su instalación conforme a los dispuesto en el Decreto
596/1999 y la Ley Orgánica 4/1997, y no existía esa autorización, pero es que ni si-
quiera se había solicitado”.
Los hechos iniciales se concretaron en la presencia de dispositivos de video-vi-
gilancia que pudieran grabar las conversaciones (audio/video) en el interior de las de-
pendencias municipales, sin estar el sistema debidamente informado a tal efecto.
La grabación de conversaciones personales tanto en empresa, como en comu-
nidades de propietarios (as), supone una invasión de la intimidad del usuario, por lo
que está terminantemente prohibido, con la excepción de que exista una autorización
judicial previa y las grabaciones se realicen por las personas competentes para hacer-
lo en situaciones “excepcionales”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/9
Las cámaras instaladas se deben limitar a la finalidad perseguida con las mis-
mas, debiendo ser informados los representantes legales de los empleados públicos
de tales aspectos, así como contar con la correspondiente cartelería que informe que
se trata de una zona video-vigilada.
La Agencia Española de Protección de Datos, hace alusión a cómo deben tra-
tarse y captarse las imágenes de las cámaras de seguridad en su guía sobre videovigi-
lancia, recalcando que debe existir una relación de proporcionalidad entre la finalidad
perseguida (en este caso la seguridad) y el modo en el que se capten y se traten los
datos.
El acceso a las grabaciones de las cámaras de seguridad solo está permitido al
titular de la empresa, la empresa de seguridad contratada o el personal encargado a
tal efecto, según lo estipulado en la LOPDGDD.
Los equipos de vigilancia en el trabajo y salas de visionado y almacenamiento
de imágenes deberán estar situadas en habitaciones de acceso restringido a personal
autorizado.
La grabación de las conversaciones de los empleados públicos puede suponer
una vulneración del art. 5.1 c) RGPD, al ser excesiva la obtención de las conversacio-
nes privadas de los mismos, sin perjuicio de la afectación a la intimidad de estos en
sus conversaciones cualquiera que sea la naturaleza o contexto de las mismas.
Las cámaras deben ceñirse a su función protección de la seguridad de acceso
a las dependencias municipales, sin que las mismas puedan estar orientadas de ma-
nera permanente a sus puestos de trabajo (vgr. monitor del ordenador), ni permitir la
grabación mediante audio de las conversaciones privadas de los mismos de los em-
pleados en labores auxiliares de entrada y registro documental.
Los carteles instalados denotan que los mismos están incompletos en cuanto a
la información requerida, lo que supone una afectación al art.-13 RGPD.
Informar sobre la videovigilancia según RGPD es una obligación recogida en
este marco legislativo.
Se debe disponer de un dispositivo informativo en zona visible (vgr. puerta de
acceso) indicando que se trata de una zona video-vigilada, en el mismo se deberá indi-
car:
la existencia del tratamiento.
la identidad del responsable.
posibilidad de ejercitar los derechos previstos en los artículos 15 a 22
del Reglamento (UE) 2016/679.
La imagen de una persona en la medida que identifique o pueda identificar a la
misma constituye un dato de carácter personal, que puede ser objeto de tratamiento
para diversas finalidades.
El artículo 22 apartado 4º de la LOPDGDD dispone lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/9
“El deber de información previsto en el artículo 12 del Reglamento (UE)
2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo
en lugar suficientemente visible identificando, al menos, la existencia del tratamiento,
la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los
artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispo-
sitivo informativo un código de conexión o dirección de internet a esta información
(…)”.
III
De conformidad con las pruebas de las que se dispone en el presente procedimiento
sancionador, se considera que la parte reclamada ha procedido a instalar un sistema
de cámaras de video-vigilancia, que están provistas de “audio”, careciendo el mismo
de distintivos informativos debidamente homologados a la normativa en vigor.
Las pruebas documentales aportadas permiten constatar las “irregularidades”
del cartel en la zona de acceso, así como la presencia de una web-cam constata la
presencia de un dispositivo en el mostrador de la recepción con posibilidad de audio
(video) sin que se haya informado al respecto sobre la finalidad (es) del mismo.
Se recuerda que cualquier medida de control laboral debe ser puesta en
conocimiento de los representante legales del conjunto de empleados públicos del
ente citado, debiendo ser conocedores de la finalidad (es) de las imágenes que se
obtengan con el mismo, ponderando en todo caso la preservación de la intimidad de
las conversaciones que pudieran tener lugar en horario de trabajo sin más
consideraciones adicionales.
Los hechos conocidos son constitutivos de una infracción, imputable a la parte
reclamada, por vulneración del contenido de los artículos 5.1 c) y 13 RGPD, anterior-
mente descritos.
IV
Los hechos descritos suponen una infracción (es) administrativas tipificadas en el
artículo 83.5 letras a) y b) RGPD.
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándo-
se de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de
negocio total anual global del ejercicio financiero anterior, optándose por la de mayor
cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9;
b) los derechos de los interesados a tenor de los artículos 12 a 22;
V
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/9
Sin perjuicio de lo establecido en el artículo 83 del RGPD, el citado Reglamento dispo-
ne en su art. 58.2 b) lo siguiente:
“2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos in-
dicados a continuación:
(…)
b) dirigir a todo responsable o encargado del tratamiento un apercibimiento
cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente
Reglamento;”
Asimismo, el artículo 77 de la LOPDGDD dispone lo siguiente:
“Régimen aplicable a determinadas categorías de responsables o encargados del tra-
tamiento.
1. El régimen establecido en este artículo será de aplicación a los tratamientos de los
que sean responsables o encargados:
a) Los órganos constitucionales o con relevancia constitucional y las instituciones de
las comunidades autónomas análogas a los mismos.
b) Los órganos jurisdiccionales.
c) La Administración General del Estado, las Administraciones de las comunidades au-
tónomas y las entidades que integran la Administración Local.
d) Los organismos públicos y entidades de Derecho público vinculadas o dependientes
de las Administraciones Públicas.
e) Las autoridades administrativas independientes.
f) El Banco de España. g) Las corporaciones de Derecho público cuando las finalida-
des del tratamiento se relacionen con el ejercicio de potestades de derecho público.
h) Las fundaciones del sector público.
i) Las Universidades Públicas.
j) Los consorcios.
k) Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas
autonómicas, así como los grupos políticos de las Corporaciones Locales.
2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen
alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgáni-
ca, la autoridad de protección de datos que resulte competente dictará resolución san-
cionando a las mismas con apercibimiento. La resolución establecerá asimismo las
medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la
infracción que se hubiese cometido.
La resolución se notificará al responsable o encargado del tratamiento, al órgano del
que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición
de interesado, en su caso.
3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de
datos propondrá también la iniciación de actuaciones disciplinarias cuando existan in-
dicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar
serán las establecidas en la legislación sobre régimen disciplinario o sancionador que
resulte de aplicación.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/9
Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se
acredite la existencia de informes técnicos o recomendaciones para el tratamiento que
no hubieran sido debidamente atendidos, en la resolución en la que se imponga la
sanción se incluirá una amonestación con denominación del cargo responsable y se
ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda.
4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que
recaigan en relación con las medidas y actuaciones a que se refieren los apartados
anteriores.
5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas
de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas
al amparo de este artículo.
6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos,
esta publicará en su página web con la debida separación las resoluciones referidas a
las entidades del apartado 1 de este artículo, con expresa indicación de la identidad
del responsable o encargado del tratamiento que hubiera cometido la infracción.
Cuando la competencia corresponda a una autoridad autonómica de protección de da-
tos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su
normativa específica.”
De conformidad con el art. 58.2 d) RGPD la parte reclamada deberá aclarar
todo lo relacionado con el sistema instalado, así como acreditar documentalmente (vgr.
fotografía fecha y hora) que dispone de distintivo (s) informativo homologado a la nor-
mativa en vigor, sin perjuicio de las alegaciones que estime necesario realizar, como
medidas adoptadas para informar a los representantes legales de los empleados (as)
del Ayuntamiento o a los mismos sobre el sistema de video-vigilancia instalado.
Se recuerda que este organismo puede desplazarse al lugar de los hechos a
efectos de realizar las indagaciones que estime precisas, pudiendo exigir el cumpli-
miento de las medidas ampliamente indicadas en aras de la protección de la legalidad
vigente.
El resto de cuestiones exceden del marco competencial de esta Agencia, ciñén-
dose la presente Resolución a las cuestiones acreditadas en el marco de la protección
de datos.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de gradua-
ción de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a AYUNTAMIENTO DE ***LOCALIDAD.1, con CIF P4626100D,
por una infracción del Artículo 5.1.c) del RGPD y 13 RGPD, tipificada en el Artículo
83.5 a) y b) del RGPD, una sanción de APERCIBIMIENTO.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/9
SEGUNDO: ORDENAR a la entidad reclamada AYUNTAMIENTO DE ***LOCALI-
DAD.1 para que en el plazo de un mes desde la notificación del presente acto proce-
da:
-Colocar distintivo informativo debidamente homologados al actual RGPD en
los principales accesos del Ayuntamiento.
-Informe al conjunto de empleados (as) públicas de las medidas adoptadas en
particular las relacionadas con la finalidad (es) del tratamiento.
-Acredite la reorientación de la cámara de entrada de manera que la misma se
ciña a la función de seguridad de la Casa consistorial, evitando captar la zona de tra-
bajo de los empleados (as) de manera exclusiva, desactivando en su caso la opción
de audio del mismo.
TERCERO: NOTIFICAR la presente resolución a la entidad denunciada AYUNTA-
MIENTO DE ***LOCALIDAD.1.
CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de
conformidad con lo establecido en el artículo 77.5 de la LOPDGDD.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los inte-
resados podrán interponer, potestativamente, recurso de reposición ante la Directora
de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde
el día siguiente a la notificación de esta resolución o directamente recurso contencioso
administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional,
con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicio-
nal cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-
administrativa, en el plazo de dos meses a contar desde el día siguiente a la notifica-
ción de este acto, según lo previsto en el artículo 46.1 de la referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el interesa-
do manifiesta su intención de interponer recurso contencioso-administrativo. De ser
éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito
dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Re-
gistro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a
través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
que acredite la interposición efectiva del recurso contencioso-administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contencioso-adminis-
trativo en el plazo de dos meses desde el día siguiente a la notificación de la presente
resolución, daría por finalizada la suspensión cautelar.
938-131120
Mar España Martí
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/9
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es