Resolución de la Agencia Española de Protección de Datos PS-00068-2023 de 22 de noviembre de 2023

Cuestión

Expediente N.º: EXP202210658

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base

a los siguientes

ANTECEDENTES

PRIMERO : Dña. A.A.A. (*en lo sucesivo, la parte reclamante), con fecha 6 de octubre

de 2022, interpuso...

Contestacion

1/7

? Expediente N.º: EXP202210658

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base

a los siguientes

ANTECEDENTES

PRIMERO: Dña. A.A.A. (*en lo sucesivo, la parte reclamante), con fecha 6 de octubre

de 2022, interpuso reclamación ante la Agencia Española de Protección de Datos. La

reclamación se dirige contra la entidad PRODALVIN, S.L., con CIF B04337895 (en

adelante, la parte reclamada), por la instalación de un sistema de videovigilancia

ubicado en CALLE ***DIRECCIÓN.1 (Portal D del Edificio ***EDIFICIO.1)

***LOCALIDAD ALMERÍA, existiendo indicios de un posible incumplimiento de lo

dispuesto en la normativa de protección de datos de carácter personal.

Los motivos que fundamentan la reclamación son los siguientes:

La parte reclamante manifiesta que la parte reclamada es responsable de un sistema

de videovigilancia instalado en un edificio con varios portales, señalando que las

cámaras no se encuentran debidamente señalizadas dado que el cartel de zona

videovigilada instalado se encuentra en blanco, sin contar con información del

responsable del tratamiento y a qué dirección dirigirse para el ejercicio de derechos.

Señala asimismo que una de las cámaras instaladas en el interior del portal se

encuentra instalada de tal forma que es susceptible de captar imágenes de la vía

pública que transcurre junto al portal donde se ubica la cámara.

Aporta imágenes de la ubicación de una de las cámaras y del cartel de zona

videovigilada.

Los documentos aportados son: - Reportaje fotográfico

SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de

diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en

adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para

que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las

acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de

protección de datos.

El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de

1 de octubre, del Procedimiento Administrativo Común de las Administraciones

Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por

el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada

conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 09/12/2023, como consta

en el certificado que obra en el expediente.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

2/7

Aunque la notificación se practicó válidamente por medios electrónicos, dándose por

efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título

informativo se envió una copia por correo postal que fue devuelta por el Servicio de

Correos con la indicación de "dirección incorrecta", a pesar de ser la dirección que

aparece en el Registro Mercantil como domicilio social de la parte reclamada.

Al ser rechazada la notificación, no se ha recibido respuesta a este escrito de traslado.

TERCERO: Con fecha 6 de enero de 2023, de conformidad con el artículo 65 de la

LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante.

CUARTO: Con fecha 16 de marzo de 2023, la Directora de la Agencia Española de

Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,

por la presunta infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del

RGPD.

QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en

la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones

Públicas (en adelante, LPACAP) y transcurrido el plazo otorgado para la

formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna

por la parte reclamada.

El artículo 64.2.f) de la LPACAP -disposición de la que se informó a la parte reclamada

en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones

en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga

un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser

considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente

sancionador determinaba los hechos en los que se concretaba la imputación,

la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse.

Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones

al acuerdo de inicio del expediente y en atención a lo establecido en el artículo

64.2.f) de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso

propuesta de resolución.

SEXTO: Consultada la base de datos de esta Agencia consta, tras el doble intento fallido

de notificación, que el Acuerdo de Inicio fue objeto de publicación en el B.O.E de fecha***FECHA.1, indicando el número asociado PS/00068/2023.

A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos

en el presente procedimiento se consideran hechos probados los siguientes,

HECHOS PROBADOS

Primero. Los hechos traen causa de la reclamación de fecha 06/10/22 por medio de la

cual se traslada la presencia de un sistema de cámaras sin estar debidamente señalizado.

Segundo. Consta identificado como principal responsable la entidad Prodalvin S.L.

con CIF B04337895.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

3/7

Tercero. Consta acreditado que los carteles informativos no indican el responsable del

tratamiento, dirección efectiva para ejercitar los derechos en el marco de la normativa

en vigor o la finalidad del tratamiento.

Cuarto. Consta acreditado la presencia de un sistema de cámaras en el edificio, que

capta la zona de acceso al mismo.

FUNDAMENTOS DE DERECHO

I

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679

(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada

autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la

Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y

garantía de los derechos digitales (en adelante, LOPDGDD), es competente para

iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección

de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos

tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto

en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones

reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter

subsidiario, por las normas generales sobre los procedimientos administrativos."

II

La imagen es un dato personal

La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato

personal y su protección, por tanto, es objeto de dicho Reglamento. En el artículo 4.2

del RGPD se define el concepto de ?tratamiento? de datos personales.

Las imágenes generadas por un sistema de cámaras o videocámaras son datos de

carácter personal, por lo que su tratamiento está sujeto a la normativa de protección

de datos.

Es, por tanto, pertinente analizar si el tratamiento de datos personales (imagen de las

personas físicas) llevado a cabo a través del sistema de videovigilancia denunciado es

acorde con lo establecido en el RGPD.

III

En el presente caso, se procede a examinar la reclamación de fecha 06/10/22 por medio

de la cual se traslada lo siguiente:

?presencia de cámaras cuyos carteles están vacíos en su contenido esencial

no indicando el responsable del tratamiento (?)?

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

4/7

De las pruebas iniciales aportadas se ha constatado la presencia de cartel (s) informativo

que no están homologados a la actual normativa vigente en protección de datos.

Para adaptarse a las normativas vigentes, la AEPD publicó en su día el cartel obligatorio que ha de situarse en los espacios colectivos que estén sometidos a videovigilancia.

Este organismo, en un informe relacionado, estipula que no es necesario que los carteles

se sitúen justo debajo de las cámaras. Basta con hacerlo en un lugar visible y

que incluya los espacios abiertos y cerrados donde el circuito de videocámaras esté

operativo.

El artículo 22 apartado 4º de la LOPDGDD dispone: ?El deber de información previsto

en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la

colocación de un dispositivo informativo en lugar suficientemente visible identificando

, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad

de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE)

2016/679. También podrá incluirse en el dispositivo informativo un código de conexión

o dirección de internet a esta información?.

Los hechos anteriormente descritos suponen una afectación al contenido del artículo

13 RGPD, al carecer de cartel (es) informativos con una dirección efectiva a la que poder

en su caso dirigirse o indicar en su caso el responsable principal del tratamiento de

los datos.

El artículo 13 RGPD ?Información que deberá facilitarse cuando los datos personales

se obtengan del interesado?

1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable

del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información

indicada a continuación: a) la identidad y los datos de contacto del responsable

y, en su caso, de su representante; b) los datos de contacto del delegado de protección

de datos, en su caso; c) los fines del tratamiento a que se destinan los datos personales

y la base jurídica del tratamiento (?).

El artículo 72 apartado 1º de la LOPDGDD (LO 3/2018, 5 diciembre) en relación al plazo

de prescripción de las infracciones muy graves ?prescribirán a los tres años? y en

particular las siguientes:

h) La omisión del deber de informar al afectado acerca del tratamiento de sus

datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento

(UE) 2016/679 y 12 de esta ley orgánica.

IV

De conformidad con las pruebas aportadas de las que se dispone en el presente

procedimiento sancionador, se considera que los hechos expuestos vulneran lo

establecido en el artículo 13 del RGPD, por lo que suponen la comisión de una

infracción tipificada en el artículo 83.5 del RGPD, que dispone lo siguiente:

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

[Link]

http://www.aepd.es/

5/7

?Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo

con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,

tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del

volumen de negocio total anual global del ejercicio financiero anterior, optándose por

la de mayor cuantía:

b) los derechos de los interesados a tenor de los artículos 12 a 22; (?)?.

V

En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y

los hechos que han dado lugar a la vulneración de la normativa de protección de datos

, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de

que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas

corresponda a la parte sancionada, pues es el responsable del tratamiento quien

conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva

y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD.

Se advierte que no atender la orden de adopción de medidas impuestas por este organismo

en la resolución sancionadora podrá ser considerado como una infracción administrativa

conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo

83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo

sancionador.

En la página web de esta Agencia www.aepd.es sección Guía Video-vigilancia

se encuentran expuestos los requisitos que deben cumplir los carteles informativos,

que deben informar de la presencia de cámaras de video-vigilancia.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación

de las sanciones cuya existencia ha quedado acreditada,

la Directora de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a la entidad PRODALVIN, S.L., con NIF B04337895, por una infracción

del Artículo 13 del RGPD, tipificada en el Artículo 83.5 b) del RGPD, una multa

de 500,00? (Quinientos euros).

SEGUNDO: ORDENAR a PRODALVIN, S.L., con NIF B04337895, que en virtud del

artículo 58.2.d) del RGPD, en el plazo de 15 días hábiles, acredite haber procedido al

cumplimiento de la siguiente medida:

-Colocación de cartelería informativa adaptada a la normativa en vigor, indicando

el responsable del tratamiento, modo de ejercitar los derechos y finalidad del tratamiento

de los mismos, debiendo aportar fotografía con fecha y hora de los carteles instalados.

TERCERO: NOTIFICAR la presente resolución a la entidad PRODALVIN, S.L..

CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso

potestativo de reposición (un mes a contar desde el día siguiente a la notifica-

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

6/7

ción de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte

al sancionado que deberá hacer efectiva la sanción impuesta una vez que la

presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)

de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones

Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido

en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto

939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre

, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento

que figura en el encabezamiento de este documento, en la cuenta restringida

nº IBAN: ES00 0000 0000 0000 0000 0000 (BIC/Código SWIFT: XXXXXXXXXXX),

abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancariaCAIXABANK, S.A. En caso contrario, se procederá a su recaudación en período

ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra

entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario

será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra

entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago

será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente

Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la

LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados

podrán interponer, potestativamente, recurso de reposición ante la Directora

de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde

el día siguiente a la notificación de esta resolución o directamente recurso contencioso

administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional,

con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional

cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa

, en el plazo de dos meses a contar desde el día siguiente a la notificación

de este acto, según lo previsto en el artículo 46.1 de la referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se

podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado

manifiesta su intención de interponer recurso contencioso-administrativo. De ser

éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito

dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro

Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a

través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley

39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación

que acredite la interposición efectiva del recurso contencioso-administrativo. Si la

Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo

en el plazo de dos meses desde el día siguiente a la notificación de la presente

resolución, daría por finalizada la suspensión cautelar.

938-250923

Mar España Martí

Directora de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

7/7

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es