Resolución de la Agencia Española de Protección de Datos PS-00341-2018 de 22 de julio de 2019

Cuestión

1 / 9

938-0419

Procedimiento Nº: PS/00341/2018

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a

los siguientes

ANTECEDENTES

PRIMERO : Con fechas 17/05/2018 se reciben DOS RECLAMACIONES de dos miembros

de la...

Contestacion

1/9

938-0419

Procedimiento Nº: PS/00341/2018

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a

los siguientes

ANTECEDENTES

PRIMERO: Con fechas 17/05/2018 se reciben DOS RECLAMACIONES de dos miembros

de la Ertzaintza cuyos datos figuran en el ANEXO GENERAL por presunta infracción de la

normativa de protección de datos frente al GIMNASIO METROPOLITAN de c/ Masustegui

25 en Bilbao, por tener una cámara de videovigilancia en la fachada de su establecimiento

que capta no solo la puerta de acceso, sino de forma desproporcionada la vía pública, y las

imágenes así obtenidas han sido cedidas a la unidad de asuntos internos que a su vez lo

cede al instructor de un expediente disciplinario. Añaden que, con motivo de una queja de un

ciudadano, la unidad de asuntos internos observó que existía dicha cámara y sin ?orden

judicial? ni ?hecho delictivo envió un escrito solicitando la imagen? a la directora del

Gimnasio.

Adjuntan:

- copia del escrito de petición de las imágenes por el Servicio de Asuntos Internos de la

Ertzaintza de 11/11/2016 en el que indica que es un servicio policial entre cuyas funciones

se encuentra la de dirigir, coordinar y desarrollar investigaciones respecto la conducta

profesional de las personas funcionarias de la Ertzaintza para potenciar aquellas

susceptibles de reconocimiento y prevenir las contrarias a la ley o ética profesional. Se

precisa la fecha y hora de las imágenes que se solicita por una posible actuación por parte

de tres agentes que al parecer pudo ser recogida por las cámaras existentes en ese

gimnasio, de c/ Masustegui 25 en Bilbao.

-copia de entrega de las imágenes firmada por parte de representante del gimnasio a

15/11/2016. Se indica que el contenido entregado por la directora del gimnasio es un

pendrive con dos archivos de video separados.

-copia de una fotografía de una cámara de videovigilancia, situada en fachada exterior

enfocando todo el lateral de la acera. Indica que sus datos se hallan en una imagen del

video, aportando una foto en anexo III que se produce en la vía pública sobre las 17:50

horas del 28/10/2016. La imagen permite visualizar la totalidad de la anchura de la acera no

solo en la puerta del gimnasio sino el lateral más de 20 metros cogiendo la totalidad de la

acera de más de tres metros de anchura, y la totalidad de los dos sentidos de circulación.

Sobre la acera aparecen cuatro personas, indicando los denunciantes que dos son ellos,

permanecen con otras personas sobre la acera.

SEGUNDO: Las reclamaciones de reclamantes 1 y 2 (R1 y R2 en lo sucesivo) fueron

trasladadas, la R2 se envió copia de la denuncia íntegra el 5/07/2018 para que la reclamada

conociera todos sus elementos. En el envío se contiene el literal:

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

?Se ha recibido en esta Agencia una comunicación en la que se pone de manifiesto

la existencia de una instalación de videovigilancia de su titularidad, que presenta algunas

deficiencias en el cumplimiento de los requisitos previstos en la normativa de protección de

datos, los cuales pueden ser consultados en el sitio web www.aepd.es, a través del apartado

Áreas de actuación (videovigilancia).

Para que por la Agencia puedan valorarse las acciones llevadas a cabo por usted

para la adecuación del sistema a los citados requisitos, le requiero que, en el plazo máximo

de un mes desde la recepción de la presente notificación, remita a esta Agencia

documentación detallada que pueda acreditar que la citada instalación es conforme a la

normativa de protección de datos y que, en particular, está debidamente señalizada y se ha

limitado la captación de imágenes de terrenos y viviendas colindantes o de cualquier otro

espacio ajeno, aportando para ello documentos gráficos recientes debidamente fechados. ?

TERCERO: A R 1, la AEPD le comunica en escrito de 20/06/2018 la recepción de su

reclamación y que ha requerido al ?reclamado para que en el plazo de un mes informe a la

Agencia de las acciones llevadas a cabo para la adecuación de la instalación de

videovigilancia afectada a los requisitos previstos en la normativa de protección de datos.?

La misma información se proporciona a R2.

CUARTO: La reclamada respecto del traslado de la reclamación de R 1, indica el 4/07/2018,

que al no identificarse la sede sobre la que trata la reclamación, se debe proporcionar dicha

información, pues tienen 22 y se gestionan de forma independiente.

Con fecha 20/07/2018, la reclamada indica que recibieron petición de información

sobre R1 sobre sistema de videovigilancia el 22/06/2018, pero que no han identificado la

sede del gimnasio y habiendo enviado a la sede electrónica aclaración de a qué sede se

refiere la petición sin haberse contestado, envía los de la sede de Bilbao porque ?hoy así se

nos ha informado?. Envía fotografías de la sede de Bilbao Begoña, apreciándose:

- CAM 1-1 ?fachada club? situada en la fachada y que colocada junto a un cartel

aparece enfocando sobre la vía pública, acera, correspondiéndose con la que ha sido objeto

de denuncia. No aporta las imágenes que resultan de dicha cámara, si bien.

También aporta imágenes del gimnasio de otra dirección denominado ISOZAKI que

cuenta con 16 cámaras, destacando

CAMARAS (recepción) 7 entrada parking, y 13 salida garaje en las que se visiona de

forma excesiva la vía pública, pudiéndose ver en la primera cualquier persona que atraviese

el espacio de entrada al estar las puertas abiertas, y en la 10 igual, con la anchura de la

acera total.

Aunque aporta croquis con las cámaras, en ninguna de ellas figura el número

asignado

QUINTO: La reclamada, con fecha 27/07/2018, respecto a R2 indica que la directora del

gimnasio entregó el pendrive con copia de una grabación cuya petición se recibió por

escrito, ?pues se intenta colaborar con las fuerzas y cuerpos de seguridad en aras a lo que

se pretende en su función pública, protección de bienes y personas y seguridad?. Añade que

?la entrega de las grabaciones para discernir la responsabilidad de unos agentes en unos

actos denunciados por un ciudadano es motivo suficiente para acatar dicha solicitud?.

Además, ?según el nuevo RGPD están obligados a facilitar dichas imágenes a las Fuerzas y

Cuerpos de Seguridad del Estado sin necesidad de autorización del afectado.?

3/9

Indica que la grabación procede de una cámara instalada en el exterior del Club, en

la fachada de un hotel-antes HOLIDAY INN, actualmente Barceló- que graba los accesos al

Club, pero no ?gran parte de la vía pública ?como se manifiesta. Detallan que en la grabación

que se aporta en la reclamación, se puede ver una inclinación superior a la actual que ya ha

sido corregida y reconocen que si recogía imágenes de la acera, pero que respondía en

aquellos momentos a una solicitud de dirección de la anterior cadena hotelera HOLIDAY INN

por motivos de graves desperfectos que se producían con cierta asiduidad en la fachada o

con motivo de huelgas de su personal, ?situación que no se ha terminado hasta el mes de

junio 2018 cuando se ha llegado a un acuerdo con todas las partes?. En la actualidad la

cámara ha sido posicionada de modo que se ajusta a la entrada del Club.

Adjunta documento 1 y 2, en el 1 se visualiza la cámara en la fachada con un ángulo

de orientación más cerrado, y en la 2, la imagen, que, por el lugar en el que está instalada

enfoca hacia la puerta, siendo distinta la superficie de espacio de las imágenes que

aportaron los denunciantes que recogía más espacio de la vía publica la totalidad la parte

más adelante de la acera.

Acompaña fotos de la cámara de la fachada METROPOLITAN Begoña CAM I-1

entrada club calle.

Aportan documentos 3 a 6 que consisten en fotografías en las que, según la

reclamada, por los incidentes producidos, motivaron que se ampliara el ángulo de grabación

de las cámaras con carácter disuasorio, viéndose en las imágenes piedras en el suelo.

Remiten los enlaces que conducen a informaciones de prensa sobre los hechos que

motivaron el posicionamiento de la cámara de seguridad de la fachada en aquella época,

tratándose de links de noticias de los años 2013 a marzo 2017, el ultimo.

SEXTO: En relación con R2, se envió el 29/08/2018 a la reclamada escrito sobre solicitud de

información adicional indicando:

?En relación al escrito remitido en respuesta a la solicitud de información realizada

por esta Agencia, se le informa que hay determinados aspectos que es necesario aclarar.

Por este motivo, en el plazo de diez días hábiles desde la notificación de la

presente solicitud, deberá complementar la documentación inicialmente remitida aportando

la siguiente información:

- Fotografías de las imágenes registradas por cada una de las doce cámaras

interiores instaladas en el gimnasio Metropolitan Begoña tal y como se muestran en el

sistema de monitorización.

La denunciada responde el 13/09/2018, 9: 42, (3683-2018) sobre R2 aportando

varias fotografías.

En otro escrito de 13/09/2018, 9:48, figura una foto de una imagen del exterior en la

que figura 2018/09/05 que es obtenida con la cámara 1exterior adosada a la fachada objeto

de la denuncia, pudiéndose ver en exceso la vía pública, alcanzando toda la acera hasta la

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

mitad de la zona de aparcamiento de uso de motos. Dicha imagen es la misma que la del

escrito de 27/07/2018.

SÉPTIMO: Con fecha 5/11/2018 se comunica a R 1 la admisión a trámite de la reclamación.

OCTAVO: Con fecha 23/01/2019, se acordó por la directora de la AEPD el inicio de un

procedimiento sancionador a METROPOLITAN SPAIN SL por la infracción del artículo

5.1.c) del RGPD, tipificada en el artículo 83.5 del RGPD.

A los efectos previstos en el art. 64.2 b) de la LPACAP, en el acuerdo de inicio, la

sanción propuesta fue la de apercibimiento, prevista en el RGPD, artículo 58.2.b),

añadiendo también:

a) REQUERIR al reclamado el cumplimiento inmediato de las siguientes medidas:

- Reenfoque de la cámara 1 (gimnasio de Bilbao Begoña) exterior de manera de la

fachada que capte el menor espacio necesario para la finalidad de vigilancia.

- Reenfoque o cambio de posición de las cámaras 7 y 13 (gimnasio de Bilbao

ISOZAKI).

b)la incorporación al expediente sancionador, a efectos probatorios, de la reclamación

interpuesta por el reclamante y su documentación, los documentos obtenidos y generados

por la Subdirección General de Inspección de Datos durante la fase de investigaciones,

todos ellos parte del expediente.

NOVENO: Con fecha 8/02/2019 la denunciada manifiesta:

a) En sede Bilbao Begoña, han solucionado la cuestión satisfactoriamente, aportando

copia de la imagen que ahora se visiona, en la que no se ve la vía pública.

b) En la sede de ISOZAKI, han reajustado las cámaras que enfocaban desde el

parking hacia afuera, aportan foto de reducción de enfoque exclusivamente al

interior de la cámara 7 y copia de la imagen que ahora se visiona de la cámara 13

en la que no se ve vía pública.

DÉCIMO: Con fecha 13/05/2018 se emite propuesta de resolución, del tenor:

?Que por la directora de la Agencia Española de Protección de Datos se declare que

METROPOLITAN SPAIN, SL, con NIF B62936737, ha infringido el artículo 5.1.c) del RGPD,

tipificada en el Artículo 83.5 del RGPD, imponiendo una sanción de apercibimiento, de

acuerdo con el artículo 58.2. b del RGPD.?

Frente a la misma no se recibieron alegaciones

DÉCIMO PRIMER: De las actuaciones practicadas en el presente procedimiento, han

quedado acreditados los siguientes hechos probados:

1) La reclamada gestiona varios gimnasios entre los que se encuentran el de sede

Bilbao, c Masustegui 25, y el de la sede Bilbao ISOZAKI.

5/9

2) En el de sede Bilbao hay una cámara adosada a la fachada, cerca de la puerta de

acceso, junto a un cartel, que aparece enfocando sobre la vía pública, correspondiéndose

con la que ha sido objeto de la reclamación que se acreditó que en escrito de la reclamada

de 13/09/2018, 9:48, en la foto obtenida el 2018/09/05 se toma en exceso parte de la vía

pública, alcanzando toda la acera hasta la mitad de la zona de aparcamiento de uso de

motos. En alegaciones al acuerdo, le reclamada manifiesta que ha solventado la cuestión y

lo acredita con la foto de la imagen que se aporta, satisfaciendo el exceso de enfoque de la

vía pública.

3) En la sede Bilbao ISOZAKI, se verificó que al momento de la apertura de este

procedimiento existían dos cámaras que enfocaban en exceso a la vía pública, la cámara 7

y la 13, habiendo manifestado en alegaciones al acuerdo la reclamada, se han corregido los

excesos de recogida de parte de vía publica en la cámara 7 de sede ISOZAKI y corrigiendo

los enfoques de las otras dos cámaras, aportando fotos de dichas imágenes.

FUNDAMENTOS DE DERECHO

I

Es competente para resolver la Directora de la Agencia Española de Protección de

Datos, conforme a lo establecido en el apartado 2 del artículo 56 en relación con el apartado

1 f) del artículo 57, ambos del Reglamento (UE) 2016/679 del Parlamento Europeo y del

Consejo de 27/04/2016 relativo a la protección de las personas físicas en lo que respecta al

tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo,

RGPD); y en el artículo 47 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos

Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD).

II

En cuanto a la reclamación por la cesión de las imágenes por el gimnasio al servicio

de asuntos internos de la Policía, se debe indicar que constituye una cesión de datos a un

tercero, que precisa bien de amparo legal, bien figurar por la peticionaria asociada al

ejercicio de una obligación legal, que en este caso podría ser la denuncia de un ciudadano.

II

El artículo 5.1.c del RGPD, establece:

?Los datos personales serán:

?adecuados, pertinentes y limitados a lo necesario en relación con los fines para los

que son tratados («minimización de datos»);?

La reclamada tiene una serie de cámaras para la vigilancia de sus instalaciones,

elemento que se permite según el artículo el artículo 22 de la Ley Orgánica 3/2018, de 5/12,

de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo

LOPDGDD) indica:? Tratamientos con fines de videovigilancia

1. Las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento

de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar

la seguridad de las personas y bienes, así como de sus instalaciones.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

2. Solo podrán captarse imágenes de la vía pública en la medida en que resulte

imprescindible para la finalidad mencionada en el apartado anterior?

Como regla general, la captación de imágenes con fines de seguridad, de parte de la

vía pública debe realizarse por las Fuerzas y Cuerpos de Seguridad, ya que les corresponde

la prevención de hechos delictivos y la garantía de la seguridad en la citada vía pública, de

conformidad con lo regulado por Ley Orgánica 4/1997, de 4/08, y su Reglamento de

desarrollo. Esta regla admite alguna excepción ya que en algunas ocasiones, para la

protección de espacios privados, donde se hayan instalado cámaras en fachadas o en el

interior, puede ser necesario para garantizar la finalidad de seguridad la grabación de una

porción de la vía pública. Es decir, las cámaras y videocámaras instaladas con fines de

seguridad no podrán obtener imágenes de la vía pública salvo que resulte imprescindible

para dicho fin, o resulte imposible evitarlo por razón de la ubicación de aquéllas. Por lo tanto,

las cámaras podrían excepcionalmente captar una la porción mínimamente necesaria para

la finalidad de seguridad que se pretende.

Considerando que la expectativa de la instalación de una cámara que vigila la zona

de puerta de acceso al gimnasio o los espacios de entrada-salida de parking no es que

cualquier ciudadano que circule por los aledaños de la zona pueda ser captado por el mero

hecho de pasar por ahí, se considera que en el presente caso se captaba de forma excesiva

espacio de la vía pública de tres cámaras correspondientes dos sedes en Bilbao.

En el caso del gimnasio, sede Bilbao Begoña la cámara que se sitúa sobre la puerta

de entrada en un lateral, enfocaba y recogía imágenes excesivas sobre un lateral largo

además de la puerta de acceso, y en anchura de imagen abarcaba toda la acera. Las dos

cámaras de ISOZAKI mencionadas permitían visionar imágenes que hacían posible la

identificación de personas que pasaran por dicho espacio de vía pública pudiendo en ambos

casos reenfocar o readaptar las mismas para captar el espacio mínimo necesario,

circunstancia que ha cumplido la reclamada.

III

El artículo 83.5 a) del RGPD, considera que la infracción de ?los principios básicos

para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos

5, 6, 7 y 9? es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del

citado Reglamento, con multas administrativas de 20.000.000? como máximo o, tratándose

de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio

total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.

La LOPDGDD en su artículo 72 indica: ?Infracciones consideradas muy graves

1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se

consideran muy graves y prescribirán a los tres años las infracciones que supongan una

vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:

a) El tratamiento de datos personales vulnerando los principios y garantías establecidos

en el artículo 5 del Reglamento (UE) 2016/679.?

IV

7/9

En virtud de lo establecido en el artículo 58.2 RGPD, la Agencia Española de

Protección de Datos, en cuanto autoridad de control, dispone de un conjunto de poderes

correctivos, entre los que se encuentra la potestad para imponer multas, en el caso de que

concurra una infracción de los preceptos del RGPD.

?sancionar a todo responsable o encargado del tratamiento con apercibimiento

cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente

Reglamento? (art. 58.2 b) RGPD).

La sanción por imponer deberá graduarse de acuerdo con los criterios que establece

el artículo 83.2 del RGPD, y con el considerando 148 del propio RGPD, que dispone la

posibilidad de sancionar con apercibimiento en determinadas circunstancias.

En el presente caso, se ha tenido en cuenta para la aplicación del apercibimiento que

se trata de instalaciones de gimnasios que requieren seguridad y existe legitimación para la

instalación y recogida de imágenes, siendo excesos de lo que la norma permitiría, habiendo

sido corregidos

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de

graduación de las sanciones cuya existencia ha quedado acreditada,

la Directora de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a METROPOLITAN SPAIN, SL, con NIF B62936737, por una

infracción del Artículo 5 del RGPD, tipificada en el Artículo 83.5 del RGPD, una sanción de

apercibimiento.

SEGUNDO: NOTIFICAR la presente resolución a METROPOLITAN SPAIN, SL. con el

ANEXO GENERAL.

TERCERO: De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la

presente Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la

LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los

interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de

la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día

siguiente a la notificación de esta resolución o directamente recurso contencioso

administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con

arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta

de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa,

en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto,

según lo previsto en el artículo 46.1 de la referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se podrá

suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta

su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el

interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia

Española de Protección de Datos, presentándolo a través del Registro Electrónico de la

Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los

restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

También deberá trasladar a la Agencia la documentación que acredite la interposición

efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la

interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día

siguiente a la notificación de la presente resolución, daría por finalizada la suspensión

cautelar.

Mar España Martí

Directora de la Agencia Española de Protección de Datos

ANEXO GENERAL

RECLAMANTE 1

9/9

A.A.A.

RECLAMANTE 2

B.B.B.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es