Resolución de la Agencia Española de Protección de Datos PS-00389-2022 de 24 de abril de 2023

Cuestión

Expediente N.º: EXP202205820

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base

a los siguientes

ANTECEDENTES

PRIMERO : A.A.A. (en adelante, la parte reclamante) con fecha 18/05/2022 interpuso

reclamación...

Contestacion

1/23

? Expediente N.º: EXP202205820

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base

a los siguientes

ANTECEDENTES

PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 18/05/2022 interpuso

reclamación ante la Agencia Española de Protección de Datos. La reclamación se

dirige contra B.B.B. con NIF ***NIF.1 (en adelante, la parte reclamada). Los motivos

en que basa la reclamación son los siguientes:

La parte reclamante manifiesta que trabaja desde el año 2019 para una empresa de la

que es responsable la parte reclamada y que en el local en el que presta sus servicios

se encuentra instalada una cámara de videovigilancia asociada a una alarma, que se

utiliza como medio de control laboral de su puesto de trabajo, captando imágenes y

audio, sin haber sido informado previamente del tratamiento de sus datos vinculados a

dicha cámara.

Manifiesta que ha conocido la captación de audio por dicho sistema de videovigilancia

en fecha 24/03/2022, con ocasión de una conversación de whatsapp mantenida con la

parte reclamada, en la que ésta manifiesta que está escuchando a través de la

cámara.

Manifiesta, asimismo, que en los ordenadores del trabajo se encuentra instalada una

aplicación para el acceso remoto del ordenador por parte de la parte reclamada (?En

los ordenadores de la empresa, cuyo trabajo se encuentra en una carpeta compartida

para que podamos acceder ambos, tiene instalada una aplicación (?) para poder

acceder remotamente y tomar el control del ordenador que yo uso, cuando para dicho

fin podría conectarse al suyo?).

Aporta imágenes de la ubicación de la cámara, del programa de control remoto

instalado en el ordenador de la empresa (se trata de una imagen de la pantalla de un

ordenador en la que se muestra un mensaje de la aplicación de acceso remoto

indicada por la parte reclamante con el texto ?iPhone de? -nombre de la parte

reclamada- (***TELÉFONO.2) está conectado a tu ordenador?) y capturas de pantalla

de un dispositivo móvil en las que puede verse los mensajes de WhatsApp remitidos

por ?***GRUPO.1?. En estos mensajes se indica:

. ?***GRUPO.1?: ?Qué tienes puesto de fondo? Por qué no hay música??

. Tú: ?Y esto??

. ?***GRUPO.1?: ?Porque entré en la cámara y se escuchaban las noticias?

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

2/23

La información que la parte reclamante facilita sobre la parte reclamada incluye,

además del nombre y número de DNI, los datos siguientes:

. Página web: ?***URL.1?.

. Correo electrónico: ?***EMAIL.1?.

. Dirección postal: ?***DIRECCIÓN.1?.

SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de

diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en

adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada,

mediante escrito dirigido a ?***GRUPO.1?, a la dirección ?***DIRECCIÓN.1?, para que

procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las

acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de

protección de datos.

El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de

1 de octubre, del Procedimiento Administrativo Común de las Administraciones

Públicas (en adelante, LPACAP), fue entregado por el Servicio de Correos en fecha

31/05/2022, en la dirección indicada, y consta recibido por C.C.C., con DNI ***NIF.2,

según las indicaciones reseñadas en el acuse de recibo que obra en el expediente.

En este trámite se requería a la parte reclamada información sobre el sistema de

videovigilancia instalado en el local referido, detallando de forma específica si la

finalidad de este sistema es la de control laboral, y sobre la capación de audio por el

mismo, además de imagen; así como información sobre la instalación en los

ordenadores de la empresa de una aplicación para acceder remotamente y si este

acceso se realiza con finalidad de control laboral.

El plazo de un mes concedido para que la parte reclamada diese respuesta a la

reclamación transcurrió sin que en esta Agencia se recibiera escrito alguno.

TERCERO: Con fecha 19/07/2022, de conformidad con el artículo 65 de la LOPDGDD,

se admitió a trámite la reclamación presentada por la parte reclamante.

CUARTO: Con fecha 04/11/2022, la Directora de la Agencia Española de Protección

de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a

lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del

artículo 6 del Reglamento (UE) 2016/679 (Reglamento General de Protección de

Datos, en adelante RGPD), tipificada en el artículo 83.5.a) del citado Reglamento; y

calificada como muy grave a efectos de prescripción en el artículo 72.1.b) de la

LOPDGDD.

En el acuerdo de apertura se determinó que la sanción que pudiera corresponder,

atendidas las evidencias existentes en el momento de la apertura y sin perjuicio de lo

que resulte de la instrucción, ascendería a un total de 5.000 euros (cinco mil euros).

Asimismo, se advertía que la infracción imputada, de confirmarse, podrá conllevar la

imposición de medidas, según el artículo 58.2 d) del RGPD.

QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

3/23

la LPACAP, la parte reclamada presentó escrito de alegaciones en el que solicita que

se acuerde la nulidad del procedimiento o, subsidiariamente, que se retrotraigan las

actuaciones al trámite de solicitud de información.

Como fundamento de su petición, la parte reclamada niega que se le haya dado

traslado fehaciente de la reclamación que da origen al procedimiento, trámite al se

hace referencia en el Antecedente Segundo, señalando que ha tenido conocimiento de

dicha reclamación con la notificación del inicio del procedimiento sancionador.

Entiende que esta circunstancia infringe lo establecido en la LPACAP, en relación con

los trámites esenciales que deben sustanciarse en un procedimiento con el propósito

de evitar que el interesado sufra indefensión; y la exigencia de notificar el acto como

requisito necesario para su eficacia.

A este respecto, señala que las notificaciones que presenten deficiencias deben

reputarse infructuosas, provocan indefensión y conllevan la nulidad o anulabilidad del

acto que contienen por vulneración de los derechos fundamentales y por haber

prescindido de la totalidad del procedimiento.

Con este motivo, la parte reclamada solicitó copia íntegra del expediente; que se le

remitiera la solicitud de información que ?presuntamente? le fue notificada, de la que

trae causa el expediente; y copia del justificante de envío y recepción de dicha

notificación.

En este escrito de alegaciones la parte reclamada señala como domicilio a efectos de

notificaciones la dirección postal sita en ?***DIRECCIÓN.1?. Entre los datos

personales aportados, además de la dirección postal, se indica el número de línea

telefónica ?***TELÉFONO.1? y la dirección de correo electrónica ?***EMAIL.1?.

SEXTO: Mediante escrito de fecha 15/12/2022, que fue notificado el 19/12/2022, se

remitió a la parte reclamada copia de las actuaciones incorporadas al presente

procedimiento, que incluye el escrito de traslado de la reclamación dirigido a

?***GRUPO.1? que se menciona en el Antecedente Segundo y el justificante de su

entrega.

Con motivo de la remisión de la copia de las actuaciones se concedió a la parte

reclamada un nuevo plazo de diez días hábiles para que pudiera presentar

alegaciones a la apertura del procedimiento, aportar cuantos documentos estime

oportunos y formular propuesta de prueba.

Además, se advirtió sobre lo dispuesto en el artículo 53 ?Derechos del interesado en el

procedimiento administrativo? de la LPACAP, que reconoce a los interesados en el

procedimiento el derecho a conocer, en cualquier momento, el estado de la tramitación

y a formular alegaciones, utilizar los medios de defensa admitidos por el Ordenamiento

Jurídico, y a aportar documentos en cualquier fase del procedimiento anterior al

trámite de audiencia, los cuales deberán ser tenidos en cuenta al redactar la propuesta

de resolución.

Haciendo uso de este nuevo plazo concedido para formular alegaciones, con fecha

26/12/2022 se recibe escrito de la parte reclamada en el que solicita que se dicte

resolución acordando la nulidad del procedimiento sancionador o, subsidiariamente, la

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

4/23

retroacción del procedimiento al momento de la solicitud de información.

Reitera sus alegaciones anteriores, señalando que la documentación aportada prueba

que la solicitud de información en cuestión se dirigió a ?***GRUPO.1? y no a ?B.B.B.?.

Entiende la parte reclamada que esta notificación no puede reputarse como válida,

dado que ?***GRUPO.1? carece de capacidad jurídica y no puede ser interesada en el

procedimiento.

SÉPTIMO: Con fecha 05/01/2023, se acordó abrir período de pruebas con la práctica

de las siguientes:

1. Se declararon reproducidos a efectos probatorios la reclamación interpuesta por la

parte reclamante y su documentación, los documentos obtenidos y generados durante

la fase de admisión a trámite de la reclamación.

2. Asimismo, se tuvieron por presentadas las alegaciones al acuerdo de inicio del

procedimiento sancionador referenciado formuladas por la parte reclamada.

3. Se acordó incorporar a las actuaciones la información y/o documentación siguiente:

a) Resultado de la búsqueda realizada en internet con el buscador Google y el criterio

de búsqueda ?B.B.B.?.

La primera página de resultados de la búsqueda incluye enlaces, entre otros, a los

sitios web ?linkedin.com?, ?pinterest.es?, ?infojobs.net?, ?expansión.com? y

?eleconomista.es?.

En la información asociada al enlace a ?linkedin.com? que consta en esta página de

resultados se indica ?(?)?.

Se comprueba, asimismo, que la parte reclamada figura como empresario individual o

autónomo en los directorios de los sitios web ?expansión.com? y ?eleconomista.es?.

b) Información (perfil público) disponible sobre ?B.B.B.? en el sitio web ?linkedin.com?.

En el apartado ?Experiencia? se indica: ?(?)?.

c) Información (perfil público) disponible sobre ?B.B.B.? en el sitio web ?infojobs.net?.

En este perfil (?actualizado 2018?), la parte reclamada se presenta como ?(?)?.

d) Resultado de la búsqueda realizada en internet con el buscador Google y el criterio

de búsqueda ?***GRUPO.1?.

La primera página de resultados de la búsqueda incluye enlaces al sitio web

?***URL.1? y a los perfiles de ?***GRUPO.1? en las redes sociales ?Facebook? e

?Instagram?. En los datos que constan relativos a ?***GRUPO.1? figura la dirección

postal sita en ?***DIRECCIÓN.1? y el número de línea telefónica ?***TELÉFONO.2?.

e) Información disponible en el sitio web ?***URL.1?, apartado ?Contacto?.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

5/23

Como datos de contacto de ?***URL.1? se menciona una dirección postal

(?***DIRECCIÓN.1?), dos líneas de telefonía (?***TELÉFONO.1? y

?***TELÉFONO.2?) y una dirección de correo electrónico (?***EMAIL.1?).

f) Información disponible sobre ?***GRUPO.1? en el sitio web ?linkedin.com?.

Se presenta como una empresa de ?(?)?, e incluye información sobre su sitio web

(?***URL.1?), sede (?***PROVINCIA.1?), tipo (?Empresa propia?), ubicación principal

(?***DIRECCIÓN.1?) y empleados (?B.B.B., (?) en ***GRUPO.1?). Incluye mensajes

insertados por la persona citada con el texto ?busco personal?.

OCTAVO: Con fecha 06/02/2023 se formuló propuesta de resolución en el sentido

siguiente:

1. Que se sancione a la parte reclamada, por una infracción del artículo 6 del RGPD,

tipificada en el Artículo 83.5.a) del RGPD, y calificada como muy grave a efectos de

prescripción en el artículo 72.1.b) de la LOPDGDD, con una multa de 5.000 euros

(cinco mil euros).

2. Que se requiera a la parte reclamada para que, en el plazo que se determine,

adopte las medidas necesarias para adecuar su actuación a la normativa de

protección de datos personales, con el alcance expresado en el Fundamento de

Derecho VIII de la propuesta de resolución.

NOVENO: La propuesta de resolución reseñada en el Antecedente Octavo fue

notificada a la parte reclamada en fecha 07/02/2023, concediéndosele plazo para

formular alegaciones.

Con fecha 16/02/2023, se recibió escrito de alegaciones a la propuesta de resolución

en el que la parte reclamada solicita nuevamente que se declare la nulidad de las

actuaciones o, de forma subsidiaria, se acuerde la retroacción de actuaciones a la fase

de admisión a trámite de la reclamación, al momento del traslado de la reclamación al

responsable, o bien se decrete el archivo del procedimiento. En este escrito se pone

de manifiesto lo siguiente:

1. En relación con la nulidad de las actuaciones, reitera de forma casi literal sus

alegaciones anteriores al respecto y añade que la propuesta de resolución reconoce

que el trámite de traslado de la reclamación se dirigió a ?***GRUPO.1? y no a

?B.B.B.?.

2. Se vulnera el principio de tipicidad, por cuanto es falso que el sistema de

videovigilancia recoja y almacene datos personales relativos a la voz de empleados y

terceros, concluida en la propuesta de resolución a partir de un mensaje de Whatsapp

aportado por la parte reclamante, en base a lo cual entiende vulnerado el principio de

presunción de inocencia.

Y añade:

?Dicho esto, es rotundamente falso que tenga en mi local ningún sistema de videovigilancia que

pueda recoger y almacenar datos relativos a la voz de empleados y terceros, puesto que en

relación con la escucha de audios lo único que tengo contratado son alarmas o sistemas de

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

6/23

alertas que incorporan micrófonos que permiten escuchar audio, pero no grabar o registrar

estos audios, todo ello a efectos de poder verificar cualquier incidencia?

Por todo ello, si mi sistema de videovigilancia lo único que tiene contratado en relación con la

escucha de audios son alarmas o sistemas de alertas que incorporan micrófonos que permiten

escuchar audio, pero no grabar o registrar estos audios, no estaría cometiendo la infracción

que se me imputa?.

Como documento acreditativo de sus manifestaciones, dice aportar el contrato suscrito

con una empresa de seguridad. Sin embargo, se trata de un documento sin firmar y en

el que ni siquiera constan los datos de la parte reclamada como cliente de la compañía

que se cita.

3. Considerando que los hechos no son ciertos, la sanción propuesta es contraria al

principio de proporcionalidad, al no guardar relación con las circunstancias objetivas y

subjetivas concurrentes, ni atiende a la gravedad y transcendencia del hecho, los

antecedentes del infractor y su condición de reincidente, o la intencionalidad y los

perjuicios causados.

4. Se vulneran los principios de presunción de inocencia e ?indubio pro reo? al

fundamentar la sanción en las capturas de pantalla aportadas por la parte reclamante,

relativas a una conversación supuestamente mantenida con la parte reclamada, cosa

que niega. Así, considera que procede aplicar lo dispuesto en el artículo 89.1.b) de la

LPACAP, que ordena archivar las actuaciones cuando los hechos no estén

acreditados

Según la parte reclamada, en el presente procedimiento no se han incorporado al

expediente los elementos de prueba adecuados para la correcta y completa

determinación de los hechos y de las personas responsables de los mismos,

limitándose a realizar una afirmación genérica de culpabilidad en relación a unos

hechos que no han sido cometidos por el imputado en la forma y extensión que se

presumen, sin pruebas adecuadas, realizados por el sujeto pasivo del expediente. Y

advierte que la carga de la prueba corresponde a la Administración actuante.

Termina señalando que en el supuesto de que en la valoración de las pruebas

existiera la más mínima sombra de duda razonable sobre la culpabilidad imputada por

divergencia entre ellas, como en el presente caso ocurre, sería plenamente aplicable

el principio general ?in dubio pro reo?, que -como norma de interpretación de

naturaleza procesal- determina que en caso de duda se resuelva el expediente

sancionador en el sentido más favorable para el presunto infractor.

De las actuaciones practicadas en el presente procedimiento y de la documentación

obrante en el expediente, han quedado acreditados los siguientes:

HECHOS PROBADOS

1. La parte reclamada desarrolla su actividad económica como empresario individual,

bajo la marca comercial ?***GRUPO.1?, con domicilio profesional en

?***DIRECCIÓN.1?.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

7/23

2. El local comercial sito en ?***DIRECCIÓN.1? dispone de un sistema de

videovigilancia, del que es responsable la parte reclamada.

3. La parte reclamante ha manifestado que presta servicios como empleada de la

parte reclamada en el local sito en la dirección postal reseñada en los Hechos

Probados Primero y Segundo.

4. La parte reclamante manifestó que el sistema de videovigilancia reseñado en el

Hecho Probado Segundo dispone de captación de sonido, además de captación de

imagen.

A este respecto, la parte reclamante aportó a las actuaciones capturas de pantalla de

un dispositivo móvil en las que puede verse mensajes de WhatsApp que le fueron

remitidos por la parte reclamada (?***GRUPO.1?). En estos mensajes se indica:

. ?***GRUPO.1?: ?Qué tienes puesto de fondo? Por qué no hay música??

. Tú: ?Y esto??

. ?***GRUPO.1?: ?Porque entré en la cámara y se escuchaban las noticias?

FUNDAMENTOS DE DERECHO

I

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679

(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada

autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la

Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y

garantía de los derechos digitales (en adelante, LOPDGDD), es competente para

iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección

de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: ?Los procedimientos

tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto

en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones

reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter

subsidiario, por las normas generales sobre los procedimientos administrativos?.

II

Cuestiones formales

Con carácter previo, se estima oportuno analizar las cuestiones formales suscitadas

por la parte reclamada en sus escritos de alegaciones, tanto a la apertura del

procedimiento como en relación con la propuesta de resolución.

Considera que el procedimiento está viciado de nulidad al no habérsele dado traslado

fehaciente de la reclamación en la que tiene origen, de la que tuvo conocimiento con la

notificación del acuerdo de inicio, infringiendo lo establecido en la LPACAP, en

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

8/23

relación con los trámites esenciales que deben sustanciarse en un procedimiento para

evitar que el interesado sufra indefensión; y la exigencia de notificar el acto como

requisito necesario para su eficacia.

Se refiere la parte reclamada, en concreto, al trámite de traslado de la reclamación que

consta reseñado en el Antecedente Segundo, que no se dirigió a ?B.B.B.?, sino a

?***GRUPO.1?, que carece de capacidad jurídica y no puede ser interesada en el

procedimiento.

A este respecto, entiende esta Agencia que la parte reclamada ha visto respetadas

todas las garantías del interesado que prevé la normativa procesal y no puede decirse

que la incidencia señalada en relación con el trámite de traslado de la reclamación

suponga ninguna merma de dichas garantías causante de indefensión.

La indicada notificación de traslado de la reclamación al responsable a la que se

refiere la parte reclamada en sus alegaciones tiene que ver con el proceso de

admisión a trámite de las reclamaciones recibidas, previo al acuerdo de admisión de

dichas reclamaciones.

De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de

Protección de Datos es competente para desempeñar las funciones que se le asignan

en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la

sensibilización de los responsables y los encargados del tratamiento acerca de las

obligaciones que les incumben, así como tratar las reclamaciones presentadas por un

interesado e investigar el motivo de las mismas.

Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables

y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en

el desempeño de sus funciones. Para el caso de que éstos hayan designado un

delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de

cooperar con dicha autoridad.

Del mismo modo, el ordenamiento jurídico interno, en el artículo 65.4 de la LOPDGDD,

ha previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se

formulen ante la Agencia Española de Protección de Datos, que consiste en dar

traslado de las mismas a los delegados de protección de datos designados por los

responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de

la citada norma, o a éstos cuando no los hubieren designado, para que procedan al

análisis de dichas reclamaciones y a darles respuesta en el plazo de un mes. En este

artículo 65.4 de la LOPDGDD, que regula la ?Admisión a trámite de las

reclamaciones?, establece lo siguiente:

?4. Antes de resolver sobre la admisión a trámite de la reclamación, la Agencia Española de

Protección de Datos podrá remitir la misma al delegado de protección de datos que hubiera, en

su caso, designado el responsable o encargado del tratamiento o al organismo de supervisión

establecido para la aplicación de los códigos de conducta a los efectos previstos en los

artículos 37 y 38.2 de esta ley orgánica.

La Agencia Española de Protección de Datos podrá igualmente remitir la reclamación al

responsable o encargado del tratamiento cuando no se hubiera designado un delegado de

protección de datos ni estuviera adherido a mecanismos de resolución extrajudicial de

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

9/23

conflictos, en cuyo caso el responsable o encargado deberá dar respuesta a la reclamación en

el plazo de un mes?.

Según esta normativa, con carácter previo a la admisión a trámite de la reclamación

que da lugar al presente procedimiento, se dio traslado de la misma al responsable (la

parte reclamada) para que procediese a su análisis, diera respuesta a esta Agencia en

el plazo de un mes y acreditara haber facilitado a la parte reclamante la respuesta

debida.

El resultado de dicho traslado no fue satisfactorio, por lo que, a los efectos previstos

en su artículo 64.2 de la LOPDGDD, se acordó admitir a trámite la reclamación

presentada mediante acuerdo que fue debidamente notificados a la parte reclamante,

y no a la parte reclamada, conforme a lo establecido en el artículo 65.5 de la

LOPDGDD.

Este trámite previo a la admisión de la reclamación, según el artículo 65.4 de la

LOPDGDD antes transcrito, se trata de un trámite potestativo, de modo que se

formaliza solo si esta Agencia así lo estima, sin que puede atribuirse ninguna

consecuencia jurídica al hecho de que este trámite no se lleve a cabo o en caso de

que, una vez intentado, no se hubiese podido realizar efectivamente; ni ello impide que

la reclamación pueda admitirse a trámite y darle el curso procedente. Tampoco estas

circunstancias tienen incidencia alguna en la validez del posible procedimiento

sancionador que pudiera iniciarse con posterioridad.

En este caso, además, la notificación del trámite de traslado, según se detalla en los

antecedentes de este acto, se produjo de manera válida y fehaciente en el domicilio en

el que la parte reclamada desarrolla su actividad, el mismo señalado por dicha parte

como domicilio a efectos de notificaciones. El escrito en cuestión fue entregado en esa

dirección por el Servicio de Correos en fecha 31/05/2022.

Es cierto, según se ha señalado, que la notificación se dirigió a ?***GRUPO.1? y no a

?B.B.B.?. Sin embargo, en las actuaciones ha quedado acreditado que la parte

reclamada opera bajo la marca comercial ?***GRUPO.1?. La propia parte reclamada

se presenta en sus perfiles públicos accesibles en los sitios web ?linkedin.com? e

?infojobs.net? como ?(?) ***GRUPO.1? desde septiembre de 2016.

También, en su escrito de alegaciones a la apertura del procedimiento, señala la parte

reclamada como datos de contacto, además de la dirección postal a la que se dirigió el

trámite de traslado, la dirección de correo electrónica ?***EMAIL.1?. Ambas

direcciones, postal y electrónica, figuran igualmente como datos de contacto en el sitio

web ?***URL.1?.

A pesar de ello, el plazo de un mes concedido a la parte reclamada para informar

sobre las cuestiones suscitadas por la reclamación y atender la misma transcurrió sin

que en esta Agencia se recibiera respuesta alguna.

La parte reclamada, en sus alegaciones a la propuesta de resolución reproduce sus

alegaciones anteriores sobre la nulidad de actuaciones por el envío de la notificación

del traslado de la reclamación a ?***GRUPO.1?, sin considerar los argumentos

anteriores, sobre los que no hace mención.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

10/23

III

La imagen y la voz son un dato personal

La imagen física y la voz de una persona, a tenor del artículo 4.1 del RGPD, son un

dato personal y su protección, por tanto, es objeto de dicho Reglamento. En el artículo

4.2 del RGPD se define el concepto de ?tratamiento? de datos personales.

Las imágenes y la voz captadas por un sistema de cámaras o videocámaras son datos

de carácter personal, por lo que su tratamiento está sujeto a la normativa de

protección de datos.

Es, por tanto, pertinente analizar si el tratamiento de datos personales (imagen y voz

de la parte reclamante, que presta servicio como empleada en la empresa de la parte

reclamada, y de las personas físicas que acuden como clientes al establecimiento de

dicha empresa, abierto al público) llevado a cabo a través del sistema de

videovigilancia denunciado es acorde con lo establecido en el RGPD.

IV

Infracción

La parte reclamante basa su reclamación en dos motivos. En primer término,

cuestiona que la parte reclamada pueda acceder al ordenador que utiliza en el trabajo,

valiéndose de una aplicación que posibilita el acceso en remoto al dispositivo. Sin

embargo, se trata de un ordenador de empresa al que accede la parte reclamada en

su condición de responsable de la organización. Además, la parte reclamante

únicamente hace referencia al acceso a una carpeta compartida en la que se alojan

los trabajos de la empresa. Así, de lo aportado y manifestado por la parte reclamante

no se deducen indicios de infracción.

El segundo motivo de la reclamación tiene que ver con la captación de audio por el

sistema de videovigilancia instalado en el lugar de trabajo de la parte reclamante y la

licitud de los tratamientos de datos personales que conlleva.

El artículo 6.1 del RGPD establece los supuestos que permiten considerar lícito el

tratamiento de datos personales:

?1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:

a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o

varios fines específicos;

b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte

o para la aplicación a petición de este de medidas precontractuales;

c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al

responsable del tratamiento;

d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona

física;

e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público

o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;

f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

11/23

responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no

prevalezcan los intereses o los derechos y libertades fundamentales del interesado que

requieran la protección de datos personales, en particular cuando el interesado sea un niño.

Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por

las autoridades públicas en el ejercicio de sus funciones.

La implantación permanente de un sistema de cámaras de video por razones de

seguridad tiene base legítima en la LOPDGDD, cuya exposición de motivos indica:

?Junto a estos supuestos se recogen otros, tales como la videovigilancia? en que la licitud del

tratamiento proviene de la existencia de un interés público, en los términos establecidos en el

artículo 6.1.e) del Reglamento (UE) 2016/679?.

En cuanto al tratamiento con fines de videovigilancia, el artículo 22 de la LOPDGDD

establece que las personas físicas o jurídicas, públicas o privadas, podrán llevar a

cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras

con la finalidad de preservar la seguridad de las personas y bienes, así como de sus

instalaciones.

Sobre la legitimación para la implantación de sistemas de videovigilancia en el ámbito

laboral, este mismo artículo 22, en su apartado 8, dispone que ?El tratamiento por el

empleador de datos obtenidos a través de sistemas de cámaras o videocámaras se

somete a lo dispuesto en el artículo 89 de esta ley orgánica?.

Se tiene en cuenta el Real Decreto Legislativo 1/1995, de 24/03, que aprueba el texto

refundido de la Ley del Estatuto de los Trabajadores (LET), cuyo artículo 20.3 señala:

?3. El empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control

para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales,

guardando en su adopción y aplicación la consideración debida a su dignidad y teniendo en

cuenta, en su caso, la capacidad real de los trabajadores con discapacidad?.

Entre las medidas de vigilancia y control admitidas se incluye la instalación de

cámaras de seguridad, si bien estos sistemas deberán responder siempre al principio

de proporcionalidad, es decir, el uso de las videocámaras debe ser proporcional al fin

perseguido, esto es garantizar la seguridad y el cumplimiento de las obligaciones y

deberes laborales.

El artículo 89 de la LOPDPGDD, referido específicamente al ?derecho a la intimidad

frente al uso de dispositivos de videovigilancia y de grabación de sonidos en el lugar

de trabajo? y al tratamiento de datos personales obtenidos con sistemas de cámaras o

videocámaras para el ejercicio de funciones de control de los trabajadores, permite

que los empleadores puedan tratar las imágenes obtenidas a través de sistemas de

cámaras o videocámaras para el ejercicio de las funciones de control de los

trabajadores o los empleados públicos previstas, respectivamente, en el artículo 20.3

del Estatuto de los Trabajadores y en la legislación de función pública, siempre que

estas funciones se ejerzan dentro de su marco legal y con los límites inherentes al

mismo.

En relación con la grabación de sonidos, el citado artículo 89 de la LOPDGDD

establece lo siguiente:

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

12/23

?2. En ningún caso se admitirá la instalación de sistemas de grabación de sonidos ni de

videovigilancia en lugares destinados al descanso o esparcimiento de los trabajadores o los

empleados públicos, tales como vestuarios, aseos, comedores y análogos.

3. La utilización de sistemas similares a los referidos en los apartados anteriores para la

grabación de sonidos en el lugar de trabajo se admitirá únicamente cuando resulten relevantes

los riesgos para la seguridad de las instalaciones, bienes y personas derivados de la actividad

que se desarrolle en el centro de trabajo y siempre respetando el principio de proporcionalidad,

el de intervención mínima y las garantías previstas en los apartados anteriores. La supresión

de los sonidos conservados por estos sistemas de grabación se realizará atendiendo a lo

dispuesto en el apartado 3 del artículo 22 de esta ley?.

Por otra parte, interesa destacar que, según doctrina del Tribunal Constitucional, la

grabación de conversaciones entre trabajadores o entre éstos y clientes no se justifica

por la verificación del cumplimiento por el trabajador de sus obligaciones o deberes.

En Sentencia de fecha 10/04/2000 (2000/98), dictada en el rec. núm. 4015/1996, se

declara lo siguiente:

?En este sentido debe tenerse en cuenta que el poder de dirección del empresario,

imprescindible para la buena marcha de la organización productiva y reconocido expresamente

en el art. 20 LET, atribuye al empresario, entre otras facultades, la de adoptar las medidas que

estime más oportunas de vigilancia y control para verificar el cumplimiento del trabajador de

sus obligaciones laborales (art. 20.3 LET). Mas esa facultad ha de producirse en todo caso,

como es lógico, dentro del debido respeto a la dignidad del trabajador, como expresamente nos

lo recuerda la normativa laboral (arts. 4.2.e y 20.3 LET)?

? debe recordarse que la jurisprudencia de este Tribunal ha insistido reiteradamente en la

plena efectividad de los derechos fundamentales del trabajador en el marco de la relación

laboral, ya que ésta no puede implicar en modo alguno la privación de tales derechos para

quienes prestan servicio en las organizaciones productivas? En consecuencia, y como

también ha afirmado este Tribunal, el ejercicio de tales derechos únicamente admite

limitaciones o sacrificios en la medida en que se desenvuelve en el seno de una organización

que refleja otros derechos reconocidos constitucionalmente en los arts. 38 y 33 CE y que

impone, según los supuestos, la necesaria adaptabilidad para el ejercicio de todos ellos?

Debe por ello rechazarse la premisa de la que parte la Sentencia recurrida, consistente en

afirmar que el centro de trabajo no constituye por definición un espacio en el que se ejerza el

derecho a la intimidad por parte de los trabajadores, de tal manera que las conversaciones que

mantengan los trabajadores entre sí y con los clientes en el desempeño de su actividad laboral

no están amparadas por el art. 18.1 CE y no hay razón alguna para que la empresa no pueda

conocer el contenido de aquéllas, ya que el referido derecho se ejercita en el ámbito de la

esfera privada del trabajador, que en el centro de trabajo hay que entenderlo limitado a los

lugares de descanso o esparcimiento, vestuarios, lavabos o análogos, pero no a aquéllos

lugares en los que se desarrolla la actividad laboral?

?Tal afirmación resulta rechazable, pues no puede descartarse que también en aquellos

lugares de la empresa en los que se desarrolla la actividad laboral puedan producirse

intromisiones ilegítimas por parte del empresario en el derecho a la intimidad de los

trabajadores, como podría serlo la grabación de conversaciones entre un trabajador y un

cliente, o entre los propios trabajadores, en las que se aborden cuestiones ajenas a la relación

laboral que se integran en lo que hemos denominado propia esfera de desenvolvimiento del

individuo (SSTC 231/1988, de 2 de diciembre, FJ 4 y 197/1991, de 17 de octubre, FJ 3, por

todas). En suma, habrá que atender no solo al lugar del centro del trabajo en que se instalan

por la empresa sistemas audiovisuales de control, sino también a otros elementos de juicio (si

la instalación se hace o no indiscriminada y masivamente, si los sistemas son visibles o han

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

13/23

sido instalados subrepticiamente, la finalidad real perseguida con la instalación de tales

sistemas, si existen razones de seguridad, por el tipo de actividad que se desarrolla en el

centro de trabajo de que se trate, que justifique la implantación de tales medios de control, etc.)

para dilucidar en cada caso concreto si esos medios de vigilancia y control respetan el derecho

a la intimidad de los trabajadores. Ciertamente, la instalación de tales medios en lugares de

descanso o esparcimiento, vestuarios, aseos, comedores y análogos resulta, a fortiori, lesiva

en todo caso del derecho a la intimidad de los trabajadores, sin más consideraciones, por

razones obvias? Pero ello no significa que esa lesión no pueda producirse en aquellos lugares

donde se realiza la actividad laboral, si concurre alguna de las circunstancias expuestas que

permita calificar la actuación empresarial como ilegítima intrusión en el derecho a la intimidad

de los trabajadores. Habrá, pues, que atender a las circunstancias concurrentes en el supuesto

concreto para determinar si existe o no vulneración del art. 18.1 CE.

?su limitación [de los derechos fundamentales del trabajador] por parte de las facultades

empresariales sólo puede derivar bien del hecho de que la propia naturaleza del trabajo

contratado implique la restricción del derecho (SSTC 99/1994, FJ 7, y 106/1996, FJ 4), bien de

una acreditada necesidad o interés empresarial, sin que sea suficiente su mera invocación para

sacrificar el derecho fundamental del trabajador (SSTC 99/1994, FJ 7, 6/1995, FJ 3 y 136/1996,

FJ 7)?

Estas limitaciones o modulaciones tienen que ser las indispensables y estrictamente

necesarias para satisfacer un interés empresarial merecedor de tutela y protección, de manera

que si existen otras posibilidades de satisfacer dicho interés menos agresivas y afectantes del

derecho en cuestión, habrá que emplear estas últimas y no aquellas otras más agresivas y

afectantes. Se trata, en definitiva, de la aplicación del principio de proporcionalidad?

La cuestión a resolver es, pues, si la instalación de micrófonos que permiten grabar las

conversaciones de trabajadores y clientes en determinadas zonas? se ajusta en el supuesto

que nos ocupa a las exigencias indispensables del respeto del derecho a la intimidad. Al

respecto hemos de comenzar señalando que resulta indiscutible que la instalación de aparatos

de captación y grabación del sonido en dos zonas concretas? no carece de utilidad para la

organización empresarial, sobre todo si se tiene en cuenta que se trata de dos zonas en las

que se producen transacciones económicas de cierta importancia. Ahora bien, la mera utilidad

o conveniencia para la empresa no legitima sin más la instalación de los aparatos de audición y

grabación, habida cuenta de que la empresa ya disponía de otros sistemas de seguridad que el

sistema de audición pretende complementar?

En resumen, la implantación del sistema de audición y grabación no ha sido en este caso

conforme con los principios de proporcionalidad e intervención mínima que rigen la modulación

de los derechos fundamentales por los requerimientos propios del interés de la organización

empresarial, pues la finalidad que se persigue (dar un plus de seguridad, especialmente ante

eventuales reclamaciones de los clientes) resulta desproporcionada para el sacrificio que

implica del derecho a la intimidad de los trabajadores (e incluso de los clientes?). Este sistema

permite captar comentarios privados, tanto de los clientes como de los trabajadores?,

comentarios ajenos por completo al interés empresarial y por tanto irrelevantes desde la

perspectiva de control de las obligaciones laborales, pudiendo, sin embargo, tener

consecuencias negativas para los trabajadores que, en todo caso, se van a sentir constreñidos

de realizar cualquier tipo de comentario personal ante el convencimiento de que van a ser

escuchados y grabados por la empresa. Se trata, en suma, de una intromisión ilegítima en el

derecho a la intimidad consagrado en el art. 18.1 CE, pues no existe argumento definitivo que

autorice a la empresa a escuchar y grabar las conversaciones privadas que los trabajadores?

mantengan entre sí o con los clientes?.

En todo caso, los empleadores habrán de informar con carácter previo, y de forma

expresa, clara y concisa, a los trabajadores o los empleados públicos y, en su caso, a

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

14/23

sus representantes, acerca de esta medida (artículo 89.1 de la LOPDGDD).

V

Obligaciones en materia de videovigilancia

De conformidad con lo expuesto, el tratamiento de imágenes a través de un sistema

de videovigilancia, para ser conforme con la normativa vigente, debe cumplir los

requisitos siguientes:

1.- La personas físicas o jurídicas, públicas o privadas, pueden establecer un sistema

de videovigilancia con la finalidad de preservar la seguridad de las personas y bienes,

así como de sus instalaciones.

Se ha de valorar si la finalidad pretendida puede lograrse de otra forma menos

intrusiva para los derechos y libertades de los ciudadanos. Los datos personales solo

deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por

otros medios, considerando 39 del RGPD.

2.- Las imágenes obtenidas no puedan utilizarse para una finalidad ulterior

incompatible con la que motivó la instalación del sistema de videovigilancia.

3.- Se deberá cumplir con el deber de informar a los afectados previsto en los artículos

12 y 13 del RGPD, y 22 de la LOPDGDD.

En tal sentido, el artículo 22 de la LOPDGDD prevé en relación con la videovigilancia

un sistema de ?información por capas?.

La primera capa ha de referirse, al menos, a la existencia del tratamiento

(videovigilancia), la identidad del responsable, la posibilidad de ejercitar los derechos

previstos en los artículos 15 a 22 del RGPD y dónde obtener más información sobre el

tratamiento de los datos personales.

Esta información se contendrá en un dispositivo colocado en un lugar suficientemente

visible y debe suministrarse por adelantado.

La información de la segunda capa debe estar disponible en un lugar fácilmente

accesible al afectado, ya sea una hoja informativa en una recepción, cajero, etc?,

colocada en un espacio público visible o en una dirección web, y ha de referirse al

resto de elementos del artículo 13 del RGPD.

4.- No pueden captarse imágenes de la vía pública, puesto que el tratamiento de

imágenes en lugares públicos, salvo que concurra autorización gubernativa, sólo

puede ser realizado por las Fuerzas y Cuerpos de Seguridad.

En algunas ocasiones, para la protección de espacios privados, donde se hayan

instalado cámaras en fachadas o en el interior, puede ser necesario para garantizar la

finalidad de seguridad la grabación de una porción de la vía pública.

Es decir, las cámaras y videocámaras instaladas con fines de seguridad no podrán

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

15/23

obtener imágenes de la vía pública salvo que resulte imprescindible para dicho fin, o

resulte imposible evitarlo por razón de la ubicación de aquéllas. Y, en tal caso

extraordinario, las cámaras sólo podrán captar la porción mínima necesaria para

preservar la seguridad de las personas y bienes, así como de sus instalaciones.

Las cámaras instaladas no pueden obtener imágenes de espacio privativo de tercero

y/o espacio público sin causa justificada debidamente acreditada, ni pueden afectar a

la intimidad de transeúntes que transiten libremente por la zona.

No está permitida, por tanto, la colocación de cámaras hacia la propiedad privada de

vecinos con la finalidad de intimidarlos o afectar a su ámbito privado sin causa

justificada.

En ningún caso se admitirá el uso de prácticas de vigilancia más allá del entorno

objeto de la instalación y en particular, no pudiendo afectar a los espacios públicos

circundantes, edificios contiguos y vehículos distintos de los que accedan al espacio

vigilado.

No pueden captarse ni grabarse imágenes en espacios propiedad de terceros sin el

consentimiento de sus titulares, o, en su caso, de las personas que en ellos se

encuentren.

Resulta desproporcionado captar imágenes en espacios privados, tales como

vestuarios, taquillas o zonas de descanso de trabajadores.

5.- Las imágenes podrán conservarse por un plazo máximo de un mes, salvo en

aquellos supuestos en que se deban conservar para acreditar la comisión de actos

que atenten contra la integridad de personas, bienes o instalaciones.

En este segundo supuesto, deberán ser puestas a disposición de la autoridad

competente en un plazo máximo de 72 horas desde que se tuviera conocimiento de la

existencia de la grabación.

6.- El responsable deberá llevar un registro de actividades de los tratamientos

efectuados bajo su responsabilidad en el que se incluya la información a la que hace

referencia el artículo 30.1 del RGPD.

7.- El responsable deberá realizar un análisis de riesgos o, en su caso, una evaluación

de impacto en la protección de datos, para detectar los derivados de la implantación

del sistema de videovigilancia, valorarlos y, en su caso, adoptar las medidas de

seguridad apropiadas.

8.- Cuando se produzca una brecha de seguridad que afecte a los tratamientos de

cámaras con fines de seguridad, siempre que exista riesgo para los derechos y

libertades de las personas físicas, deberá notificarlo a la AEPD en un plazo máximo de

72 horas.

Se entiende por brecha de seguridad la destrucción, pérdida o alteración accidental o

ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la

comunicación o acceso no autorizado a dichos datos.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

16/23

9.- Cuando el sistema esté conectado a una central de alarma, únicamente podrá ser

instalado por una empresa de seguridad privada que reúna los requisitos

contemplados en el artículo 5 de la Ley 5/2014 de Seguridad Privada, de 4 de abril.

La Agencia Española de Protección de Datos ofrece a través de su página web

[https://www.aepd.es] acceso a:

. la legislación en materia de protección de datos personales, incluyendo el RGPD

y la LOPDGDD (apartado ?Informes y resoluciones? / ?normativa?),

. la Guía sobre el uso de videocámaras para seguridad y otras finalidades,

. la Guía para el cumplimiento del deber de informar (ambas disponibles en el

apartado ?Guías y herramientas?).

También resulta de interés, en caso de realizar tratamientos de datos de bajo riesgo, la

herramienta gratuita Facilita (en el apartado ?Guías y herramientas?), que, mediante

unas preguntas concretas, permite valorar la situación del responsable respecto del

tratamiento de datos personales que lleva a cabo, y en su caso, generar diversos

documentos, cláusulas informativas y contractuales, así como un anexo con medidas

de seguridad orientativas consideradas mínimas.

VI

Infracción administrativa. Tipificación y calificación de la infracción.

La reclamación se basa en la presunta ilicitud del sistema de videovigilancia instalado

por la parte reclamada en el local donde desarrolla su actividad empresarial, en

relación con la captación de sonidos.

La parte reclamada es la titular y responsable del sistema de videovigilancia

denunciado y, por tanto, la responsable de los tratamientos de datos que conlleva la

utilización de dicho sistema. Entre los tratamientos de datos realizados se contempla

la recogida de datos personales relativos a la voz de empleados y de terceros que

puedan acceder al local, que parece tratarse de un establecimiento abierto al público,

a la vista de la imagen aportada por la parte reclamante.

En relación con dicho sistema, la parte reclamante ha manifestado que el sistema se

encontraba instalado cuando empezó a prestar servicio como empleado de la parte

reclamada, en 2019, ?supuestamente como medida de seguridad para el local?; y que

nunca ha sido informada sobre la captación de sonido ni sobre su utilización con fines

de control laboral, lo que constituye, a juicio de la parte reclamante, una utilización

?para un fin distinto al que se expone que se instaló?.

Se cuestiona, por tanto, la licitud del sistema de videovigilancia instalado por la parte

reclamada en el local donde desarrolla su actividad empresarial, en relación con la

captación de sonidos, que ha sido debidamente acreditada por la parte reclamante con

la aportación de una conversación de Whatsapp en la que la parte reclamada hace

referencia a su acceso al sistema de videovigilancia y al sonido captado por el mismo.

La parte reclamada no ha aportado justificación alguna en relación con las cuestiones

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

17/23

planteadas por la parte reclamante, a pesar de que fue requerido expresamente con

ocasión del trámite de traslado de la reclamación, que no fue respondido por aquella.

Se ha limitado a negar haber recibido aquella solicitud de información, según ha

quedado expuesto en el Fundamento de Derecho II.

Ha señalado que de haber recibido aquella comunicación hubiese aportado la

información requerida. Sin embargo, ha tenido ocasión, por dos veces, de formular

alegaciones a la apertura del presente procedimiento sancionador, y también en

respuesta a la propuesta de resolución, y no ha aportado información y/o

documentación alguna relativa al sistema instalado en el establecimiento en cuestión.

Interesa destacar al respecto que se solicitó a la parte reclamada que acreditase haber

informado a los trabajadores que el sistema de videovigilancia se utiliza para el control

laboral y que aportase un informe técnico relativo a dicho sistema.

Al disponer la captación de sonido, la parte reclamada no tiene en cuenta los limites

previstos en el artículo 20.3 de la Ley del Estatuto de los Trabajadores (LET); lo

establecido en el artículo 89.3 de la LOPDGDD, que admite la recogida y grabación de

sonidos únicamente cuando resulten relevantes los riesgos y respetando los principios

de proporcionalidad e intervención mínima; ni la doctrina del Tribunal Constitucional,

ya expresada, según la cual la ?implantación de sistemas de audición y grabación? no

está legitimada, sin más, por la ?mera utilidad o conveniencia de la empresa?, que la

?captación de comentarios privados, tanto de los clientes como de los trabajadores? es

ajena al interés empresarial y no se justifica por la verificación del cumplimiento por el

trabajador de sus obligaciones o deberes.

En consecuencia, se entiende desproporcionada la captación de la voz tanto de los

trabajadores como de clientes de la parte reclamada para la función de videovigilancia

pretendida. Se tiene en cuenta que la captación de voz supone una mayor intromisión

en la intimidad.

La parte reclamada, en sus alegaciones a la propuesta de resolución, ha manifestado

que es falso que el sistema de videovigilancia recoja y almacene datos personales

relativos a la voz de empleados y clientes, y considera que la captura de pantalla

aportada por la parte reclamada no prueba los hechos, invocando por ello los

principios de presunción de inocencia e ?indubio pro reo?.

Sin embargo, considera esta Agencia que la captación de sonidos por el indicado

sistema de seguridad sí está acreditada por el contenido del mensaje remitido por la

parte reclamada a la parte reclamante a través de Whatsapp, que consta reseñado en

el Hecho Probado Cuarto. En este mensaje la parte reclamada manifiesta haber

entrado ?en la cámara? y accedido al sonido captado por la misma (?se escuchaban

noticias?).

Es más, en las mismas alegaciones reconoce expresamente que el sistema ?que tiene

contratado? incorpora micrófonos ?que permiten escuchar audios?.

Al no grabar o registrar audios, considera la parte reclamada que no está cometiendo

la infracción que se imputa, sin considerar que la mera captación de audios, aun sin

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

18/23

proceder a su grabación y conservación, constituye un tratamiento de datos

personales que requiere de una base legítima para poderlo llevar a cabo, de

conformidad con lo dispuesto en el artículo 6 del RGPD.

El artículo 4 del mismo RGPD define ?tratamiento? en los términos siguientes:

?2) ?tratamiento?: cualquier operación o conjunto de operaciones realizadas sobre datos

personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no,

como la recogida, registro, organización, estructuración, conservación, adaptación o

modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o

cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o

destrucción?.

Se considera, por tanto, que la parte reclamada realiza tratamientos de datos sin

disponer de base legítima, vulnerando lo establecido en el artículo 6 del RGPD, lo que

supone la comisión de una infracción tipificada en el artículo 83.5 del RGPD, que

dispone lo siguiente:

?Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado

2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa,

de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del

ejercicio financiero anterior, optándose por la de mayor cuantía:

a) los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a

tenor de los artículos 5, 6, 7 y 9;?.

A efectos del plazo de prescripción de las infracciones, la infracción señalada en el

párrafo anterior se considera muy grave conforme al artículo 72.1.b) de la LOPDGDD,

que establece que:

?En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran

muy graves y prescribirán a los tres años las infracciones que supongan una vulneración

sustancial de los artículos mencionados en aquel y, en particular, las siguientes:

b) El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del

tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679?.

VII

Sanción

El artículo 58.2 del RGPD establece:

?Cada autoridad de control dispondrá de todos los siguientes poderes correctivos

indicados a continuación:

(...)

d) ordenar al responsable o encargado de tratamiento que las operaciones de

tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda,

de una determinada manera y dentro de un plazo especificado;

(...)

i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de

las medidas mencionadas en el presente apartado, según las circunstancias de cada

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

19/23

caso particular?.

Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en el artículo

58.2.d) del citado Reglamento es compatible con la sanción consistente en multa

administrativa.

Con respecto a la infracción del artículo 6 del RGPD, atendiendo a los hechos

expuestos, se considera que la sanción que correspondería imponer es de multa

administrativa.

La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada

y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Así, se

considera, con carácter previo, la condición de microempresa de la parte reclamada,

que desarrolla la actividad económica como persona física bajo la condición de

empresario autónomo.

A fin de determinar la multa administrativa a imponer se han de observar las

previsiones del artículo 83.2 del RGPD, que señala lo siguiente:

?2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso

individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58,

apartado 2, letras a) a h) y j). Al decidir la imposición de una multa administrativa y su cuantía

en cada caso individual se tendrá debidamente en cuenta:

a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza,

alcance o propósito de la operación de tratamiento de que se trate así como el número de

interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;

b) la intencionalidad o negligencia en la infracción;

c) cualquier medida tomada por el responsable o encargado del tratamiento para paliar los

daños y perjuicios sufridos por los interesados;

d) el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta

de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;

e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;

f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la

infracción y mitigar los posibles efectos adversos de la infracción;

g) las categorías de los datos de carácter personal afectados por la infracción;

h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el

responsable o el encargado notificó la infracción y, en tal caso, en qué medida;

i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas

previamente contra el responsable o el encargado de que se trate en relación con el mismo

asunto, el cumplimiento de dichas medidas;

j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación

aprobados con arreglo al artículo 42, y

k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los

beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de

la infracción?.

Por su parte, el artículo 76 ?Sanciones y medidas correctivas? de la LOPDGDD,

respecto al apartado k) del citado artículo 83.2 RGPD, dispone:

?1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE)

2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el

apartado 2 del citado artículo.

2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679 también

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

20/23

podrán tenerse en cuenta:

a) El carácter continuado de la infracción.

b) La vinculación de la actividad del infractor con la realización de tratamientos de datos

personales.

c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.

d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la

infracción.

e) La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción,

que no puede imputarse a la entidad absorbente.

f) La afectación a los derechos de los menores.

g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.

h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a

mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan

controversias entre aquellos y cualquier interesado?.

En este caso, se estiman concurrentes como agravantes los criterios de graduación

siguientes:

. Artículo 83.2.a) del RGPD: ?a) la naturaleza, gravedad y duración de la

infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación

de tratamiento de que se trate así como el número de interesados afectados y el

nivel de los daños y perjuicios que hayan sufrido?.

. La naturaleza y gravedad de la infracción, teniendo en cuenta que la parte

reclamante y el resto de afectados (terceros que accedan al establecimiento

de la parte reclamada) no conocen el tratamiento de datos que se está

llevando a cabo (captación de sonido por el sistema de videovigilancia) y el

uso que se realizará de los datos personales, lo que incide en la capacidad de

los interesados de ejercer un verdadero control sobre sus datos personales.

. Artículo 83.2.b) del RGPD: ?b) la intencionalidad o negligencia en la infracción".

La negligencia apreciada en la instalación de cámaras de videovigilancia que

permiten la recogida de audio en un entorno laboral, sin ni siquiera dar cuenta a

los empleados y otros afectados, y a pesar de que estos sistemas tienen una

regulación especial y expresa que impone a los responsables un especial cuidado

en su utilización.

. Artículo 83.2.d) del RGPD: ?d) el grado de responsabilidad del responsable o del

encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas

que hayan aplicado en virtud de los artículos 25 y 32?.

La parte reclamada no tiene implantados procedimientos adecuados de actuación

en la recogida y tratamiento de los datos de carácter personal, en lo que se refiere

a la recogida y tratamiento de datos personales relativos a la voz de la persona

empleada en su empresa, de modo que la infracción no es consecuencia de una

anomalía en el funcionamiento de dichos procedimientos sino un defecto del

sistema de gestión de los datos personales diseñado por la responsable.

. Artículo 83.2.g) del RGPD: ?las categorías de los datos de carácter personal

afectados por la infracción?;

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

21/23

Si bien no se han visto afectadas ?Categorías especiales de datos personales?,

según define el RGPD en el artículo 9, los datos personales a los que se refieren

las actuaciones (voz de los interesados) tiene una naturaleza especialmente

sensible y aumenta los riesgos sobre su privacidad.

Considerando los factores expuestos, la valoración que alcanza la multa por la

infracción del artículo 6 del RGPD es de 5.000 euros (cinco mil euros).

A la vista de lo expuesto en el presente Fundamento de Derecho, no es cierto lo

señalado por la parte reclamada en sus alegaciones, según las cuales la sanción

impuesta no guarda relación con las circunstancias objetivas y subjetivas

concurrentes, ni atiende a la gravedad y transcendencia del hecho.

Se refiere, además, a la ausencia de antecedentes del infractor y a la ausencia de

perjuicios, pero sin aportar ningún razonamiento que justifique la consideración de

estos factores de graduación.

Ninguno de los factores de graduación considerados queda atenuado por el hecho de

que la entidad reclamada no haya sido objeto de un procedimiento sancionador con

anterioridad, circunstancia esta se alega por la parte reclamada para que sea

considerada como una atenuante.

A este respecto, la Sentencia de la AN, de 05/05/2021, rec. 1437/2020, indica:

?Considera, por otro lado, que debe apreciarse como atenuante la no comisión de una

infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que debe tenerse en cuenta

para la imposición de la multa administrativa, entre otras, la circunstancia "e) toda infracción

anterior cometida por el responsable o el encargado del tratamiento". Se trata de una

circunstancia agravante, el hecho de que no concurra el presupuesto para su aplicación

conlleva que no pueda ser tomada en consideración, pero no implica ni permite, como pretende

la actora, su aplicación como atenuante?.

Según el citado artículo 83.2 del RGPD, al decidir la imposición de una multa

administrativa y su cuantía de debe tener en cuenta ?toda infracción anterior cometida

por el responsable?. Es una previsión normativa que no incluye la inexistencia de

infracciones precedentes como factor de graduación de la multa, el cual debe

entenderse como un criterio próximo a la reincidencia, aunque más amplio.

VIII

Posibles medidas

Procede imponer al responsable la obligación de adoptar medidas adecuadas para

ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo

establecido en el citado artículo 58.2 d) del RGPD, según el cual cada autoridad de

control podrá ?ordenar al responsable o encargado del tratamiento que las

operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento,

cuando proceda, de una determinada manera y dentro de un plazo especificado??.

En el texto de esta resolución se establecen cuáles han sido las infracciones

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

22/23

presuntamente cometidas y los hechos que dan lugar a la vulneración de la normativa

de protección de datos, de lo que se infiere con claridad cuáles son las medidas a

adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos

concretos para implementarlas corresponda a la parte sancionada, pues es el

responsable del tratamiento quien conoce plenamente su organización y ha de decidir,

en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el

RGPD y la LOPDGDD.

No obstante, en este caso, con independencia de lo anterior, esta Agencia estima

procedente requerir al responsable para que en el plazo que se determina en la parte

dispositiva suprima la captación de sonidos por el sistema de videovigilancia objeto de

las actuaciones.

Se advierte que no atender a los requerimientos de este organismo puede ser

considerado como una infracción administrativa conforme a lo dispuesto en el RGPD,

tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la

apertura de un ulterior procedimiento administrativo sancionador.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de

graduación de las sanciones cuya existencia ha quedado acreditada,

la Directora de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a B.B.B., con NIF ***NIF.1, por una infracción del artículo 6 del

RGPD, tipificada en el artículo 83.5.a) del mismo Reglamento, y calificada como muy

grave a efectos de prescripción en el artículo 72.1.b) de la LOPDGDD, una multa de

5.000 euros (cinco mil euros).

SEGUNDO: REQUERIR a B.B.B. para que, en el plazo de un mes, contado desde la

notificación de la presente resolución, adecúe su actuación a la normativa de

protección de datos personales, con el alcance expresado en el Fundamento de

Derecho VIII, y justifique ante esta Agencia Española de Protección de Datos la

atención del presente requerimiento.

TERCERO: NOTIFICAR la presente resolución a B.B.B..

CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una

vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el

art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo

Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago

voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado

por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003,

de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número

de procedimiento que figura en el encabezamiento de este documento, en la cuenta

restringida nº IBAN: ES00 0000 0000 0000 0000 0000 (BIC/Código SWIFT:

XXXXXXXXXXX), abierta a nombre de la Agencia Española de Protección de Datos en

la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su

recaudación en período ejecutivo.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

23/23

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra

entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago

voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se

encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago

será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente

Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la

LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los

interesados podrán interponer, potestativamente, recurso de reposición ante la

Directora de la Agencia Española de Protección de Datos en el plazo de un mes a

contar desde el día siguiente a la notificación de esta resolución o directamente

recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la

Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de

la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la

Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el

día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la

referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se

podrá suspender cautelarmente la resolución firme en vía administrativa si el

interesado manifiesta su intención de interponer recurso contencioso-administrativo.

De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante

escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través

del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb

/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la

citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la

documentación que acredite la interposición efectiva del recurso contenciosoadministrativo.

Si la Agencia no tuviese conocimiento de la interposición del recurso

contencioso-administrativo en el plazo de dos meses desde el día siguiente a la

notificación de la presente resolución, daría por finalizada la suspensión cautelar.

938-181022

Mar España Martí

Directora de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es