Resolución de la Agencia Española de Protección de Datos PS-00445-2022 de 19 de junio de 2023

Cuestión

Expediente N.º: EXP202206735

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base

a los siguientes

ANTECEDENTES

PRIMERO : A.A.A. (en adelante, la parte reclamante), con fecha 10/06/2022, interpuso

reclamación ante...

Contestacion

1/25

? Expediente N.º: EXP202206735

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base

a los siguientes

ANTECEDENTES

PRIMERO: A.A.A. (en adelante, la parte reclamante), con fecha 10/06/2022, interpuso

reclamación ante la Agencia Española de Protección de Datos. La reclamación se

dirige contra GRUPO TRANSAHER, S.L., con NIF B78147758 (en adelante, la parte

reclamada o TRANSAHER), por la instalación de un sistema de videovigilancia,

ubicado en ***DIRECCIÓN.1, existiendo indicios de un posible incumplimiento de lo

dispuesto en el artículo 6 del Reglamento (UE) 2016/679 (Reglamento General de

Protección de Datos, en adelante RGPD).

Los motivos que fundamentan la reclamación son los siguientes:

La parte reclamante manifiesta que la parte reclamada ha instalado cámaras de

videovigilancia en zonas de descanso de los trabajadores, como es el comedor de los

trabajadores. Entiende la parte reclamante que se trata de una ?cámara instalada

ilegalmente que controla a los trabajadores?.

Asimismo, manifiesta que los carteles informativos relativos a las cámaras de

videovigilancia ?no están bien instalados o no existen?.

Aporta imágenes de la ubicación de una cámara de videovigilancia en un comedor de

amplias dimensiones, en las que pueden verse numerosas mesas para cuatro

comensales, una zona de mobiliario de cocina que cuenta con ocho microondas y otra

zona con tres máquinas de vending (bebidas frías, bebidas calientes y snacks). En las

fotos aportadas no se aprecian carteles informativos sobre el sistema de

videovigilancia.

A la vista de las imágenes, se comprueba que el comedor dispone de ventanas al

exterior en dos de sus lados, que forman una de las esquinas de la sala. En uno de

estos lados se encuentra ubicada la cámara de videovigilancia enfocada hacia el

interior del comedor.

SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de

diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en

adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para

que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las

acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de

protección de datos.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

2/25

El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de

1 de octubre, del Procedimiento Administrativo Común de las Administraciones

Públicas (en adelante, LPACAP), fue recogido en fecha 14/06/2022 como consta en el

acuse de recibo que obra en el expediente.

Con fecha 13/07/2022 se recibe en esta Agencia escrito de respuesta de la parte

reclamada, en el que facilita información completa de su sistema de videovigilancia y

reconoce tener instaladas cámaras en el comedor, exponiendo en su respuesta las

razones que han motivado su instalación:

. Se trata de una empresa que, por el objeto de su negocio (transporte y logística), (?)

necesita contar con una seguridad elevada. Comparte un parque logístico (?), con

mucha afluencia de personas, tanto trabajadores como autónomos que prestan allí sus

servicios (?), personal de ETT, clientes y proveedores.

. Dadas las circunstancias expresadas anteriormente, y en virtud del artículo 20.3 del

Estatuto de los Trabajadores, todo el centro de trabajo, incluyendo la nave industrial y

las oficinas, se encuentran videovigiladas por cámaras, las cuales únicamente graban

imágenes, en ningún caso audio. Su instalación resulta proporcional en cuanto a la

ponderación del poder de dirección y control de la actividad empresarial y el derecho a

la intimidad de los interesados, que conocen el uso de sus datos que conlleva la

relación laboral, la finalidad y los mecanismos para ejercer los derechos reconocidos.

. Existen distintivos que anuncian la instalación de estas cámaras (aporta fotografías

sobre su contenido y ubicación, incluido el distintivo instalado en el comedor al que se

refiere la reclamación).

. Sólo cinco personas están autorizadas para la visualización de las imágenes; (?).

. Las imágenes se almacenan por espacio de 30 días.

. El sistema está certificado por una empresa de seguridad, que también se encarga

de su revisión (aportan último informe técnico de febrero).

. Ha informado de la existencia del sistema de videovigilancia tanto al Comité de

Empresa como a los trabajadores, que firman una cláusula informativa en su contrato

(modelo extraído del SEPE), reciben un manual de bienvenida con información

relevante, la cual se completa en el portal del empleado. A este respecto, aporta copia

del documento que suscriben los trabajadores en el que se indica que quedan de

forma inequívoca informados de la ?utilización de sistemas de videovigilancia para

control empresarial?. Este documento incluye un espacio para la firma del trabajador,

precedido del texto siguiente:

?Con la firma de este documento el trabajador declara que ha leído y comprendido en toda su

extensión la información citada que estará en todo momento disponible para su consulta en el

portal del empleado y se entrega copia al interesado del mismo?.

. (?).

Se refiere la parte reclamada a ?la cámara localizada en el comedor?, señalando que

esta estancia es una zona de uso común y de paso abierta 24 horas al día, que no

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

3/25

tiene el fin del descanso exclusivo de los trabajadores. (?). No tiene acceso

restringido de uso exclusivo a empleados, sino que también es usada por clientes,

proveedores, autónomos, empresas de servicio y trabajadores de ETT; y en ella se

encuentran 4 máquinas de vending, 2 neveras, varios microondas y un horno.

Añade que han sufrido robos de productos de las neveras, actos de vandalismo frente

a las máquinas de vending para obtener los productos sin pagar y en 2013 un

trabajador introdujo un refresco en el microondas provocando que el aparato se

incendiara. Según la entidad, todo ello supone un riesgo para el patrimonio material,

propio o de terceros (máquinas de vending) y para las personas que el empresario

tiene el deber de prevenir y evitar, de conformidad con la normativa de prevención de

riesgos laborales, y que puede derivar en responsabilidad civil de la empresa.

Además, indica que el rótulo de la zona videovigilada informa que sus fines son ?la de

vigilar y proteger los bienes y las personas de la planta?.

El sistema instalado cumple el juicio de proporcionalidad fijado por el Tribunal

Constitucional:

. Legitimidad, en tanto no se trata de meras sospechas sobre la existencia de

actuaciones ilícitas reiteradas en el tiempo, incluidos robos producidos a través de

las ventanas.

. Idónea para la finalidad pretendida por la empresa, para determinar quién o

quiénes son los autores de dichos daños, así como la protección de los bienes

propios como de los que tiene en depósito.

. Necesaria, ya que la grabación serviría de prueba de tales irregularidades y no

existe otro tipo de medios menos intrusivos para conseguir la citada finalidad

. Proporcionalidad, pues la grabación de imágenes se limitaba a la zona

previamente informada y visualiza los utilitarios de empresa, máquinas de vending y

las ventanas, en tanto se trata de una zona de paso con gran concurrencia de

personas.

Según la parte reclamada, la última doctrina jurisprudencial manifiesta que la

instalación de cámaras es lícita y no vulnera ningún derecho fundamental cuando las

personas trabajadoras han sido informadas expresamente de la instalación del sistema

de vigilancia y de la ubicación de las mismas por razones de seguridad, expresión que

incluye la vigilancia de actos ilícitos de las personas trabajadoras y de terceros y, en

definitiva, de la seguridad del centro de trabajo.

Pero, además, también lo considera lícito, aunque no se informe previamente a la

persona trabajadora, si la instalación de la cámara se realiza por existir sospecha de

una conducta irregular y se coloca a la vista de las personas trabajadoras, aunque

éstos no sean advertidos de su posible uso con fines disciplinarios, pues entiende que

en el ámbito laboral, el consentimiento de la persona trabajadora para el tratamiento

por la empresa de sus datos de carácter personal pasa a un segundo plano, ya que el

consentimiento se entiende implícito en la relación negocial, siempre que el

tratamiento de dichos datos sea necesario para el mantenimiento y el cumplimiento del

contrato firmado por las partes y no se lesionen derechos fundamentales de la persona

trabajadora.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

4/25

Aporta fotografía del cartel informativo utilizado, que es acorde con la normativa de

protección de datos, y fotografías con las ubicaciones de varios de los expuestos, uno

de ellos en el comedor.

También aportó imágenes (más de 100) sobre el campo de visión de las cámaras

instaladas, tal y como se visualiza en los monitores. (?).

Una de las imágenes facilitadas corresponde a la cámara objeto de la reclamación, la

instalada en el comedor. La información que aporta esta imagen consta detallada en el

Hecho Probado Tercero.

TERCERO: Con fecha 19/08/2022, de conformidad con el artículo 65 de la LOPDGDD,

se admitió a trámite la reclamación presentada por la parte reclamante.

CUARTO: Con fecha 24/10/2022, por la Subdirección General de Inspección de Datos

se accede a la información relativa a la parte reclamada en ?Axesor? (?Informe

monitoriza?). (?).

QUINTO: Con fecha 31/10/2022, la Directora de la Agencia Española de Protección de

Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo

dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo

6 del RGPD, tipificada en el artículo 83.5.a) del citado Reglamento; y calificada como

muy grave a efectos de prescripción en el artículo 72.1.b) de la LOPDGDD.

En el acuerdo de apertura se determinó que la sanción que pudiera corresponder,

atendidas las evidencias existentes en el momento de la apertura y sin perjuicio de lo

que resulte de la instrucción, ascendería a un total de 50.000 euros (cincuenta mil

euros).

Asimismo, se advertía que la infracción imputada, de confirmarse, podrá conllevar la

imposición de medidas, según el artículo 58.2 d) del RGPD.

SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en

la LPACAP, la parte reclamada presentó escrito de alegaciones en el que solicita el

archivo del procedimiento en base a las consideraciones siguientes:

. Con carácter previo, informa que ha conocido la identidad de la parte reclamante con

la notificación de apertura del procedimiento (?).

. Por lo demás, ratifica las alegaciones que puso de manifiesto con ocasión del trámite

de traslado de la reclamación, reseñadas en el Antecedente Segundo, reiterando que

la zona videovigilada se encuentra señalizada; que se informó debidamente a los

trabajadores; que no se trata de una cámara para el control de los trabajadores, sino

que se encuentra situada en una zona de uso común y de paso a la que no solo

acceden aquellos; y que su finalidad es la de proteger la salud y seguridad de los

trabajadores, así como el patrimonio material y empresarial, como lo prueban los actos

de vandalismo que sufren las máquinas de vending, circunstancia esta que no ha sido

valorada por la Agencia.

Advierte que, en contra de lo indicado en el acuerdo de inicio, la parte reclamada sí

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

5/25

aportó fotografía de la cámara situada en la zona de paso que linda el comedor.

Aporta nuevamente esta fotografía correspondiente a la imagen captada por la cámara

en cuestión. En dicha imagen se aprecia que la cámara capta toda la estancia,

incluidas las mesas dispuestas en el comedor, que aparecen en la imagen

sombreadas con una máscara. La imagen muestra las máquinas de vending y todo el

espacio que las separa de las mesas (el detalle sobre el espacio captado consta

reseñado en el Hecho Probado Tercero).

Sobre esta última cuestión, cita dos precedentes, señalados con los números

E/09297/2018 y E/01760/2017, referidos a la instalación de cámaras en zonas de

descanso orientadas a los bienes que se pretende proteger, en los que la Agencia

resolvió el archivo de las actuaciones.

También en relación con la posibilidad de instalar cámaras para proteger el patrimonio

empresarial cuando se han cometido irregularidades o existen sospechas de ello, cita

la parte reclamada la Sentencia núm. 630/2016 del Tribunal Supremo y Sentencia de

17/10/2019 del Tribunal Europeo de Derecho Humanos.

. Finalmente, la entidad TRANSAHER reitera que ha cumplido el juicio de

proporcionalidad fijado por el Tribunal Constitucional y termina invocando la Sentencia

núm. 1190/2021, de la Sala de lo Social del Tribunal Superior de Justicia de las Islas

Canarias en la que se expresa:

?Se reconoce, no obstante que una menor porción del campo de visión de la cámara

correspondía a un lugar de esparcimiento de las personas trabajadoras, pero obviamente no

pueden tener la misma consideración todos los lugares de esparcimiento (salas espera,

parking, comedores en relación a otros como duchas, vestuarios, etc). Por tanto podría existir

una necesidad de vigilar esos lugares e inclusos las pertenencias de las personas

trabajadoras. Ello nos debe llevar, a criterio de la recurrente, a aplicar en este caso el principio

de proporcionalidad en relación al principio de minimización de los datos referidos?.

SÉPTIMO: Con fecha 06/03/2023 se formuló propuesta de resolución en el sentido de

que se sancione a la parte reclamada, por una infracción del artículo 6 del RGPD,

tipificada en el artículo 83.5.a) del mismo Reglamento, y calificada a efectos de

prescripción como muy grave en el artículo 72.1.b) de la LOPDGDD, con una multa de

50.000 euros (cincuenta mil euros).

Asimismo, se propuso que se requiera a la parte reclamada para que, en el plazo que

se determine, adopte las medidas necesarias para adecuar su actuación a la

normativa de protección de datos personales, con el alcance expresado en el

Fundamento de Derecho VII de la propuesta de resolución.

La notificación de esta propuesta de resolución fue entregada a la parte reclamada en

la misma fecha del 06/03/2023 a través del servicio de Dirección Electrónica Habilitada

Única (DEHÚ), concediéndosele plazo para formular alegaciones.

OCTAVO: Con fecha 10/03/2023, tuvo entrada en esta Agencia un escrito de la parte

reclamante en el que señala ?que, habiendo puesto la empresa a disposición del

reclamante así como de los letrados toda la documentación que acredita lo expuesto

en las alegaciones efectuadas por la empresa, por medio del presente se procede a

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

6/25

renunciar a cualquier indemnización que le pueda corresponder por la tramitación del

expediente?, así como a solicitar el archivo del expediente?.

NOVENO: Con fecha 17/03/2023, se recibió escrito de alegaciones a la propuesta de

resolución en el que la parte reclamada reitera y ratifica sus alegaciones anteriores y

solicita nuevamente el archivo del procedimiento. En este escrito, la parte reclamada

pone de manifiesto lo siguiente:

. La zona entre las máquinas de vending y el comedor es una zona de paso, que se

encuentra comunicada por dos puertas que comunican distintos espacios de la nave

industrial. (?) (aporta plano en el que consta marcada la zona de paso a la que se

refiere la parte reclamada).

Según la parte reclamada, ?es una zona de paso que atraviesa una zona de mesas

destinadas a comedor, pero no puede en ningún caso considerarse que todo el

espacio es un lugar de descanso, ya que por dicha zona transitan muchas personas

(?). La orientación de la cámara requiere la necesidad de asegurar además de lo

expuesto a continuación, el acceso desde la calle al interior del recinto?.

En base a ello, se muestra contraria a la apreciación de la AEPD, en cuanto a que el

campo de visión de la cámara pertenezca a la sala comedor. Considera inevitable que

dicha zona quede dentro del campo de visión de la cámara por la necesidad de

asegurar los accesos de la zona de paso.

Y añade que, ?a pesar de ser una zona que deben atravesar inevitablemente todas las

personas que acceden al comedor para hacer uso de la estancia, también es

inevitable que atraviesen el resto de pasillos de la nave y el lugar de trabajo

videovigilado para alcanzar el comedor. Por tanto, dicha zona debe considerarse una

zona exclusiva de paso y sin visionado de ninguna zona sensible del personal por no

tratarse de lugar destinado al descanso, ya que la zona destinada al descanso ya se

encuentra enteramente enmascarada, cumpliendo escrupulosamente con la intimidad

de los trabajadores?.

Por otra parte, señala que la AEPD no ha tenido en cuenta que las máquinas de

vending sufren constantes actos de vandalismo, según consta acreditado en las

actuaciones, y que es indispensable proteger el patrimonio material y empresarial, así

como la salud y seguridad de los trabajadores, en una zona de mucha afluencia de

personas que acceden desde el exterior a las distintas estancias atravesando la zona

en cuestión durante las 24 horas del día.

Reitera que el presente caso se ajusta a lo indicado en la resolución del expediente

número E/09297/2017, según la cual la instalación de cámaras en una zona de paso

que pudiera ser considerada de descanso para la AEPD tiene carácter excepcional y

se considera lícita si se limita la toma de imágenes sobre los bienes que puedan sufrir

amenazas.

Se plantea qué medio menos intrusivo podría haber utilizado para acreditar los daños

ocasionados a las máquinas de vending o la sustracción de productos sin abono del

precio; alega nuevamente que ha cumplido el juicio de proporcionalidad fijado por el

Tribunal Constitucional; y menciona, con respecto a la idoneidad, la Sentencia

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

7/25

432/2022, de la Sala de lo Contencioso Administrativo de la Audiencia Nacional de

31/01/2022.

Asimismo, manifiesta que la parte reclamante ha puesto en conocimiento de la

empresa que ha solicitado a la AEPD el archivo de las actuaciones, tras examinar la

documentación que acredita las alegaciones de la parte reclamada.

Concluye la parte reclamada que la videovigilancia de la zona no es caprichosa, sino

que se trata de una instalación justificada cuyo campo de captación de imágenes

únicamente incluye los bienes del patrimonio de la empresa así como la seguridad de

las personas que integran el centro de trabajo, dejando fuera del campo de visión las

mesas, garantizando la intimidad de los trabajadores, por lo que no puede apreciarse

una conducta vulneradora de un derecho fundamental; que la AEPD no tiene en

cuenta que existen carteles informativos y se han tomado todas las medidas de

información a los trabajadores; (?); y que no se conservan las grabaciones más

tiempo del establecido legalmente, (?).

En cuanto a la graduación de la sanción propuesta, alega que es proporcionada

considerando que se protege la intimidad de los trabajadores en la zona de mesas

destinada a comedor, la grabación se elimina conforme a lo estipulado legalmente

(?).

Con sus alegaciones, la parte reclamada aporta un plano de la planta en la que se

ubica el comedor. (?).

De las actuaciones practicadas en el presente procedimiento y de la documentación

obrante en el expediente, han quedado acreditados los siguientes:

HECHOS PROBADOS

PRIMERO: La parte reclamada, dedicada al trasporte y logística, desarrolla su

actividad económica en unas instalaciones ubicadas en ***DIRECCIÓN.1. Según ha

manifestado la parte reclamada, la afluencia de personas a estas instalaciones es alta,

ya sean trabajadores (?), autónomos que prestan allí sus servicios (?), personal de

ETT, clientes y proveedores.

SEGUNDO: Las instalaciones reseñadas en el Hecho Probado anterior disponen de

un sistema de videovigilancia del que es responsable la parte reclamada.

TERCERO: De las numerosas cámaras con las que cuenta el sistema de

videovigilancia instalado por la parte reclamada en sus dependencias sitas en

***DIRECCIÓN.1, una de ellas se encuentra emplazada en un comedor utilizado por

los trabajadores de la parte reclamada y otras personas que acceden a las

instalaciones. Es una sala de amplias dimensiones y cuenta con numerosas mesas

para cuatro comensales, una zona de mobiliario de cocina que cuenta con ocho

microondas y otra zona con varias máquinas de vending (bebidas frías, bebidas

calientes y snacks). El comedor dispone de ventanas al exterior en dos de sus lados,

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

8/25

en uno de los cuales se encuentra ubicada la cámara de videovigilancia enfocada

hacia el interior del comedor.

El campo de visión de esta cámara capta toda la estancia. En la parte izquierda de la

imagen pueden verse las máquinas de vending y a la derecha las mesas ubicadas

junto a las ventanas que dan al exterior, si bien la zona de ubicación de las mesas se

encuentra protegida por una máscara que cubre el límite exacto del espacio que

ocupan las mesas. Entre ambas zonas (máquinas de vending y mesas de comedor)

existe un espacio amplio, de unos dos metros de ancho y de extremo a extremo de la

estancia, el cual es captado íntegramente por la cámara en cuestión. El espacio que

separa la zona de máquinas de vending y las mesas pertenece íntegramente al interior

de la sala comedor, el cual deben atravesar inevitablemente todas las personas que

acceden al comedor para hacer uso de la estancia.

FUNDAMENTOS DE DERECHO

I

Competencia

De acuerdo con los poderes que el artículo 58.2 del RGPD otorga a cada autoridad de

control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD,

es competente para iniciar y resolver este procedimiento la Directora de la Agencia

Española de Protección de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: ?Los procedimientos

tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto

en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones

reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter

subsidiario, por las normas generales sobre los procedimientos administrativos?.

II

Desistimiento de la parte reclamante

La parte reclamante ha manifestado que la parte reclamada ha puesto a su disposición

la documentación que acredita sus alegaciones y que, en base a ello, solicita el

archivo del procedimiento, con renuncia a cualquier indemnización que le pueda

corresponder.

Esta pretensión debe ser rechazada, considerando que la parte reclamante no es

parte interesada en el procedimiento, lo que le impide intervenir en el mismo. Además,

el objeto de las presentes actuaciones no va dirigido a reconocer un derecho de la

parte reclamante a ser indemnizada, sino a determinar la posible existencia de una

conducta infractora por la parte reclamada y las consecuencias que de ello derivan.

Dicha solicitud debe ser igualmente desestimada, aunque se tomara el escrito

presentado por la parte reclamante como un desistimiento de su reclamación. Procede

señalar al respecto lo establecido en el artículo 63.1 de la LPACAP, según el cual ?los

procedimientos de naturaleza sancionadora se iniciarán siempre de oficio por acuerdo

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

9/25

del órgano competente?, estableciéndose en el artículo 68 de la LOPDGDD que

corresponde a la ?Presidencia de la Agencia Española de Protección de Datos,

cuando así proceda, dictar acuerdo de inicio de procedimiento para el ejercicio de la

potestad sancionadora?. Así, que la parte reclamante desista de su reclamación resulta

irrelevante y no implica el archivo o finalización del procedimiento sancionador

incoado, toda vez que el mismo se inicia y se tramita en todas sus fases de oficio.

III

La imagen es un dato personal

La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato

personal y su protección, por tanto, es objeto de dicho Reglamento. En el artículo 4.2

del RGPD se define el concepto de ?tratamiento? de datos personales.

Las imágenes generadas por un sistema de cámaras o videocámaras son datos de

carácter personal, por lo que su tratamiento está sujeto a la normativa de protección

de datos.

Es, por tanto, pertinente analizar si el tratamiento de datos personales (imagen de las

personas físicas) llevado a cabo a través del sistema de videovigilancia denunciado es

acorde con lo establecido en el RGPD.

IV

Infracción. Marco normativo

El artículo 6.1 del RGPD establece los supuestos que permiten considerar lícito el

tratamiento de datos personales.

?1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:

a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o

varios fines específicos;

b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte

o para la aplicación a petición de este de medidas precontractuales;

c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al

responsable del tratamiento;

d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona

física;

e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público

o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;

f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el

responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no

prevalezcan los intereses o los derechos y libertades fundamentales del interesado que

requieran la protección de datos personales, en particular cuando el interesado sea un niño.

Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por

las autoridades públicas en el ejercicio de sus funciones.

La implantación permanente de un sistema de cámaras de video por razones de

seguridad tiene base legítima en la LOPDGDD, cuya exposición de motivos indica:

?Junto a estos supuestos se recogen otros, tales como la videovigilancia? en que la licitud del

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

10/25

tratamiento proviene de la existencia de un interés público, en los términos establecidos en el

artículo 6.1.e) del Reglamento (UE) 2016/679?.

En cuanto al tratamiento con fines de videovigilancia, el artículo 22 de la LOPDGDD

establece que las personas físicas o jurídicas, públicas o privadas, podrán llevar a

cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras

con la finalidad de preservar la seguridad de las personas y bienes, así como de sus

instalaciones.

Este mismo artículo 22, en su apartado 8, dispone que ?El tratamiento por el

empleador de datos obtenidos a través de sistemas de cámaras o videocámaras se

somete a lo dispuesto en el artículo 89 de esta ley orgánica?.

Este artículo 89 de la LOPDGDD, referido al ?Derecho a la intimidad frente al uso de

dispositivos de videovigilancia y de grabación de sonidos en el lugar de trabajo?,

establece lo siguiente:

?1. Los empleadores podrán tratar las imágenes obtenidas a través de sistemas de cámaras o

videocámaras para el ejercicio de las funciones de control de los trabajadores o los empleados

públicos previstas, respectivamente, en el artículo 20.3 del Estatuto de los Trabajadores y en la

legislación de función pública, siempre que estas funciones se ejerzan dentro de su marco

legal y con los límites inherentes al mismo. Los empleadores habrán de informar con carácter

previo, y de forma expresa, clara y concisa, a los trabajadores o los empleados públicos y, en

su caso, a sus representantes, acerca de esta medida.

En el supuesto de que se haya captado la comisión flagrante de un acto ilícito por los

trabajadores o los empleados públicos se entenderá cumplido el deber de informar cuando

existiese al menos el dispositivo al que se refiere el artículo 22.4 de esta ley orgánica.

2. En ningún caso se admitirá la instalación de sistemas de grabación de sonidos ni de

videovigilancia en lugares destinados al descanso o esparcimiento de los trabajadores o los

empleados públicos, tales como vestuarios, aseos, comedores y análogos.

3. La utilización de sistemas similares a los referidos en los apartados anteriores para la

grabación de sonidos en el lugar de trabajo se admitirá únicamente cuando resulten relevantes

los riesgos para la seguridad de las instalaciones, bienes y personas derivados de la actividad

que se desarrolle en el centro de trabajo y siempre respetando el principio de proporcionalidad,

el de intervención mínima y las garantías previstas en los apartados anteriores. La supresión

de los sonidos conservados por estos sistemas de grabación se realizará atendiendo a lo

dispuesto en el apartado 3 del artículo 22 de esta ley?.

Sobre la legitimación para la implantación de sistemas de videovigilancia en el ámbito

laboral, se tiene en cuenta el Real Decreto Legislativo 1/1995, de 24/03, que aprueba

el texto refundido de la Ley del Estatuto de los Trabajadores (LET), cuyo artículo 20.3

señala:

?3. El empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control

para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales,

guardando en su adopción y aplicación la consideración debida a su dignidad y teniendo en

cuenta, en su caso, la capacidad real de los trabajadores con discapacidad?.

El Tribunal Constitucional, en la Sentencia 98/2000, de 10/04/2000, destaca en su

fundamento jurídico 6 que ?La jurisprudencia de este Tribunal ha insistido

reiteradamente en la plena efectividad de los derechos fundamentales del trabajador

en el marco de la relación laboral, ya que ésta no puede implicar en modo alguno la

privación de tales derechos para quienes prestan servicio en las organizaciones

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

11/25

productivas, que no son ajenas a los principios y derechos constitucionales. Sin

embargo no basta la mera manifestación del ejercicio del poder de control por el

empleador para que el derecho del trabajador se vea sacrificado. Estas limitaciones

empresariales tienen que ser las indispensables y estrictamente necesarias para

satisfacer un interés empresarial merecedor de tutela y protección, de manera que si

existen otras posibilidades de satisfacer dicho interés menos agresivas y afectantes

del derecho en cuestión, habrá que emplear estas últimas y no aquellas otras más

agresivas y afectantes. Se trata, en definitiva, de la aplicación del principio de

proporcionalidad?.

Para comprobar si una medida restrictiva de un derecho fundamental supera el juicio

de proporcionalidad es necesario constatar si cumple los tres requisitos o condiciones

siguientes:

. Si tal medida es susceptible de conseguir el objetivo propuesto (juicio de idoneidad);

. Si es necesaria, en el sentido de que no exista otra medida más moderada para la

consecución de tal propósito con igual eficacia (juicio de necesidad);

. Si la misma es ponderada o equilibrada, por derivarse de ella más beneficios o

ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto

(juicio de proporcionalidad).

Así, entre las medidas de vigilancia y control admitidas en el ámbito laboral se incluye

la instalación de cámaras de seguridad, si bien estos sistemas deberán responder

siempre al principio de proporcionalidad, es decir, el uso de las videocámaras debe ser

proporcional al fin perseguido, esto es garantizar la seguridad y el cumplimiento de las

obligaciones y deberes laborales.

En definitiva, aun cuando el artículo 20.3 del Estatuto de los Trabajadores faculta al

empresario para adoptar las medidas que estime más oportunas de vigilancia y control

para verificar el cumplimiento por el trabajador de sus obligaciones y deberes

laborales, esta adopción debe tener en cuenta obligatoriamente los derechos

específicos de los trabajadores respetando los derechos a la intimidad y el derecho

fundamental a la protección de datos.

En los términos del citado artículo 89 de la LOPDPGDD, se permite que los

empleadores puedan tratar las imágenes obtenidas a través de sistemas de cámaras o

videocámaras para el ejercicio de las funciones de control de los trabajadores

previstas en el artículo 20.3 del Estatuto de los Trabajadores ?siempre que estas

funciones se ejerzan dentro de su marco legal y con los límites inherentes al mismo?.

De acuerdo con lo expuesto, los empleadores habrán de informar con carácter previo,

y de forma expresa, clara y concisa, a los trabajadores y, en su caso, a sus

representantes, acerca de esta medida (artículo 89.1 de la LOPDGDD).

Por tanto, el tratamiento debe ser ajustado y proporcional a la finalidad a la que se

dirige. La pertinencia en el tratamiento de los datos debe producirse tanto en el

momento de la recogida de los datos como en el posterior tratamiento que se realice

de los mismos, de modo que el sistema de cámaras o videocámaras instalado no

pueda obtener imágenes afectando a la intimidad de los empleados, resultando

desproporcionado captar imágenes en espacios privados, tales como vestuarios,

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

12/25

taquillas o zonas de descanso de trabajadores.

Así se establece expresamente en el citado artículo 89 de la LOPDGDD en relación

con la instalación de sistemas de videovigilancia:

?2. En ningún caso se admitirá la instalación de sistemas de grabación de sonidos ni de

videovigilancia en lugares destinados al descanso o esparcimiento de los trabajadores o los

empleados públicos, tales como vestuarios, aseos, comedores y análogos.

Según este artículo, la vigilancia en centros de trabajo no deberá abarcar lugares

reservados al uso privado de los empleados o que no estén destinados a la realización

de tareas de trabajo (como servicios, duchas, vestuarios, comedores o zonas de

descanso).

V

Obligaciones en materia de videovigilancia

De conformidad con lo expuesto, el tratamiento de imágenes a través de un sistema

de videovigilancia, para ser conforme con la normativa vigente, debe cumplir los

requisitos siguientes:

1.- La personas físicas o jurídicas, públicas o privadas, pueden establecer un sistema

de videovigilancia con la finalidad de preservar la seguridad de las personas y bienes,

así como de sus instalaciones.

Se ha de valorar si la finalidad pretendida puede lograrse de otra forma menos

intrusiva para los derechos y libertades de los ciudadanos. Los datos personales solo

deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por

otros medios, considerando 39 del RGPD.

2.- Las imágenes obtenidas no puedan utilizarse para una finalidad ulterior

incompatible con la que motivó la instalación del sistema de videovigilancia.

3.- Se deberá cumplir el deber de informar a los afectados previsto en los artículos 12

y 13 del RGPD, y 22 de la LOPDGDD, en los términos ya señalados.

4.- No pueden captarse imágenes de la vía pública, puesto que el tratamiento de

imágenes en lugares públicos, salvo que concurra autorización gubernativa, sólo

puede ser realizado por las Fuerzas y Cuerpos de Seguridad.

En algunas ocasiones, para la protección de espacios privados, donde se hayan

instalado cámaras en fachadas o en el interior, puede ser necesario para garantizar la

finalidad de seguridad la grabación de una porción de la vía pública.

Es decir, las cámaras y videocámaras instaladas con fines de seguridad no podrán

obtener imágenes de la vía pública salvo que resulte imprescindible para dicho fin, o

resulte imposible evitarlo por razón de la ubicación de aquéllas. Y, en tal caso

extraordinario, las cámaras sólo podrán captar la porción mínima necesaria para

preservar la seguridad de las personas y bienes, así como de sus instalaciones.

Las cámaras instaladas no pueden obtener imágenes de espacio privativo de tercero

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

13/25

y/o espacio público sin causa justificada debidamente acreditada, ni pueden afectar a

la intimidad de transeúntes que transiten libremente por la zona.

No está permitida, por tanto, la colocación de cámaras hacia la propiedad privada de

vecinos con la finalidad de intimidarlos o afectar a su ámbito privado sin causa

justificada.

En ningún caso se admitirá el uso de prácticas de vigilancia más allá del entorno

objeto de la instalación y en particular, no pudiendo afectar a los espacios públicos

circundantes, edificios contiguos y vehículos distintos de los que accedan al espacio

vigilado.

No pueden captarse ni grabarse imágenes en espacios propiedad de terceros sin el

consentimiento de sus titulares, o, en su caso, de las personas que en ellos se

encuentren.

Resulta desproporcionado captar imágenes en espacios privados, tales como

vestuarios, taquillas o zonas de descanso de trabajadores.

5.- Las imágenes podrán conservarse por un plazo máximo de un mes, salvo en

aquellos supuestos en que se deban conservar para acreditar la comisión de actos

que atenten contra la integridad de personas, bienes o instalaciones.

En este segundo supuesto, deberán ser puestas a disposición de la autoridad

competente en un plazo máximo de 72 horas desde que se tuviera conocimiento de la

existencia de la grabación.

6.- El responsable deberá llevar un registro de actividades de los tratamientos

efectuados bajo su responsabilidad en el que se incluya la información a la que hace

referencia el artículo 30.1 del RGPD.

7.- El responsable deberá realizar un análisis de riesgos o, en su caso, una evaluación

de impacto en la protección de datos, para detectar los derivados de la implantación

del sistema de videovigilancia, valorarlos y, en su caso, adoptar las medidas de

seguridad apropiadas.

8.- Cuando se produzca una brecha de seguridad que afecte a los tratamientos de

cámaras con fines de seguridad, siempre que exista riesgo para los derechos y

libertades de las personas físicas, deberá notificarlo a la AEPD en un plazo máximo de

72 horas.

Se entiende por brecha de seguridad la destrucción, pérdida o alteración accidental o

ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la

comunicación o acceso no autorizado a dichos datos.

9.- Cuando el sistema esté conectado a una central de alarma, únicamente podrá ser

instalado por una empresa de seguridad privada que reúna los requisitos

contemplados en el artículo 5 de la Ley 5/2014 de Seguridad Privada, de 4 de abril.

La Agencia Española de Protección de Datos ofrece a través de su página web

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

14/25

[https://www.aepd.es] acceso a:

. la legislación en materia de protección de datos personales, incluyendo el RGPD

y la LOPDGDD (apartado ?Informes y resoluciones? / ?normativa?),

. la Guía sobre el uso de videocámaras para seguridad y otras finalidades,

. la Guía para el cumplimiento del deber de informar (ambas disponibles en el

apartado ?Guías y herramientas?).

También resulta de interés, en caso de realizar tratamientos de datos de bajo riesgo, la

herramienta gratuita ?Facilita? (en el apartado ?Guías y herramientas?), que, mediante

unas preguntas concretas, permite valorar la situación del responsable respecto del

tratamiento de datos personales que lleva a cabo, y en su caso, generar diversos

documentos, cláusulas informativas y contractuales, así como un anexo con medidas

de seguridad orientativas consideradas mínimas.

VI

Infracción administrativa. Tipificación y calificación de la infracción.

La reclamación se basa en la presunta ilicitud de la cámara de videovigilancia

instalada en la zona habilitada como comedor de los trabajadores, en las

dependencias de la entidad reclamada sitas en ***DIRECCIÓN.1.

No resulta controvertido en este caso el hecho de que la parte reclamada es la titular y

responsable del sistema de videovigilancia denunciado y, por tanto, la responsable de

los tratamientos de datos que conlleva la utilización de dicho sistema. Y tampoco el

hecho de que entre los tratamientos de datos realizados se contempla la recogida y

almacenamiento de datos personales relativos a la imagen de empleados y otros

afectados en el interior del área indicada anteriormente. La captación de estas

imágenes ha sido reconocida por la parte reclamada.

Consta probado en las actuaciones, asimismo, que dicha instalación se realiza con

fines de seguridad y control empresarial.

Al realizar la recogida y utilización de las imágenes obtenidas en el comedor habilitado

para el personal, no tiene en cuenta la parte reclamada los limites previstos en el

artículo 20.3 de la Ley del Estatuto de los Trabajadores (LET), que admite la grabación

de imágenes para el ejercicio de funciones de control laboral cuando esas funciones

respeten el marco legal y con los límites inherentes al mismo, como es el respeto a la

dignidad del trabajador; y tampoco lo dispuesto en el artículo 89.2 de la LOPDGDD,

que prohíbe, en todo caso, la instalación de sistemas de grabación de imágenes o

videovigilancia ?en lugares destinados al descanso o esparcimiento de los

trabajadores?, tales como vestuarios, aseos, comedores y análogos?.

En consecuencia, en este caso, se ha vulnerado la prohibición general que establece

el artículo 89.2 de la LOPDGDD, sobre la captación de imágenes en una zona de

comedor del personal.

La parte reclamada no cuestiona que la zona captada por la cámara que motiva las

actuaciones esté destinada a comedor y que la misma sea utilizada con este fin por

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

15/25

sus empleados. Pero ha señalado que el comedor en cuestión no es una zona de con

acceso exclusivo de empleados, sino una zona con mucha afluencia de personas, de

uso común por los trabajadores, autónomos que prestan allí sus servicios (?),

personal de ETT, clientes y proveedores; que no tiene, en definitiva, el fin del

descanso exclusivo de los trabajadores

A este respecto, es preciso destacar, por un lado, que es la norma antes citada la que

atribuye a los comedores la calificación de ?lugares destinados al descanso o

esparcimiento de los trabajadores? y, por otro lado, que el hecho de que el comedor

sea utilizado por personas distintas a los trabajadores propios de la empresa no

excluye ni minora la cobertura legal aludida, en la medida en que tales circunstancias

no excluyen la calificación de esta sala como zona de descanso de trabajadores.

Además, a los efectos que nos ocupan, entiende esta Agencia que algunos de los

grupos o categorías de afectados indicados por la parte reclamada pueden incluirse en

el concepto de trabajadores, no existiendo razón alguna para excluir de la protección

que establece el artículo 89.2 de la LOPDGDD a los trabajadores autónomos y

personal de ETT que prestan servicio en las dependencias de la parte reclamada.

Y no solo eso. Se entiende, además, desproporcionada la captación de imágenes que

realiza la cámara instalada en el comedor mencionado y que el fin pretendido pudo

obtenerse de forma menos intrusiva, sin que supusiera una intromisión en la intimidad

de las personas afectadas.

Según consta en el Hecho Probado Tercero, el comedor en el que está emplazada la

cámara de videovigilancia es una sala de amplias dimensiones, que cuenta con

numerosas mesas para cuatro comensales, una zona de mobiliario de cocina que

cuenta con ocho microondas y otra zona con varias máquinas de vending (bebidas

frías, bebidas calientes y snacks).

Asimismo, según la imagen aportada a las actuaciones por la propia parte reclamada,

consta que el campo de visión de dicha cámara capta toda la estancia, si bien la zona

de ubicación de las mesas se encuentra protegida por una máscara que cubre el límite

exacto del espacio que ocupan.

No obstante, entre las mesas, que ocupan la parte derecha de la sala comedor en la

imagen tomada por la cámara, y las máquinas de vending, situadas en un extremo de

la sala, en la parte izquierda de la imagen, existe un espacio amplio, de unos dos

metros de ancho y de extremo a extremo de la estancia, que es captado íntegramente

por la cámara en cuestión sin restricción de ningún tipo. Este espacio que separa la

zona de máquinas de vending y las mesas pertenece íntegramente al interior de la

sala comedor, el cual es atravesado inevitablemente por todas las personas que

acceden al comedor para hacer uso de la estancia.

La captación de este espacio entre las mesas y las máquinas de vending no cumple el

juicio de proporcionalidad, considerando la finalidad perseguida por la parte reclamada

con la instalación de la cámara en el comedor, de modo que esta medida ha de

calificarse como restrictiva de los derechos de los afectados.

La parte reclamada, en su respuesta al trámite de traslado de la reclamación y en el

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

16/25

escrito de alegaciones a la apertura del procedimiento, manifiesta que, en virtud del

artículo 20.3 del Estatuto de los Trabajadores, la instalación de un sistema de

videovigilancia en todo el centro de trabajo resulta proporcional, en cuanto a la

ponderación del poder de dirección y control de la actividad empresarial y el derecho a

la intimidad de los interesados.

Considera, también, la parte reclamada que la utilización realizada del sistema de

videovigilancia persigue un objetivo legítimo, como es la protección de sus bienes, en

concreto las máquinas de vending, que han sufrido varios actos vandálicos y robos; y

que dicha utilización se considera lícita por nuestra doctrina jurisprudencial para

situaciones como la indicada; y que cumple el juicio de proporcionalidad fijado por el

Tribunal Constitucional, entendiendo que los robos y daños que se vienen produciendo

en las máquinas de vending legitiman la instalación de la cámara, que esta instalación

es idónea para determinar los autores de los daños, necesaria para aportar las

pruebas pertinentes y proporcional, dado que la las imágenes se limitan a la zona

previamente informada y solo visualiza los útiles de la empresa, las citadas máquinas

de vending y las ventanas, en una zona de paso con gran concurrencia de personas.

Sin embargo, según se ha indicado anteriormente, esta Agencia no comparte la

conclusión de la parte reclamada y entiende que el tratamiento de datos realizado va

más allá del estrictamente necesario, a juzgar por el detalle visualizado por la cámara.

Esta captación no se limita a controlar exclusivamente las personas que hacen uso de

las máquinas de vending, sino que alcanza a todas las personas que acceden al

comedor, hagan uso o no de dichas maquinas. El juicio de necesidad implica que no

exista otra medida más moderada para la consecución de propósito con igual eficacia.

Si el propósito de la instalación de la cámara era la protección de los bienes

patrimoniales de la empresa y máquinas de vending, el campo de visión captado por

dicha cámara debió limitarse el mínimo imprescindible para garantizar esta protección

o para obtener los resultados pretendidos respecto de la sustracción de artículos

propiedad de la parte reclamada o la comisión de actos ilícitos contra los bienes.

La Sentencia del Tribunal Constitucional 119/2022, de 29 de septiembre, admite estas

grabaciones cuando existan indicios sobre la comisión de actos ilícitos, pero siempre

que no exista otra forma menos invasiva de confirmar la ilicitud de la conducta del

trabajador y se respeten los lugares de descanso. En esta Sentencia se declara:

?En consecuencia, en el marco general del control del cumplimiento de un contrato de trabajo,

y a estos solos fines, el empresario podrá instalar un sistema de videovigilancia. La instalación

y uso del sistema no requerirá el consentimiento de los trabajadores, pero sí exige un deber de

informar a estos con carácter previo y de forma expresa sobre su existencia y finalidad. La

ubicación de las cámaras habrá de respetar la intimidad propia de los lugares destinados al

descanso o esparcimiento, o que tengan un carácter reservado. No obstante, la utilización de

las imágenes captadas para verificar o acreditar la comisión flagrante de un acto ilícito no

exigirá el previo deber de información, que podrá entenderse cumplido cuando se haya

colocado en lugar visible un distintivo informativo de la existencia del sistema, de su

responsable y de su finalidad.

(?)

En las concretas circunstancias del caso, puede afirmarse que la instalación del sistema de

videovigilancia y la consiguiente utilización de las imágenes captadas resultaba una medida

justificada, idónea, necesaria y proporcionada.

(i)?La medida estaba justificada, porque concurrían sospechas indiciarias suficientes de una

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

17/25

conducta irregular del trabajador ?ya descrita? que debía ser verificada.

(ii)?La medida puede considerarse como idónea para la finalidad pretendida, que no era otra

que la constatación de la eventual ilicitud de la conducta, lo que fue confirmado precisamente

mediante el visionado de las imágenes.

(iii)?La medida era necesaria, ya que no parece que pudiera adoptarse ninguna otra menos

invasiva e igualmente eficaz para acreditar la infracción laboral. Cualquier otra medida habría

advertido al trabajador, haciendo entonces inútil la actuación de la empresa.

(iv)?Finalmente, la medida puede considerarse como proporcionada. En este punto hay que

ponderar diversos elementos de juicio. Así, en primer lugar, las cámaras no estaban instaladas

en lugares de descanso, ocio o de carácter reservado, en los que existiera una expectativa

razonable de privacidad, sino que estaban instaladas en zonas de trabajo abiertas a la atención

al público. En segundo lugar, las cámaras no estaban instaladas de forma subrepticia, sino que

estaban ubicadas en lugares visibles, tanto para los trabajadores del establecimiento como

para el público en general. En tercer lugar, las cámaras no fueron utilizadas con carácter

generalizado o indefinido, o para realizar una investigación de carácter prospectivo, sino para

verificar la posible existencia de una conducta irregular detectada el día anterior. Por lo tanto, el

grado de intromisión en la esfera de la intimidad del trabajador (art. 18.1 CE), en términos de

espacio y tiempo, no puede considerarse como desequilibrado frente a los derechos e

intereses de la empresa en la detección y sanción de las conductas atentatorias contra la

buena fe contractual, en el marco del ejercicio de los derechos a la propiedad privada y a la

libertad de empresa, reconocidos en los arts. 33 y 38 CE, respectivamente?.

Alega, asimismo, la parte reclamada que la zona entre las máquinas de vending y el

comedor es una ?zona de paso?, comunicada con otros espacios de la nave industrial

por dos puertas (una próxima a las máquinas de vending y la otra al fondo de la sala,

según el campo de visión de la cámara de videovigilancia objeto de las actuaciones).

(?). Según el plano aportado a las actuaciones, se comprueba que las dos puertas

comunican con otros espacios cerrados en los que puede accederse, en ambos casos,

a las escaleras del edificio.

Por ello, y considerando las muchas personas que transitan esta zona que atraviesa el

espacio en el que se ubican las mesas destinadas a comedor, entiende que no puede

considerarse un espacio destinado al descanso ni que el campo de visión de la

cámara pertenezca a la sala comedor. Y añade que la orientación de la cámara

requiere asegurar el acceso desde la calle al interior del recinto y los accesos de la

zona de paso.

Esta Agencia entiende, no obstante, que el espacio en cuestión pertenece

íntegramente al interior de una sala cerrada destinada a comedor. Además, la parte

reclamada no justifica que la seguridad del edificio requiera el control de esa supuesta

?zona de paso? y que la misma seguridad y control no puedan obtenerse sin esta

cámara adicional instalada en el comedor, haciendo uso solo del sistema instalado en

las zonas en las que sí está permitida la captación de imágenes. (?) (?).

La propia entidad reclamada admite en su escrito de alegaciones que las personas

que acceden al comedor atraviesan ?el resto de pasillos de la nave y el lugar de

trabajo videovigilado para alcanzar el comedor?.

Con esta manifestación, la parte reclamada pretende también asimilar la captación de

imágenes del trabajador en la zona controvertida, que pertenece al interior de la sala

comedor, con la captación de imágenes en las estancias o espacios contiguos que

deben atravesar para llegar al comedor las personas que hacen uso del mismo. Es

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

18/25

tanto como decir que, siendo posible captar imágenes de las personas que se dirigen

al comedor atravesando distintos lugares del edifico, también es posible captar

imágenes en el interior del comedor, salvo en el espacio ocupado por las mesas

estrictamente delimitado, como si la intimidad de la persona solo debiera protegerse

cuando hace uso de una de las mesas. Sin embargo, es claro ambos espacios no son

asimilables, y que la norma protege el espacio destinado al descanso en su integridad

y no solo una parte del mismo, a conveniencia de la entidad responsable.

En consecuencia, en este caso, puede entenderse desproporcionada e ilícita la

captación de imágenes referidas en la reclamación que da lugar al presente

procedimiento sancionador. Se tiene en cuenta que la grabación de imágenes en la

zona indicada supone una intromisión en la intimidad de las personas.

El planteamiento y conclusión expresados en el presente acto no contradicen lo

señalado en los precedentes de esta Agencia invocados por la parte reclamada, ni las

Sentencias aludidas en su escrito de alegaciones.

Cita la parte reclamada los precedentes señalados con los números E/09297/2018 y E/

01760/2017, indicando que están referidos a la instalación de cámaras en zonas de

descanso orientadas a los bienes que se pretende proteger, que se considera lícita

dicha instalación si la captación de imágenes se limita a los bienes que pueden sufrir

amenazas y que esta Agencia resolvió el archivo de las actuaciones.

En la resolución dictada en el primero de ellos, el número E/09297/2018, se archivan

las actuaciones porque el supuesto está referido a una cámara simulada. Se exponen,

no obstante, en dicha resolución, los criterios que habilitan la instalación de una

cámara de videovigilancia en lugares de descanso para la protección de bienes, y

sobre la base legítima del tratamiento se indica lo siguiente:

?a) Si existen actos vandálicos, debe limitarse la toma de imágenes sobre la parte de los bienes

que pueden sufrir dichas amenazas, no siendo proporcionado que una cámara tipo domo vigile

la totalidad de la zona. Si se decidiera instalar se podrían cambiar de sitio los bienes a proteger

en el espacio menos invasivo para las personas.

b) La recogida de imágenes, si se acredita dicha finalidad, tendría que ser muy limitada a esos

bienes que han sufrido dichas actuaciones, sin que sirva como justificación la creencia o

expectativa de que puedan sufrir actos vandálicos?.

De la misma forma, la resolución de archivo de actuaciones adoptada en el

E/01760/2017, referido a un supuesto de instalación de cámaras para la protección de

máquinas de vending en zonas de descanso de trabajadores, declara lo siguiente:

?En el presente caso, de la documentación fotográfica aportada por la entidad denunciada se

desprende que existen cámaras instaladas en la zona de vending, cuya finalidad es evitar que

se cometan actos violentos contra las máquinas expendedoras, indicando que algunas de

estas máquinas están ubicadas en salas de descanso utilizadas por los camioneros que vienen

a recoger los productos mientras esperan a que se carguen los camiones. De las imágenes

aportadas se desprende que dichas cámaras están orientadas a las máquinas expendedoras,

lo que sólo permitiría captar a las personas que utilizaran dichas máquinas, debiendo

considerarse, que siempre que se mantengan en estas condiciones y ubicación, existiría un

tratamiento proporcional que justificaría su instalación, de acuerdo al fin pretendido, siendo el

área captada la mínima posible para el fin pretendido?.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

19/25

También en relación con la posibilidad de instalar cámaras para proteger el patrimonio

empresarial cuando se han cometido irregularidades o existen sospechas de ello, cita

la parte reclamada la Sentencia núm. 630/2016 del Tribunal Supremo y Sentencia de

17/10/2019 del Tribunal Europeo de Derechos Humanos, pero el supuesto analizado

no trata de la grabación de zonas privadas, sino zonas de trabajo.

También cita la parte reclamada la Sentencia núm. 1190/2021, de la Sala de lo Social

del Tribunal Superior de Justicia de las Islas Canarias, pero lo hace destacando las

alegaciones de la entidad recurrente en ese supuesto y no lo declarado por el Tribunal.

Y la Sentencia 432/2022, de la Sala de lo Contencioso Administrativo de la Audiencia

Nacional de 31/01/2022, que no guarda relación con el presente caso al estar referida

a la instalación de cámaras en el interior de una vivienda.

Por último, en contra de lo manifestado por la parte reclamada, cabe aclarar que esta

Agencia si ha tenido en cuenta la existencia de carteles informativos o la no

conservación de las imágenes más tiempo del establecido, si bien se trata de

circunstancias que no modifican las conclusiones expuestas. De haberse confirmado

la inexistencia de carteles informativos, que fue objeto de la reclamación, hubiese

motivado la imputación de una infracción por incumplimiento del deber de informar en

materia de protección de datos personales.

En consecuencia, en virtud de cuanto antecede, se considera que los hechos

expuestos vulneran lo establecido en el artículo 6 del RGPD, por lo que suponen la

comisión de una infracción tipificada en el artículo 83.5 del RGPD, que da lugar a la

aplicación de los poderes correctivos que el artículo 58 del citado Reglamento otorga a

la Agencia Española de Protección de Datos. Este artículo 83.5.a) del RGPD dispone

lo siguiente:

?Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado

2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa,

de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del

ejercicio financiero anterior, optándose por la de mayor cuantía:

a) los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a

tenor de los artículos 5, 6, 7 y 9;?.

A efectos del plazo de prescripción de las infracciones, la infracción señalada en el

párrafo anterior se considera muy grave conforme al artículo 72.1 de la LOPDGDD,

que establece que:

?En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran

muy graves y prescribirán a los tres años las infracciones que supongan una vulneración

sustancial de los artículos mencionados en aquel y, en particular, las siguientes:

(?)

b) El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del

tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679?.

VII

Sanción

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

20/25

El artículo 58.2 del RGPD establece:

?Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a

continuación:

(...)

d) ordenar al responsable o encargado de tratamiento que las operaciones de tratamiento se

ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada

manera y dentro de un plazo especificado;

(...)

i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las

medidas mencionadas en el presente apartado, según las circunstancias de cada caso

particular?.

Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en el artículo

58.2.d) del citado Reglamento es compatible con la sanción consistente en multa

administrativa.

Con respecto a la infracción del artículo 6 del RGPD, atendiendo a los hechos

expuestos, se considera que la sanción que correspondería imponer es de multa

administrativa.

La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada

y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Así, se

considera, con carácter previo, la condición de gran empresa de la parte reclamada y

su volumen de negocio (consta en las actuaciones que (?).

A fin de determinar la multa administrativa a imponer se han de observar las

previsiones del artículo 83.2 del RGPD, que señala lo siguiente:

?2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso

individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58,

apartado 2, letras a) a h) y j). Al decidir la imposición de una multa administrativa y su cuantía

en cada caso individual se tendrá debidamente en cuenta:

a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza,

alcance o propósito de la operación de tratamiento de que se trate así como el número de

interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;

b) la intencionalidad o negligencia en la infracción;

c) cualquier medida tomada por el responsable o encargado del tratamiento para paliar los

daños y perjuicios sufridos por los interesados;

d) el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta

de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;

e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;

f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la

infracción y mitigar los posibles efectos adversos de la infracción;

g) las categorías de los datos de carácter personal afectados por la infracción;

h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el

responsable o el encargado notificó la infracción y, en tal caso, en qué medida;

i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas

previamente contra el responsable o el encargado de que se trate en relación con el mismo

asunto, el cumplimiento de dichas medidas;

j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación

aprobados con arreglo al artículo 42, y

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

21/25

k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los

beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de

la infracción?.

Por su parte, el artículo 76 ?Sanciones y medidas correctivas? de la LOPDGDD,

respecto al apartado k) del citado artículo 83.2 RGPD, dispone:

?1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE)

2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el

apartado 2 del citado artículo.

2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679 también

podrán tenerse en cuenta:

a) El carácter continuado de la infracción.

b) La vinculación de la actividad del infractor con la realización de tratamientos de datos

personales.

c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.

d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la

infracción.

e) La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción,

que no puede imputarse a la entidad absorbente.

f) La afectación a los derechos de los menores.

g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.

h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a

mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan

controversias entre aquellos y cualquier interesado?.

En el presente caso, se estiman concurrentes como agravantes los criterios de

graduación siguientes:

. Artículo 83.2.a) del RGPD: ?a) la naturaleza, gravedad y duración de la

infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación

de tratamiento de que se trate así como el número de interesados afectados y el

nivel de los daños y perjuicios que hayan sufrido?.

. El número de interesados: la utilización de la cámara de videovigilancia que

ha determinado la infracción no afecta únicamente a la parte reclamada. La

propia entidad reclamada ha manifestado que el comedor en el que dicha

cámara se encuentra ubicada es un lugar con mucha afluencia de personas,

entre sus trabajadores (?), autónomos que prestan allí sus servicios (?),

personal de ETT, clientes y proveedores.

. Artículo 83.2.b) del RGPD: ?b) la intencionalidad o negligencia en la infracción?.

La negligencia apreciada en la instalación de una cámara de videovigilancia que

permite la recogida de imágenes en un espacio privado destinado al descanso de

los trabajadores, expresamente prohibido por la normativa de aplicación. A este

respecto, se tiene en cuenta lo declarado en Sentencia de la Audiencia Nacional

de 17/10/2007 (rec. 63/2006) que, partiendo de que se trata de entidades cuya

actividad lleva aparejado en continuo tratamiento de datos, indica que ??el

Tribunal Supremo viene entendiendo que existe imprudencia siempre que se

desatiende un deber legal de cuidado, es decir, cuando el infractor no se

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

22/25

comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha

de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda

de que, en el caso ahora examinado, cuando la actividad de la recurrente es de

constante y abundante manejo de datos de carácter personal ha de insistirse en el

rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto?.

Se trata de una empresa que realiza tratamientos de datos personales de manera

sistemática y continua en el ámbito en que se han producido los hechos y que

debe extremar el cuidado en el cumplimiento de sus obligaciones en materia de

protección de datos.

. Artículo 83.2.g) del RGPD: ?las categorías de los datos de carácter personal

afectados por la infracción?;

Si bien no se han visto afectadas ?Categorías especiales de datos personales?,

según define el RGPD en el artículo 9, los datos personales a los que se refieren

las actuaciones (imagen de los interesados) tiene una naturaleza especialmente

sensible, por cuanto permite la pronta identificación de los interesados y aumenta

los riesgos sobre su privacidad.

. Artículo 76.2.b) de la LOPDGDD: ?b) La vinculación de la actividad del infractor

con la realización de tratamientos de datos personales?.

La alta vinculación de la parte reclamada con la realización de los tratamientos de

datos personales en el ámbito laboral que son objeto del procedimiento. Esta

circunstancia determina un mayor grado de exigencia y profesionalidad y,

consiguientemente, de la responsabilidad de la parte reclamada en relación con el

tratamiento de los datos.

Se considera, asimismo, que concurren como atenuantes las circunstancias

siguientes:

. Artículo 83.2.d) del RGPD: ?d) el grado de responsabilidad del responsable o del

encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas

que hayan aplicado en virtud de los artículos 25 y 32?.

La entidad reclamada dispone de un complejo sistema de videovigilancia y ha

implantado procedimientos adecuados de actuación en la recogida y tratamiento

de los datos de carácter personal que conlleva dicho sistema, no habiéndose

apreciados en las actuaciones otros defectos distintos a la infracción declarada.

Considerando los factores expuestos, la valoración que alcanza la multa por la

infracción del artículo 6 del RGPD es de 50.000 euros (cincuenta mil euros).

La parte reclamada considera desproporcionada esta sanción, alegando que protege

la intimidad de los trabajadores en la zona de mesas destinada a comedor, que la

grabación se elimina conforme a lo estipulado legalmente (?).

Pero estas circunstancias no modifican la responsabilidad por los hechos que han

determinado la infracción sancionada. Ya se ha valorado como atenuante que el

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

23/25

sistema de videovigilancia es complejo, sin que se hayan apreciado otros defectos que

los determinantes de la infracción declarada. Además, la no conservación de las

grabaciones o la no utilización de imágenes fuera de lo previsto en la norma son

circunstancias que, de no concurrir, serían motivo de nuevas infracciones.

VIII

Medidas de adecuación a la normativa

Confirmada la infracción, procede imponer al responsable la adopción de medidas

adecuadas para ajustar su actuación a la normativa mencionada en este acto, de

acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el cual cada

autoridad de control podrá ?ordenar al responsable o encargado del tratamiento que

las operaciones de tratamiento se ajusten a las disposiciones del presente

Reglamento, cuando proceda, de una determinada manera y dentro de un plazo

especificado??.

En el texto de este acuerdo se establecen cuáles han sido las infracciones

presuntamente cometidas y los hechos que dan lugar a la vulneración de la normativa

de protección de datos, de lo que se infiere con claridad cuáles son las medidas a

adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos

concretos para implementarlas corresponda a la parte sancionada, pues es el

responsable del tratamiento quien conoce plenamente su organización y ha de decidir,

en base a la responsabilidad proactiva y el enfoque de riesgos, cómo cumplir con el

RGPD y la LOPDGDD.

No obstante, en este caso, con independencia de lo anterior, procede requerir a la

entidad responsable para que, en el plazo que se indica en la parte dispositiva,

suprima la captación de imágenes por el sistema de videovigilancia objeto de las

actuaciones en la zona destinada a comedor de los trabajadores, con el alcance

expresado en este acto. Deberá suprimir la cámara de videovigilancia instalada en la

zona de comedor de los empleados.

Se advierte que no atender a los requerimientos de este organismo puede ser

considerado como una infracción administrativa conforme a lo dispuesto en el RGPD,

tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la

apertura de un ulterior procedimiento administrativo sancionador.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de

graduación de las sanciones cuya existencia ha quedado acreditada,

la Directora de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a GRUPO TRANSAHER, S.L., con NIF B78147758, por una

infracción del artículo 6 del RGPD, tipificada en el artículo 83.5.a) del mismo

Reglamento, y calificada como muy grave a efectos de prescripción en el artículo

72.1.b) de la LOPDGDD, una multa de 50.000 euros (cincuenta mil euros).

SEGUNDO: Que por la Directora de la Agencia Española de Protección de Datos se

ordene a GRUPO TRANSAHER, S.L., en el plazo de un mes contado desde la

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

24/25

notificación del presente acto, adopte las medidas necesarias para adecuar su

actuación a la normativa de protección de datos personales, con el alcance expresado

en el Fundamento de Derecho VIII de esta resolución. En el mismo plazo indicado,

GRUPO TRANSAHER, S.L. deberá informar y justificar ante esta Agencia el

cumplimiento de las medidas impuestas.

TERCERO: NOTIFICAR la presente resolución a GRUPO TRANSAHER, S.L.

CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una

vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el

art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo

Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago

voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado

por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003,

de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número

de procedimiento que figura en el encabezamiento de este documento, en la cuenta

restringida nº IBAN: ES00 0000 0000 0000 0000 0000 (BIC/Código SWIFT:

XXXXXXXXXXX), abierta a nombre de la Agencia Española de Protección de Datos en

la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su

recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra

entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago

voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se

encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago

será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente

Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la

LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los

interesados podrán interponer, potestativamente, recurso de reposición ante la

Directora de la Agencia Española de Protección de Datos en el plazo de un mes a

contar desde el día siguiente a la notificación de esta resolución o directamente

recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la

Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de

la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la

Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el

día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la

referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se

podrá suspender cautelarmente la resolución firme en vía administrativa si el

interesado manifiesta su intención de interponer recurso contencioso-administrativo.

De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante

escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través

del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb

/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la

citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

25/25

documentación que acredite la interposición efectiva del recurso contenciosoadministrativo.

Si la Agencia no tuviese conocimiento de la interposición del recurso

contencioso-administrativo en el plazo de dos meses desde el día siguiente a la

notificación de la presente resolución, daría por finalizada la suspensión cautelar.

938-181022

Mar España Martí

Directora de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es