Situación legal de las cámaras falsas de videovigilancia

Resolución 2713/15

En el presente supuesto nos encontramos con una denuncia planteada a la Policía Local de San Cristóbal de la Laguna  por un particular contra una vivienda. Los agentes de la Policía Local, identifican al responsable de la instalación de videocámaras en el domicilio de (X) y adjuntan un informe fotográfico de los carteles anunciadores de la existencia de cámaras de videovigilancia, no siendo estos los dispuestos en el modelo de cartel informativo de zona videovigilada previstos en el artículo 3.a de la Instrucción 1/2006 en la web de la citada Agencia.

Igualmente se verifica que el sistema instalado no dispone de capacidad de visualización y/o grabación de imágenes. El sistema no pudo ser desinstalado para realizar la comprobación, pero los agentes personados en el domicilio dan fe de que el mismo no dispone de la mencionada capacidad. Se adjunta informe fotográfico del sistema instalado.

Del informe remitido queda acreditado que el sistema instalado (que consta de tres cámaras) no dispone de capacidad de visualización y/o grabación de imágenes.

Por tanto si las cámaras instaladas no captan ni graban imágenes, debe deducir que la mera instalación de esas cámaras ficticias no está sometida a la Ley Orgánica 15/1999. No obstante, si por cualquier circunstancia dichas cámaras captasen imágenes de personas físicas que puedan identificarse, al ser la imagen de una persona, un dato persona, sí quedarían sometidas a la Ley Orgánica 15/1999 y a la Instrucción 1/2006 de 8 de noviembre de 2006, de la AEPD, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras.

No puede obviarse que al Derecho Administrativo Sancionador le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la aplicación del principio de presunción de inocencia. En el presente caso, al tratarse de cámaras simuladas, no captarían imágenes de personas físicas identificadas o identificables, por lo que, al no quedar acreditada la existencia de un tratamiento de datos personales, la cuestión se encuentra al margen de la normativa de protección de datos. Por consiguiente, es de aplicación el principio de presunción de inocencia, pues de la mera existencia de un dispositivo que simula una cámara de videovigilancia no se desprende automáticamente que la misma funcione y capte imágenes de personas y, en consecuencia, que exista un tratamiento de datos personales

CESIÓN DE DATOS ENTRE ADMINISTRADORES DE FINCAS

¿Qué ocurre cuando una comunidad de vecinos prescinde de los servicios de su administrador de fincas y contrata uno nuevo? ¿Debe el anterior, a petición del presidente de la comunidad, ceder los datos personales de los vecinos que obren en su poder directamente al nuevo encargado? ¿O por el contrario su deber es siempre devolverlos al responsable del fichero, y que sea éste quien los entregue al otro?

A esta duda viene a responder el Informe Jurídico 0650/2009 de la Agencia Española de Protección de Datos (AEPD). Y resulta especialmente interesante porque es un ejemplo que puede resultar válido para situaciones similares entre responsables de ficheros y encargados de tratamientos, como es el de las empresas y sus asesorías y gestorías.

Dejando claro de antemano que la comunidad de vecinos es, en cualquier caso responsable del fichero, y que por lo tanto el administrador de fincas ocupa la posición de encargado del tratamiento (respecto a los datos de los vecinos), la AEPD explica que para que esta relación se ajuste a la Ley, es preciso que dicha relación de servicios se encuentre regulada a través de un contrato en el que se establece expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas.

La Agencia Española de Protección de Datos ha venido indicando que el deber de devolución al que se refiere el artículo 12.3 de la LOPD podrá verificarse mediante la entrega directa de los datos al propio responsable del tratamiento o mediante la realización de dicha entrega al encargado del tratamiento que este designase, toda vez que en este segundo caso el encargado actuaría como mero mandatario del responsable. 

Caso de multa por videovigilancia

Este caso es de un bar, al no informar de la existencia de cámaras. 

 

La sanción es de 6.500 euros. El negocio estaba obligado a informar a sus clientes de la existencia de cámaras.

La Agencia Española de Protección de Datos ha sancionado con 6.500 euros a un bar de Huelva por la instalación de videocámaras en el local sin informar a los clientes de la existencia de las mismas y sin inscribir un fichero con la finalidad de Videovigilancia en el registro de dicha agencia.

En la resolución de la AEPD, a la que ha tenido acceso Efe, consta que se abrió en primer momento un expediente de actuaciones previas de investigación para constatar y comprobar la veracidad de la denuncia presentada.

En este sentido, en fecha 27 de septiembre de 2012 se solicitó la colaboración de la Policía Local que, en su escrito de respuesta, confirmó la existencia de las cámaras sin cartel informativo.

Con fecha 17 de enero de 2013 se adjunta al expediente diligencia de la inspección de datos en la que se hace constar que no existe inscripción de fichero con finalidad de videovigilancia en el Registro General de la Agencia Española de Protección de Datos cuyo titular sea el imputado en el presente procedimiento.

Tras eso se le requirió al propietario del local, sin éxito, la remisión de fotografías que acreditaran tener en el establecimiento dichos carteles informando de la presencia de las cámaras y en los que se especifique a la persona o entidad ante la cual ejercitar los derechos de acceso, rectificación, cancelación y oposición, y su inscripción en dicho registro.

El artículo 44 de la LOPD considera que es infracción grave "no atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma".

En el presente caso, quedó acreditado que no se atendió el requerimiento efectuado en la resolución de apercibimiento notificada al denunciado.

El hecho constatado de la falta de atención al requerimiento del la AEPD al imputado en este procedimiento, establece la base de facto para fundamentar la imputación de una infracción tipificada como grave por la Ley Orgánica de Protección de Datos, por lo que se acuerda imponerle una multa de 6.500 euros.

PUNTOS A TRATAR EN UNA BUENA AUDITORIA EXTERNA DE LOPD

La premisa esencial para realizar una adecuada auditoría LOPD, en opinión del equipo que integramos Análisis y Gestión de Datos SL, es poder contar con la total confianza de nuestro cliente, para encarar la auditoría con la predisposición de facilitarnos toda la información necesaria para adecuar su actividad profesional a la normativa vigente en materia de protección de datos.

Desde esta perspectiva, la primera parte de la auditoría tendrá un carácter informático, donde recabamos información sobre el sistema informático del cliente, cómo está configurado, equipos informáticos y aplicaciones que lo conforman, y medidas de seguridad con las que cuenta. Asimismo, identificaremos los tratamientos de datos de carácter personal que se realizan para poder  determinar los ficheros de datos que debemos notificar a la Agencia Española de Protección de Datos.

 En la segunda parte de la auditoría y más importante, de carácter eminentemente legal o jurídico, analizaremos las políticas y procedimientos implantados (acceso a las instalaciones, accesos a los sistemas de información, copias de seguridad, cambios de contraseñas, normas a cumplir por los usuarios de los ficheros de datos en el uso de los equipos,..).

Como último punto de la auditoría LOPD, aunque no menos importante, estudiaremos asuntos como la finalidad del tratamiento de esos datos, la procedencia de los mismos y los procedimientos de recogida de datos. Será entonces el momento propicio para recoger modelos de formularios de recogida de datos y de contratos firmados con terceros a los que se cedan datos, para examinar su conformidad respecto a los requisitos exigidos por la Ley de Protección de Datos y, en su caso, completarlos con las cláusulas legales que deben contener.

RESOLUCIÓN FINQUES CHICOTE

Aquí os dejamos una nueva resolución sobre LOPD y Administradores de fincas. 

http://www.agpd.es/portalwebAGPD/resoluciones/procedimientos_sancionadores/ps_2015/common/pdfs/PS-00184-2015_Resolucion-de-fecha-28-09-2015_Art-ii-culo-4.3-LOPD.pdf

Lo que realmente interesa es cómo se podría haber evitado esta sanción. Para ello, nuestro especialista jurídico nos deja sus comentarios ante este caso. 

Este procedimiento concreto se dirige contra una sociedad mercantil dedicada a la administración de fincas a instancias de la denuncia interpuesta por la COMUNIDAD DE PROPIETARIOS EDIFICIO FRONT MAR UE9.

El motivo de dicha denuncia es la negativa de la sociedad que desempeñaba las labores de administración del edificio a entregar los datos relativos a los números de cuenta bancarios de los comuneros a la comunidad de propietarios, tras solicitarla esta última fehacientemente en varias ocasiones.

Tras un estudio de las alegaciones de la sociedad en las que justificaba su actuación manteniendo que no fueron entregados porque no tenían el consentimiento de cada uno de los titulares de las cuentas para efectuar la devolución de los datos.

Realmente, la justificación dada por los administradores en este caso fue muy pobre –hablando en términos jurídicos-, puesto que con anterioridad, había devuelto datos e información relativa a datos de todos los comuneros como teléfonos, deudas,…

Finalmente tras un estudio de la actuación de la empresa que realizada la administración del edificio, la Agencia de Protección de Datos considera la  existencia de una infracción grave, al mantener datos en tratamiento sin el consentimiento de su titular, en este caso la comunidad de propietarios que, tras la resolución del contrato con la sociedad denunciada y el nombramiento de nuevos administradores, había requerido a aquellos la devolución de los datos bancarios de todos los propietarios de la comunidad.

Ello en base a lo establecido en el art. 6.1 LOPD que dispone que “el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”.

Asimismo, en virtud de lo estipulado por el art. 45 LOPD le correspondería el abono a la sociedad de una multa de al menos 40.001,00 €, más en base al principio de proporcionalidad y dadas las circunstancias del caso concreto (en la que no se aprecian perjuicios a la Comunidad) se impone finalmente una sanción de 1.000,00 € a la sociedad denunciada.

En definitiva, y en conclusión: en el momento en que cesen las relaciones contractuales entre el administrador y una comunidad, existe para aquel la obligación de devolver toda la documentación que contenga datos personales, ya que en caso contrario, se está vulnerando la LOPD con el riesgo de sanción que ello conlleva….