miércoles, 1 de junio de 2016

Caso de multa por videovigilancia



Este caso es de un bar, al no informar de la existencia de cámaras. 
 
La sanción es de 6.500 euros. El negocio estaba obligado a informar a sus clientes de la existencia de cámaras.

La Agencia Española de Protección de Datos ha sancionado con 6.500 euros a un bar de Huelva por la instalación de videocámaras en el local sin informar a los clientes de la existencia de las mismas y sin inscribir un fichero con la finalidad de Videovigilancia en el registro de dicha agencia.

En la resolución de la AEPD, a la que ha tenido acceso Efe, consta que se abrió en primer momento un expediente de actuaciones previas de investigación para constatar y comprobar la veracidad de la denuncia presentada.

En este sentido, en fecha 27 de septiembre de 2012 se solicitó la colaboración de la Policía Local que, en su escrito de respuesta, confirmó la existencia de las cámaras sin cartel informativo.

Con fecha 17 de enero de 2013 se adjunta al expediente diligencia de la inspección de datos en la que se hace constar que no existe inscripción de fichero con finalidad de videovigilancia en el Registro General de la Agencia Española de Protección de Datos cuyo titular sea el imputado en el presente procedimiento.

Tras eso se le requirió al propietario del local, sin éxito, la remisión de fotografías que acreditaran tener en el establecimiento dichos carteles informando de la presencia de las cámaras y en los que se especifique a la persona o entidad ante la cual ejercitar los derechos de acceso, rectificación, cancelación y oposición, y su inscripción en dicho registro.

El artículo 44 de la LOPD considera que es infracción grave "no atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma".

En el presente caso, quedó acreditado que no se atendió el requerimiento efectuado en la resolución de apercibimiento notificada al denunciado.

El hecho constatado de la falta de atención al requerimiento del la AEPD al imputado en este procedimiento, establece la base de facto para fundamentar la imputación de una infracción tipificada como grave por la Ley Orgánica de Protección de Datos, por lo que se acuerda imponerle una multa de 6.500 euros.


viernes, 29 de abril de 2016

PUNTOS A TRATAR EN UNA BUENA AUDITORIA EXTERNA DE LOPD


La premisa esencial para realizar una adecuada auditoría LOPD, en opinión del equipo que integramos Análisis y Gestión de Datos SL, es poder contar con la total confianza de nuestro cliente, para encarar la auditoría con la predisposición de facilitarnos toda la información necesaria para adecuar su actividad profesional a la normativa vigente en materia de protección de datos.

Desde esta perspectiva, la primera parte de la auditoría tendrá un carácter informático, donde recabamos información sobre el sistema informático del cliente, cómo está configurado, equipos informáticos y aplicaciones que lo conforman, y medidas de seguridad con las que cuenta. Asimismo, identificaremos los tratamientos de datos de carácter personal que se realizan para poder  determinar los ficheros de datos que debemos notificar a la Agencia Española de Protección de Datos.

 En la segunda parte de la auditoría y más importante, de carácter eminentemente legal o jurídico, analizaremos las políticas y procedimientos implantados (acceso a las instalaciones, accesos a los sistemas de información, copias de seguridad, cambios de contraseñas, normas a cumplir por los usuarios de los ficheros de datos en el uso de los equipos,..).


Como último punto de la auditoría LOPD, aunque no menos importante, estudiaremos asuntos como la finalidad del tratamiento de esos datos, la procedencia de los mismos y los procedimientos de recogida de datos. Será entonces el momento propicio para recoger modelos de formularios de recogida de datos y de contratos firmados con terceros a los que se cedan datos, para examinar su conformidad respecto a los requisitos exigidos por la Ley de Protección de Datos y, en su caso, completarlos con las cláusulas legales que deben contener.

martes, 23 de febrero de 2016

RESOLUCIÓN FINQUES CHICOTE


Aquí os dejamos una nueva resolución sobre LOPD y Administradores de fincas. 


Lo que realmente interesa es cómo se podría haber evitado esta sanción. Para ello, nuestro especialista jurídico nos deja sus comentarios ante este caso. 

Este procedimiento concreto se dirige contra una sociedad mercantil dedicada a la administración de fincas a instancias de la denuncia interpuesta por la COMUNIDAD DE PROPIETARIOS EDIFICIO FRONT MAR UE9.
El motivo de dicha denuncia es la negativa de la sociedad que desempeñaba las labores de administración del edificio a entregar los datos relativos a los números de cuenta bancarios de los comuneros a la comunidad de propietarios, tras solicitarla esta última fehacientemente en varias ocasiones.
Tras un estudio de las alegaciones de la sociedad en las que justificaba su actuación manteniendo que no fueron entregados porque no tenían el consentimiento de cada uno de los titulares de las cuentas para efectuar la devolución de los datos.
Realmente, la justificación dada por los administradores en este caso fue muy pobre –hablando en términos jurídicos-, puesto que con anterioridad, había devuelto datos e información relativa a datos de todos los comuneros como teléfonos, deudas,…
Finalmente tras un estudio de la actuación de la empresa que realizada la administración del edificio, la Agencia de Protección de Datos considera la  existencia de una infracción grave, al mantener datos en tratamiento sin el consentimiento de su titular, en este caso la comunidad de propietarios que, tras la resolución del contrato con la sociedad denunciada y el nombramiento de nuevos administradores, había requerido a aquellos la devolución de los datos bancarios de todos los propietarios de la comunidad.
Ello en base a lo establecido en el art. 6.1 LOPD que dispone que “el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”.
Asimismo, en virtud de lo estipulado por el art. 45 LOPD le correspondería el abono a la sociedad de una multa de al menos 40.001,00 €, más en base al principio de proporcionalidad y dadas las circunstancias del caso concreto (en la que no se aprecian perjuicios a la Comunidad) se impone finalmente una sanción de 1.000,00 € a la sociedad denunciada.
En definitiva, y en conclusión: en el momento en que cesen las relaciones contractuales entre el administrador y una comunidad, existe para aquel la obligación de devolver toda la documentación que contenga datos personales, ya que en caso contrario, se está vulnerando la LOPD con el riesgo de sanción que ello conlleva…. 

viernes, 29 de enero de 2016

CUESTIONES PLANTEADAS EN LA JORNADA SOBRE VIDEOVIGILANCIA


 CELEBRADA EN EL COLEGIO AA.FF. E IMPARTIDA POR D. CASIMIRO GALAN GARRIDO, DIRECTOR JURIDICO DE AGDATA, S.L. y D. DOMINGO CABRERA RIVERA, INSPECTOR DE POLICIA.

1.- ¿Quién está obligado a inscribir el fichero de videovigilancia y aparecer en dicha inscripción, el administrador o el presidente de la comunidad?

La obligación legal es de la Comunidad de Propietarios que es la titular del fichero, por lo que sus órganos rectores deben ser los que se preocupen por respetar la legalidad vigente en materia de protección de datos. Otra cosa será que el administrador asesore en todo momento a la comunidad sobre la necesidad de cumplimentar la inscripción del fichero. Lo ideal es confiar en empresas especializadas en la materia.

2.- ¿Qué mayoría es necesaria para acordar la instalación de las cámaras de videovigilancia en una comunidad de propietarios?

Según se establece por el art. 17.3 de la Ley de Propiedad Horizontal, es necesaria la aprobación por una mayoría cualificada de 3/5 partes de los propietarios que a su vez representen las 3/5 partes de las cuotas de participación.


3.-  Qué tipo de cámaras se pueden instalar y que regulación normativa tienen los distintos tipos?

Debemos distinguir tres tipos de cámaras:

a.    Cámaras falsas: no graban y solo tienen una finalidad disuasoria frente a actos delictivos. Este tipo de cámaras no implican obligación legal alguna.

b.    Cámaras que toman imágenes en tiempo real. Este tipo de cámaras no generan la obligación de declarar un fichero ante el Registro de la Agencia Española de Protección de Datos.

A su vez hay que distinguir
-si se toman para labores de vigilancia, tendrán que ser personal de empresas de seguridad privada las que controlen su visionado.
- si se colocan para control de acceso al inmueble, pueden ser controladas por personal contratado al servicio de la Comunidad de Propietarios (porteros, mantenedores,…)

c.     Cámaras que graban las imágenes que captan. Deberá declararse por la Comunidad el correspondiente fichero de videovigilancia en el Registro de la AEPD, además de incluir en el documento de seguridad el anexo correspondiente para facilitar el ejercicio de derechos relativos a la videovigilancia…

-       Esas imágenes serán controladas por personal de seguridad privada si su finalidad es la seguridad del inmueble, y siempre caso de que estén conectadas a una central de alarmas. En caso contrario, si solo es de control de acceso, no será necesaria la contratación una empresa de seguridad.
-       En referencia a la inscripción de dicho fichero, hemos de hacer constar los conceptos a la hora de cumplimentar la solicitud de inscripción. El titular del fichero y por tanto responsable último del mismo será siempre la Comunidad de Propietarios. El encargado de tratamiento podría ser el/la administrador/a en caso de que se hubiera cedido expresamente esa función por parte de la Comunidad.
-       El declarante del fichero podrá ser el presidente de la Comunidad, o en caso de que le fuera encomendado expresamente el propio administrador, haciendo referencia a la identidad del Presidente/a en la declaración (El documento de seguridad deberá contemplar la identidad del presidente, por lo que ha de actualizarse en su caso).


4.- ¿Para la instalación de las cámaras puedo contratar a cualquier empresa?

Tendremos que diferenciar:

1.    La Instalación y/o mantenimiento técnico de los equipos y sistemas de videovigilancia sin acceso a las imágenes. En este caso la empresa de seguridad no posee la condición de encargado de tratamiento correspondiendo al responsable, que la contrató, la adaptación de la instalación a los requisitos normativos. Ello, sin perjuicio de la eventual responsabilidad de la empresa por incumplir el deber de asesoramiento previsto en el artículo 5 LSP (Ej. La simple instalación técnica de las cámaras y los equipos de grabación por una empresa de seguridad que actúa como instalador autorizado contratado por una comunidad de propietarios limitándose a tareas puramente técnicas que no comporten acceso a las imágenes). No es necesario que sea una empresa de seguridad privada.

2.    La instalación y/o mantenimiento de los equipos y sistemas de videovigilancia con utilización de los equipos o acceso a las imágenes. Únicamente en este segundo caso, la empresa de seguridad será considerada encargada del tratamiento y la obligatoriedad de cumplir con las obligaciones de lo dispuesto por el artículo 12 LOPD. (Ej. Las empresas de seguridad que prestan servicios combinados de central de alarmas y videovigilancia de modo que cuando se activa la alarma se comprueban directamente las imágenes por el personal de la empresa de seguridad).

Con carácter general, la instalación de sistemas de videovigilancia con fines de seguridad privada comporta necesariamente la contratación de los servicios de empresas de seguridad debidamente autorizadas por el Ministerio del Interior que, conforme al artículo de la 5 de la Ley 23/1992 de 30 de julio.


5.- ¿Puede instalar un comunero una cámara que solo recoja imágenes exclusivamente de su plaza de garaje?

Si, siempre y cuando la cámara no capte imágenes más que de su plaza de garaje, sin perjuicio que deba obtener permiso de la comunidad para poder instalarla, caso de tener que ubicarla en el forjado del garaje u otro elemento de zonas comunes.

En este sentido la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras excluye de su ámbito objetivo de aplicación "el tratamiento de imágenes en el ámbito personal y doméstico, entendiéndose por tal el realizado por una persona física en el marco de una actividad exclusivamente privada o familiar". Lo mismo hace la propia LOPD y su Reglamento de desarrollo. En consecuencia, deberemos considerar si las grabaciones dentro de una plaza de garaje particular entrarían en el ámbito privado y, por tanto, estarían excluidas de la aplicación de la LOPD.


Según la redacción del artículo 396 del Código Civil, podemos entender que la plaza de garaje, aun estando en el garaje de la comunidad de propietarios, es propiedad privada, con lo cual la instalación de cámaras de videovigilancia no entraría dentro del ámbito de aplicación de la LOPD. Es decir, podríamos instalar la cámara de videovigilancia sin tener en cuenta las obligaciones legales derivadas de la LOPD: no hará falta inscribir un fichero, podremos almacenar las grabaciones el tiempo que consideremos oportuno, no será necesario colocar un cartel informativo, etc.


Así lo ha entendido recientemente la Agencia Española de Protección de Datos (AEPD) en la resolución del procedimiento sancionador PS/00321/2009, por la que se archivan las actuaciones acogiendo la alegación del denunciado sobre la inaplicabilidad de la LOPD a ese caso. No obstante, hay que tener en cuenta algunas cuestiones para evitar dudas al respecto:

La propia resolución, a la hora de admitir la inaplicabilidad de la LOPD, valora la proporcionalidad del fin pretendido (prevención de actos vandálicos) con la instalación de una cámara de videovigilancia, teniendo en cuenta:

·         La cámara sólo graba la plaza de garaje propia, más una parte de una plaza adyacente a cuya propietaria pidió permiso.
·         La comunidad de propietarios votó a favor de la instalación de la cámara.
·         No hay monitores de visualización y sólo se almacenan las grabaciones durante 6 días.
·         Se han instalado carteles informativos.

6.- ¿Qué es un control de acceso al inmueble?

El control de acceso lugar diseñado para controlar quién tiene acceso a Zonas, o Determinadas Aéreas de un inmueble, comunidad o garaje.

El concepto de control de acceso consta de tres pasos:

Estos pasos son la identificación, autenticación y autorización. Con el uso de estos tres principios un administrador o un Controlador automatizado del sistema pueden controlar que recursos están disponibles para los usuarios del mismo.

control-acceso
                       
Es el medio por el cual un usuario se identifica.

La autenticación es el segundo paso del proceso de control de acceso. Visualización, contraseñas, reconocimiento de voz, tarjetas,… son métodos comunes de autenticación. El objetivo de la autenticación es evitar que personas no autorizadas accedan a determinados lugares o espacios.

7.- ¿Cómo distinguir control de acceso de vigilancia en cuanto al uso de las cámaras?

Cuando las cámaras solo toman imágenes exclusivamente del acceso a zonas comunes portal, garaje, piscina es solo control de acceso y no es necesaria la contratación de una empresa de seguridad para su visionado. En caso contrario, cuando la finalidad es de vigilancia –caso de las cámaras perimetrales- hay que contratar siempre unos servicios específicos a través de una empresa de seguridad privada.


8.- ¿Qué sanciones pueden imponer a una Comunidad por no contratar los servicios de una empresa de seguridad privada cuando es preceptivo?

La Ley de Seguridad Privada establece:

Artículo 61. Sanciones a las empresas que desarrollen actividades de seguridad privada, sus representantes legales.  

Las autoridades competentes podrán imponer, por la comisión de las infracciones tipificadas en el artículo 57, las siguientes sanciones:

Por la comisión de infracciones graves:

a)    Multa de 3.001 a 30.000 euros.

- Por La prestación de servicios de seguridad privada careciendo de los requisitos específicos de autorización o presentación de declaración responsable para la realización de dicho tipo de servicios. Esta infracción también será aplicable cuando tales servicios se lleven a cabo fuera del lugar o del ámbito territorial para el que estén autorizados o se haya presentado la declaración responsable, o careciendo de la autorización previa o de dicha declaración cuando éstas sean preceptivas, o cuando se realicen en condiciones distintas a las expresamente previstas en la autorización del servicio.
- La prestación de servicios compatibles contemplados en el artículo 6.2 empleando personal no habilitado que utilice distintivos, uniformes o medios que puedan confundirse con los del personal de seguridad privada


Artículo 62. Sanciones al personal.

Las autoridades competentes podrán imponer, por la comisión de las infracciones tipificadas en el artículo 58, las siguientes sanciones:

1. Por la comisión de infracciones muy graves:

a)    Multa de 6.001 a 30.000 euros.

Por el ejercicio de funciones de seguridad privada para terceros careciendo de la habilitación o acreditación necesaria.

2. Por la comisión de infracciones graves:

a)    Multa de 1.001 a 6.000 euros.

El ejercicio de funciones de seguridad privada por personal habilitado, no integrado en empresas de seguridad privada, o en la plantilla de la empresa, cuando resulte preceptivo conforme a lo dispuesto en el artículo 38.5, o al margen de los despachos de detectives.


9.- ¿Quién puede solicitar la entrega de imágenes de copias de seguridad grabadas?
Cualquier persona que sea sujeto de derecho a la intimidad y cuyas imágenes hayan sido captadas, o cuando se hayan captado imágenes que puedan afectar a su ámbito personal o patrimonial. El requisito es que la solicitud tenga un fundamento que justifique la entrega de las imágenes al solicitante dentro de los márgenes normativos.
La Comunidad deberá tener a disposición del solicitante los anexos correspondientes al Documento de Seguridad de la misma, por lo que deberá cuidar de que dicho documento esté actualizado. 

10.- ¿Debe proceder el interesado a interponer una denuncia previa para poder solicitar una copia de las imágenes?

La respuesta es no, pero si hay que reseñar que no es posible solicitar la copia por cualquier motivo, sino que la petición habrá de hacerse mediante escrito razonado remitido a la comunidad de propietarios en el que se indique la causa de la petición y la hora en que entiende se produce el hecho de interés para ser visionado. Ello a fin de que no conculque el derecho a la intimidad de las personas de la comunidad por motivos no justificados.
En caso en que se trate de la comisión de un delito, si es conveniente la interposición de una denuncia.

11.- ¿Quién está autorizado a visionar las  grabaciones todas por las cámaras, la empresa de seguridad, los porteros, el presidente?
Cualquiera de ellos puede visionar las imágenes. El responsable del tratamiento deberá designar las personas concretas que van a tener acceso a las imágenes que constarán como usuarios autorizados en el documento de seguridad y deberán ser informados de sus respectivas obligaciones. Así, por ejemplo, cuando el responsable del tratamiento sea una Comunidad de Propietarios o similar, deberá designarse la persona o personas concretas (por ejemplo conserje y presidente) que puedan visionar las imágenes. Los circuitos cerrados de televisión visionados por todos los propietarios resultan desproporcionados y pueden constituir una infracción. En ningún caso son admisibles.



12.- ¿Puede un trabajador de la empresa de servicios / mantenimiento negarse a ser grabado en zonas comunes?

El artículo 20.3 del Estatuto de los Trabajadores faculta al empresario para adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad humana y teniendo en cuenta la capacidad real de los trabajadores disminuidos, en su
caso. Entre estas medidas puede estar la captación y/o tratamiento de imágenes sin consentimiento.
No obstante tales prácticas se encuentran plenamente sometidos a la LOPD:

-       El tratamiento se limitará a las finalidades previstas por el Estatuto de los Trabajadores, y/o en todo caso a finalidades legítimas reconocidas por la normativa vigente, debiendo cumplir en este último caso adicionalmente las previsiones específicas que sean de aplicación.

-       Respetarán de modo riguroso el principio de proporcionalidad: Se adoptará esta medida cuando no exista otra más idónea. Las instalaciones, en caso de utilizarse, se limitarán a los usos estrictamente necesarios captando imágenes en los espacios indispensables para satisfacer las finalidades de control laboral.

-       No podrán utilizarse estos medios para fines distintos de los propios del control laboral salvo que se trate de fines legítimos y se adopten las medidas pertinentes para el cumplimiento de la normativa que les sea de aplicación. Tendrán en cuenta los derechos específicos de los trabajadores respetando:

-       Los derechos a la intimidad y el derecho fundamental a la protección de datos en relación con espacios vetados a la utilización de este tipo de medios como vestuarios, baños, taquillas o zonas de descanso.

Por consiguiente, el trabajador no podrá negarse a ser grabada siempre que se cumplan los requisitos y condiciones expuestas anteriormente.


lunes, 2 de noviembre de 2015

Dudas sobre LOPD. Coloquio 23 septiembre

Aquí os dejamos algunas de las dudas más interesantes que recibimos en el último coloquio que impartimos en el CAFF de Sevilla sobre LOPD en Comunidades de vecinos. 

Aún así, podéis contactar con nosotros en cualquier momento para las dudas que os surgan. Os invitamos a visitarnos o nosotros os visitamos sin problemas :) 

  •  ¿Se puede publicar los datos del copropietario moroso cuando existe una resolución firme de un juzgado condenando al pago?

Si, en este supuesto es posible publicarlo por tiempo limitado, puesto que la Agencia Española de protección de datos habilita a la publicación en estos casos tras diversas resoluciones al respecto. También en caso de convocatoria de Junta podrán enunciarse aquellos que no están al corriente de los pagos, puesto que no podrán ejercer su derecho de voto.

  •  ¿Debe el administrador/a visualizar todas las imágenes grabadas con vídeo vigilancia si se lo solicita un propietario/a?

No, solo en los casos en los que esté justificado –comisión de un delito, daños,…- y dichas imágenes corresponderán a un periodo de tiempo acotado y que sea razonable.  

  •  ¿Cuáles son los requisitos de las imágenes para que puedan ser utilizadas como prueba ante órganos judiciales?

En estos casos las imágenes deberán ser tratadas por empresas de seguridad especializadas que puedan acreditar la veracidad de esas imágenes y que impidan cualquier manipulación de las mismas.

  •  ¿Es posible que el portero pueda visualizar las imágenes grabadas?

Si es posible en el caso en que esté autorizado expresamente por la comunidad como persona con acceso a las mismas. De otro modo, no podría hacerlo sin que supusiera una vulneración de la LOPD.


martes, 5 de mayo de 2015

Dudas planteadas sobre protección de datos



RESUMEN DE LA JORNADA COLOQUIO CELEBRADA EN EL COLEGIO DE ADMINISTRADORES DE FINCAS DE SEVILLA EL 11/03/2015

PARTE I

1.- ¿Es necesario que se modifiquen los ficheros en el Registro de la Agencia Española de Protección de datos cuando hay cambio de administrador/a de la comunidad de propietarios?
            Si es necesario, puesto que el documento de seguridad, en virtud del principio de calidad de los datos, debe permanecer continuamente puestos al día.
El cambio de administrador implica un cambio de responsable del tratamiento, por lo que debe hacerse constar en la Agencia mediante una modificación en los ficheros, así como con la consiguiente modificación del documento de seguridad haciéndose constar dicha circunstancia.

2.- ¿Puedo publicar el listado de morosos de una comunidad en el tablón de anuncios de una comunidad?
            No se puede hacer constar en lugares de acceso público los nombres y apellidos de las personas propietarias que adeudan cantidades de a la comunidad, pero en este caso se debe hacer una referencia al piso o vivienda que ocupan… 1ªc, 5ªA, casa 11….
            En cambio cuando se trata de correo postal entregado en los buzones de cada casa, si se puede hacer esa referencia expresa de las personas que adeudan cuotas con nombres y apellidos.

3.- Las entidades bancarias, ¿Pueden requerir al administrador las actas con los DNI de los presidentes entrantes y salientes, y concretamente como se produce en algunos casos, el libro de actas?
            Pues no, desde la resolución de una consulta realizada en este sentido ante la AEPD, se ha dejado claro que esa exigencia que tienen los bancos con algunos administradores es contraria al espíritu y articulado de la Ley Orgánica de Protección de Datos. Ello implica la posibilidad de negar el libro de actas a las entidades bancarias

4.- ¿Qué datos se le pueden facilitar a los propietarios e inquilinos de una comunidad de propietarios por parte del administrador/a de la comunidad?
            A los propietarios se pueden dar nombre, apellidos, mail y teléfonos sin problema alguno.
            A los inquilinos no, por no ser comuneros y no formar parte del fichero de datos de la comunidad.

5.- ¿Qué se debe hacer cuando existe cambio de presidente de la comunidad en relación a la LOPD?
  •  Modificar el documento de seguridad haciéndolo constar el cambio en la presidencia.