Sentencia Contencioso-Administrativo Audiencia Nacional. Sala de lo Contencioso-Administrativo. Sección Primera, Rec. 1061/2022 de 29 de octubre del 2024

PRIMERO.-El presente recurso tiene por objeto la Resolución de la Directora de la Agencia Española de Protección de Datos, de 1 de abril de 2022, que impone a la recurrente una sanción por infracción del Artículo 6 del RGPD, tipificada en el artículo 83.5.a) y calificada como muy grave a efectos de prescripción en el artículo 72.1.b) de la LOPDGDD, con multa de 100.000 euros y otra por una infracción del artículo 12, en relación con el artículo 15, ambos del RGPD, tipificada en el artículo 83.5.b) y calificada como leve a efectos de prescripción en el artículo 74.c) de la LOPDGDD, con multa de 70.000 euros y se le requiere para adoptar las medidas necesarias para adecuar su actuación a la normativa de protección de datos personales.

SEGUNDO.-La demandante solicita que se dicte sentencia por la que:

i. Se declare la NULIDAD de la resolución recurrida por no ser conforme a derecho, revocándola y dejándola sin efecto en todos sus pronunciamientos y, por tanto, se declare no haber lugar a la imposición de sanción alguna, ni al cumplimiento del requerimiento en ella realizado y los sucesivos.

ii. PRIMERA PETICIÓN SUBSIDIARIA. En caso de que se desestime la pretensión principal, y se considere que la conducta de MERCADONA ha infringido el artículo 12, en relación con el artículo 15, ambos del RGPD, tipificada en el artículo 83.5.b) y calificada como leve a efectos de prescripción en el artículo 74.c) de la LOPDGDD:

a. Se declare la NULIDAD PARCIAL de la resolución recurrida en lo que respecta a la infracción del Artículo 6 del RGPD, tipificada en el artículo 83.5.a), calificada como muy grave a efectos de prescripción en el artículo 72.1.b) de la LOPDGDD, sancionada con multa de 100.000 euros (cien mil euros) y por tanto, se declare no haber lugar a la imposición de dicha sanción.

b. Se solicita que, atendiendo a criterios de proporcionalidad y de las circunstancias concretas del caso, se aprecie que concurren ampliamente como atenuantes los criterios establecidos en el artículo 83.2 RGPD y 76.2 LOPD y se acuerde la reducción proporcional de la sanción de 70.000 euros (setenta mil euros) a su importe mínimo.

iii. SEGUNDA PETICIÓN SUBSIDIARIA. En caso de que se desestime la pretensión principal, y se considere que la conducta de MERCADONA ha infringido el Artículo 6 del RGPD, tipificada en el artículo 83.5.a), calificada como muy grave a efectos de prescripción en el artículo 72.1.b) de la LOPDGDD:

a. Se declare la NULIDAD PARCIAL de la resolución recurrida en lo que respecta a la infracción del artículo 12, en relación con el artículo 15, ambos del RGPD, tipificada en el artículo 83.5.b) y calificada como leve a efectos de prescripción en el artículo 74.c) de la LOPDGDD, sancionada con multa de 70.000 euros (setenta mil euros), y, por tanto, se declare no haber lugar a la imposición de dicha sanción.

b. Se solicita que, atendiendo a criterios de proporcionalidad y de las circunstancias concretas del caso, se aprecie que concurren ampliamente como atenuantes los criterios establecidos en el artículo 83.2 RGPD y 76.2 LOPD y se acuerde la reducción proporcional de la sanción de 100.000 euros (cien mil euros) a su importe mínimo.

iv. TERCERA PETICIÓN SUBSIDIARIA. Para la eventualidad de no ser estimada ninguna de las pretensiones anteriores y se aprecie la comisión de ambas infracciones, se declare la existencia de un concurso de infracciones y se imponga únicamente la sanción correspondiente a la infracción más grave cometida, en virtud de lo establecido en el artículo 29.5 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público.

v. CUARTA PETICIÓN SUBSIDIARIA En caso de que se desestimen las pretensiones anteriores y, por ende, se declare que la conducta de MERCADONA ha infringido tanto el artículo 12, en relación con el artículo 15, ambos del RGPD y el Artículo 6 del RGPD, se solicita que, atendiendo a criterios de proporcionalidad y de las circunstancias concretas del caso, se aprecie que concurren ampliamente como atenuantes los criterios establecidos en el artículo 83.2 RGPD y 76.2 LOPD y se acuerde la reducción proporcional de dichos importes a su cuantía mínima.

vi. Se declaren NULOS por no ser conformes a derecho los diversos requerimientos realizados por la AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS a la parte demandante, tanto en la propia resolución recurrida como posteriormente.

En defensa de su pretensión alega que el 2 de octubre de 2020 la denunciante ante la Agencia sufrió una caída en un establecimiento de la demandante y el 6 del mismo mes por correo electrónico, denunció tal hecho, respondiendo Mercadona que la denuncia había sido remitida al Servicio de Atención al Cliente; el 18 de octubre presentó solicitud de derecho de acceso a las grabaciones de videovigilancia del establecimiento por motivo del accidente sufrido; el 4 de diciembre la abogada de la interesada se dirigió al Delegado de Protección de Datos de la sociedad indicando la falta de respuesta al derecho de acceso ejercitado, respondiendo aquél que no constaba recepción de petición alguna y que las imágenes ya no estaban disponibles pues, tal y como dispone el art.22.3 de la LOPDGDD se habían borrado al haber transcurrido más de 30 días desde la captación. El 31 de diciembre la interesada presentó reclamación ante la AEPD por falta de atención al derecho de acceso a las imágenes. El 3 de febrero de 2021 la Agencia dio traslado de la reclamación, a lo que respondió el 6 de febrero. Con posterioridad, en una investigación interna, Mercadona detectó un error humano en la gestión de la solicitud de acceso a las imágenes presentada por la interesada consistente en que el trabajador al cual el sistema había asignado la solicitud no la reenvió al Delegado de Protección de Datos y su equipo para su tramitación, lo cual originó la falta de atención de dicha solicitud. A raíz de ello se pusieron en marcha una serie de medidas para reparar a la reclamante los daños y perjuicios padecidos quien en escrito de 29 de julio reconoció haber llegado a un acuerdo con Mercadona , mediante el cual quedaban resarcidos todos los daños y perjuicios en el ámbito de la responsabilidad civil así como en materia de protección de datos, considerando atendida su reclamación y solicitando el archivo del expediente. El 20 de julio de 2021 la Agencia acuerda el inicio del expediente sancionador, sobre el que presentó alegaciones; formulada propuesta de resolución, presentó también alegaciones, dictando la Agencia el 1 de abril la resolución objeto de este recurso. El 29 de abril la empresa comunicó a la Agencia las medidas adoptadas en cumplimiento del requerimiento que contiene la resolución para adoptar las medidas necesarias para adecuar su actuación a la normativa de protección de datos personales, que la agencia, en escrito de 30 de mayo de 2022, considera que no da respuesta completa a las cuestiones señaladas, en concreto el plazo de conservación durante tres años de las imágenes, indicando Mercadona el 10 de junio que las imágenes se conservarán, durante el plazo de cinco años, a excepción de aquellas sobre las que se haya iniciado un procedimiento administrativo o judicial en los que MERCADONA sea parte, en cuyo caso se conservarán hasta la finalización de los citados procedimientos, acusando recibo la AEPD, sin pronunciarse sobre la regularidad o licitud de las medidas adoptadas.

Fundamenta sus alegaciones en los siguientes motivos:

1) Inadecuación del procedimiento e improcedencia de la apertura del expediente sancionador: los hechos se refieren a la no atención de un derecho de acceso ( artículo 15 RGPD) en el ámbito de la videovigilancia, tal y como la propia interesada manifiesta en su reclamación, por lo que se trata de un procedimiento que se refiere, exclusivamente, a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, tal y como establece el artículo 64.1 de la LOPDGDD sin que se haya producido el incumplimiento de otras disposiciones que justifiquen la apertura del procedimiento sancionador y, dado que las imágenes ya no estaban disponibles, para que el error puntual en la atención del derecho de acceso formulado no le ocasionase o pudiera suponer una agravación de dichos daños y perjuicios de cualquier índole a la reclamante, la entidad procedió a la reparación de todos los posibles daños y perjuicios, e introdujo también, medidas internas para evitar que dicho error humano pudiera repetirse en un futuro, automatizando totalmente el proceso de recepción de las solicitudes de ejercicio de derechos. Se trata de un error puntual y no de una actuación general de Mercadona. Por otra parte, se ha excedido el plazo establecido en seis meses por el artículo 64.1 LOPDGDD para resolver el procedimiento por falta de atención al ejercicio de derechos. Cita varios procedimientos similares de tutela de derechos que no han podido atenderse satisfactoriamente por haber sido borradas las imágenes, en los que la Agencia no ha incoado procedimiento sancionador. En definitiva, la reclamación debía haberse sustanciado por el cauce especial del artículo 64.1 cuyo término de resolución habría expirado a los seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite y además, que no procedía la apertura de procedimiento sancionador por no haberse cometido infracción de otros preceptos (léase, Artículo 6 del RGPD) que requiriese la depuración de responsabilidades en el marco de un procedimiento sancionador.

2) Ausencia del elemento culpabilístico y la falta de prueba de la existencia del mismo por parte de la AEPD: la entidad ha observado, en todo momento, la diligencia y el deber de cuidado que le eran exigibles, estableciendo e implantando los procedimientos necesarios para gestionar las solicitudes de los interesados por diferentes canales y proporcionando formación específica y periódica a los trabajadores encargados de gestionar dichas solicitudes y comunicarlas al Delegado de Protección de Datos; la propia AEPD reconoce que MERCADONA tenía implantados procedimientos adecuados de actuación en la gestión de solicitudes de ejercicio de derechos y MERCADONA acredita la diligencia debida adoptada en este procedimiento, tanto antes de que ocurriera el presente error, pues hasta la fecha no había acontecido un hecho similar, no existiendo ninguna reclamación al respecto a pesar del número de solicitudes gestionadas, como desde el momento en que la entidad tiene conocimiento del mismo; se trata de un error humano involuntario, por lo que no hay culpabilidad. La propia AEPD reconoce que la entidad tiene implantados procedimientos adecuados y que la infracción es consecuencia de una anomalía en el funcionamiento que ha afectado a una sola persona, por lo que aprecia la existencia de una atenuante. Por todos los motivos anteriores, queda probado que MERCADONA ha puesto la diligencia necesaria en el cumplimiento de las obligaciones establecidas en la normativa de protección de datos y actúa en todos sus procesos con la máxima diligencia, y siempre dentro de su compromiso con la transparencia y respeto al cumplimiento normativo en lo que respecta al tratamiento de los datos de sus clientes. Así, debe concluirse forzosamente que no hay una falta de diligencia que determine la aplicación del tipo, tal y como afirma la AEPD, sino que se ha producido un error aislado; lo contrario, supondría admitir una responsabilidad objetiva prohibida en el Derecho administrativo sancionador.

3) Obligación de conservación de imágenes.- La LOPDGDD recoge un plazo máximo de conservación de un mes; la excepción a la obligación de supresión transcurrido ese plazo viene dada por la grabación de un delito o infracción administrativa, que deba ser puesto en conocimiento de las autoridades, sin que quepan otras excepciones; el sistema de videovigilancia instalado por MERCADONA es con la finalidad de preservar la seguridad de las personas, bienes e instalaciones. Este tratamiento de datos tiene como base jurídica de licitud o de legitimación la existencia de un interés público de modo que si el sistema de videovigilancia de MERCADONA obedece precisamente a lo establecido en el artículo 22 LOPDGDD, no alcanzamos a entender cuál es el supuesto analizado en las presentes actuaciones y por qué se considera responsable a MERCADONA de una supuesta infracción del art 6 de RGPD con respecto al mismo.

4) Infracción del artículo 6.1. Vulneración del Principio de Tipicidad y del Principio de Legalidad, al sostener la AEPD, la existencia de una supuesta obligación de conservación de las imágenes. Falta de tipicidad de la infracción del artículo 6.1 RGPD pues la resolución parte de la existencia de dos conductas diferentes e independientes, lo que es erróneo; en realidad, una es consecuencia de la otra, pues si se borraron las imágenes siguiendo el procedimiento general establecido para ello en la entidad, fue porque, precisamente, no se tuvo constancia de la solicitud de acceso debido al error acontecido y, si no se atendió el derecho de acceso, fue porque se habían borrado las imágenes. Frente a la fundamentación de la resolución sobre este punto, el borrado o supresión de las imágenes no necesita de una base jurídica que lo legitime, sino que es precisamente la conservación de las imágenes, más allá de ese plazo legal, el tratamiento que precisaría de dicha base de legitimación pues la base de legitimación es un presupuesto indispensable para la realización de un tratamiento de datos, para su conservación, pero no para la supresión de los mismos, en cumplimiento del Principio de limitación del plazo de conservación establecido en el artículo 5.1 e). Aunque se considerase que se ha producido una infracción del artículo 6 del RGPD, se debería forzosamente declarar que concurren los requisitos para la aplicación del artículo 29.5 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público ("Cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción correspondiente a la infracción más grave cometida") por lo que procedería la imposición de sólo una de las dos sanciones, en concreto, la referente a la infracción del artículo 6.

5) Requerimientos realizados por la Agencia sobre la conservación de las imágenes.- MERCADONA ya había comunicado, antes del requerimiento, la adopción de determinadas medidas, con las que quedaba cumplimentado. Posteriormente informó de las medidas adoptadas tras aquél: automatización del formulario web para el ejercicio de derechos, modificación del procedimiento de ejercicio de atención de derechos en materia de protección de datos, con apartados específicos sobre el derecho de acceso en materia de video vigilancia, fijando un plazo de tres años sobre las imágenes que hayan sido objeto de una solicitud de acceso coincidiendo con el plazo de prescripción de las infracciones muy graves y, finalmente, el refuerzo de las instrucciones al personal encargado de la gestión de solicitudes de derechos en esta materia. Aún así y ante la consideración de que no se había cumplimentado debidamente el requerimiento, extendió el plazo mencionado a cinco años, sin que la AEPD se pronunciase al respecto. Entiende que la obligación de conservación plasmada por la AEPD en sus requerimientos, contradice los Principios de Minimización, limitación del plazo de conservación, y paradójicamente, la de tratar datos sin una base de legitimación, además de crear una situación de inseguridad jurídica.

6) Vulneración del principio de proporcionalidad.- La AEPD no ha tenido en cuenta todas las circunstancias consideradas a la hora de determinar las sanciones impuestas a la denunciada, imponiendo sanciones por cuantías que no se corresponden con la gravedad de los hechos descritos, resultando totalmente desproporcionadas. No ha tenido en cuenta la falta de intencionalidad, la diligencia debida habida cuenta de los procedimientos existentes dentro de la organización que la propia AEPD ha reconocido como adecuados, denominando al error acontecido como "anomalía en el funcionamiento", así como de todas las medidas adoptadas para evitar que pudiera producirse en un futuro un error similar, incluyendo la reparación de los perjuicios a la interesada. Se deben tener en cuenta, como atenuantes de las infracciones, el número de afectados, sólo uno, que la duración de la infracción no perdura en el tiempo y que no existía un fallo general o estructural en el procedimiento de gestión de las solicitudes; la ausencia de intencionalidad o negligencia y las medidas adoptadas para paliar los daños y perjuicios, así como la cooperación con la AEPD; además, los datos tratados no corresponden a ninguna categoría especial, rechazando la consideración como agravantes que se hace en la resolución de estas circunstancias.

TERCERO.-La representación de la Administración demandada, por su parte, opone que la resolución es conforme a derecho y remite a los fundamentos de la Resolución impugnada; señala que el acuerdo de la demandante con la persona que reclamó no alcanza a la Administración demandada ni obsta al ejercicio de su potestad sancionadora. Por todo ello solicita la desestimación del recurso.

CUARTO.-La resolución impugnada contiene la siguiente declaración de hechos probados:

"1. La entidad MERCADONA ha manifestado que informa sobre el procedimiento que sigue para que los interesados ejerciten los derechos en materia de protección de datos personales a través de distintas vías, como son, los carteles expuestos en las tiendas advirtiendo que se encuentran en una "Zona Videovigilada" (se indica a dirección de contacto del DPD de la entidad); mediante llamada gratuita al Servicio de Atención al Cliente, que remite un SMS informado sobre ese procedimiento; y desde la Política de Privacidad disponible en la web, en la que se incluye un vínculo que dirige al formulario habilitado para dicho ejercicio de derechos. Según la información facilitada, la Política de Privacidad informa lo siguiente:

"Puede enviarnos un escrito a MERCADONA, S.A. (Asesoría Jurídica Procesos) C/... o si dispone de firma digital expedida por la Fábrica Nacional de Moneda y Timbre, a través del formulario de atención al cliente ("https:// infor.mercadona.es/es/atencion-alcliente#destacadosFormulario")".

Una vez cumplimentado y enviado el formulario, aparece de forma automática el texto "Gracias, tu comentario se ha enviado correctamente".

MERCADONA informa, asimismo, que el interesado, a su vez, recibe un email a la dirección de correo facilitada, indicando: "MERCADONA. Tu opinión nos ayuda a seguir mejorando. Estimad@... (nombre del destinatario). Gracias por contactar con nosotros en nuestro Servicio de Atención al Cliente. Informarte que hemos recibido tu correo. Te invitamos a que consultes nuestras preguntas frecuentes por si tienes más dudas").

Según la información proporcionada por MERCADONA, el proceso de tramitación de la solicitud sigue las fases siguientes:

"i. El formulario se registra en el sistema de gestión (Contac Center). Sistema gestionado por los gerentes de tramitación.

ii. Recibido el formulario, el sistema asigna la solicitud al gerente, en función de determinados criterios (tipología, carga de trabajo, productividad...del gerente).

iii. Una vez asignada la solicitud (formulario), ésta se envía a la carpeta del gerente asignado, a la que accede a través de usuario y contraseña, incluyendo toda la información y los

documento s enviados por el Cliente, para su tramitación.

Añade que "existen controles periódicos realizados por los coordinadores, con la finalidad de evitar incidencias" y que "el sistema (Contact Center) deja las trazas y las evidencias de todos los movimientos que pasan por el sistema, no permitiendo el borrado accidental, ni voluntario de las entradas al sistema".

2. Con fecha 02/10/2020, la reclamante sufrió un accidente en el establecimiento de la entidad sito en El Pla de Salt s/n, de la localidad de Salt (Girona).

3. Con fecha 06/10/2020,a través de la web de MERCADONA, la reclamante formuló denuncia ante la citada entidad por el accidente acaecido, recibiendo una referencia por el caso. Esta denuncia se formula mediante correo electrónico dirigido a la dirección "conducta@mercadona.es", con el asunto "Denuncia D201...". En este correo constan los datos de la reclamante relativos a nombre, apellidos, dirección de correo electrónico y teléfono. El comentario incluido da cuenta del accidente sufrido ("El suelo estaba resbaladizo con algún producto no limpiado y me resbalé. No estaba señalizado con nada"),los daños causados por el mismo en la persona de la reclamante ("Ahora estoy con la muñeca rota un mes de baja...")y la falta de atención del siniestro por la aseguradora de la reclamada ("El sábado llamé y el lunes fui en persona al Mercadona hablé con el encargado y él me pasó con vuestra aseguradora que ni se miró las cámaras solamente por teléfono me dijo que ellos no se hacían cargo de nada").

4. Con fecha 13/10/2020,la entidad reclamada responde a la denuncia reseñada en el Hecho Probado anterior por la misma vía, indicando que la denuncia ha sido remitida al Servicio de Atención al Cliente de MERCADONA, al que deberá dirigir las futuras comunicaciones (se indica un teléfono de contacto con este departamento y un enlace a la web de la entidad).

5. Con fecha 18/10/2020,la reclamante ejercitó el derecho de acceso a las imágenes de las cámaras de seguridad, utilizando para ello el formulario de solicitud disponible en la web de la MERCADONA, en la pestaña "Atención al Cliente", citado en el Hecho Probado Primero. En esta solicitud consta el nombre y apellidos de la reclamante, código postal y dirección de correo electrónico de la reclamante, y el siguiente texto en el campo denominado "¿En qué podemos ayudarte?" (url:"https:// infor.mercadona.es/es/atencion-al-cliente#destacadosFormulario"):

"Adjunto solicitud de derecho de acceso a las grabaciones de videovigilancia del establecimiento MERCADONA de El Pla de Salt, S/N de la localidad de Salt (17190) Girona,por motivo del accidente acontecido el día 2 de octubre de 2020 entre las 17 y las 18 horas".

Como "Archivos adjuntos" se indica "DNI" de la reclamante y "Solicitud de derecho de acceso" (en este escrito se indica que la solicitud está motivada por el accidente acontecido el día 02/10/2020).

6. En respuesta a la solicitud del derecho de acceso presentada por la reclamante, ésta recibió un mensaje de respuesta, también de fecha 18/10/2020, con el texto siguiente:

"¡Grac ias!, tu comentario se ha enviado correctamente".

7. Con fecha 16/11/2020,la representante de la reclamante remitió un correo electrónico a MERCADONA con el texto siguiente:

"Me dirijo a usted para establecer una primera comunicación, con el fin de poner en su conocimiento la documentación de la que dispongo por el momento, en relación al siniestro... del que resultó lesionada mi representada... También con el fin de poner en su conocimiento nuestra voluntad de solicitar la indemnización que según el baremo corresponda".

8. Con fecha 04/12/2020,la representante de la reclamante remitió un correo electrónico dirigido al DPD de MERCADONA, con el texto siguiente:

"Hace más de un mes, mi clienta ejercitó su derecho de acceso a las imágenes de videovigilancia, por el canal establecido en su política de privacidad (a través del formulario de atención al cliente: https://info.mercadona.es/es/atencion-alcliente#

destacado sFormulario), y aún no ha recibido respuesta.

Ruego que le manden dichas imágenes ya que corresponden a un accidente sufrido el 2 de octubre de 2020".

9. Con fecha 09/12/2020, MERCADONA remitió un correo electrónico a la reclamante con el asunto "Derecho de acceso" y el texto siguiente:

"Tras contrastar internamente, informarle que no nos consta que se haya recibido ninguna petición de acceso a imágenes, ni de la documentación que según la normativa de protección de datos es necesaria para gestionar cualquier derecho de acceso, ni por parte de su cliente (la Sra...) ni por su parte.

Debemos de añadir ya no se dispone de ninguna de las imágenes de la fecha solicitada (2/10/20),todo ello de conformidad con el art. 6 de la Instrucción 1/2006, de 8 de noviembre, de la AEPD, que establece que "Los datos serán cancelados en el plazo máximo de un mes desde su captación".

Atentamen te.

Div. Jurídico Procesos MERCADONA".

10. Con fecha 09/02/2021, MERCADONA remitió a la reclamante un burofax en los mismos términos del correo reseñado en el Hecho Probado Noveno".

QUINTO.-Con base en los hechos anteriores, la resolución impugnada considera la existencia de una infracción del artículo 12.2 y 3. RGPD consistente en la falta de respuesta en el plazo establecido a la reclamación presentada por la denunciante en ejercicio del derecho de acceso respecto de las imágenes captadas por el sistema de videovigilancia del establecimiento al que acudió aquélla; considera que, además, la demandante al eliminar la grabación por el transcurso del plazo de 30 días desde su captación, realizó un tratamiento de sus datos personales que considera ilícito y no amparado por el artículo 6.1.f) RGPD ya que, según la resolución estaba obligada a conservar la grabación más allá del plazo de un mes establecido en la Instrucción de la propia Agencia 1/2006, dado el fin perseguido por la reclamante que era obtener una indemnización por la caída sufrida en el suelo resbaladizo del establecimiento y poder ejercitar su derecho a la tutela judicial efectiva, que se vio perjudicado por el borrado de las imágenes. Aprecia como agravantes, de la primera infracción, la naturaleza de la misma, que incide en la capacidad de la reclamante para ejercer un verdadero control sobre sus datos personales, el nivel de daños y perjuicios sufridos ya que la no atención del derecho de acceso conllevó la no entrega de las imágenes solicitadas, lo que perjudicó su capacidad de defensa en relación con el accidente sufrido; aprecia también la negligencia en la comisión de la infracción, pues la respuesta al derecho de acceso no se produjo hasta después de la eliminación de las imágenes perdiendo así la titular d ellos datos la disponibilidad y control sobre los mismos; añade a las anteriores la categoría de los datos personales afectados por la infracción, que, aunque no constituyen una categoría especial en el sentido del artículo 9 RGPD, sí tienen una naturaleza especialmente sensible, por cuanto permite la pronta identificación de los interesados y aumenta los riesgos sobre su privacidad; también considera la alta vinculación de la actividad de la demandante con el tratamiento de datos personales y, finalmente, la condición de gran empresa y volumen de negocio de MERCADONA.

Como atenuante, aprecia que la demandante tiene implantados procedimientos adecuados de actuación en la gestión de solicitudes de ejercicio de derechos.

Con respecto a la infracción del artículo 6 aprecia las mismas agravantes que en la anterior y, como atenuante, el hecho de que la infracción es una anomalía que afecta únicamente a la reclamante.

SEXTO.-De los datos que constan en el expediente resulta que la reclamante ante la Agencia de Protección de Datos sufrió una caída en el establecimiento que Mercadona tiene en la localidad mencionada el 2 de octubre de 2020, a consecuencia de la cual sufrió determinadas lesiones; el día 18 del mismo mes ejercitó su derecho de acceso, por medio del formulario que la empresa tiene en su página web, a las imágenes de videovigilancia de las cámaras de seguridad, que recibió confirmación de que había sido correctamente enviado, pero por un descuido de un empleado no fue remitido al delegado de protección de datos de la sociedad; el 16 de noviembre un representante de la reclamante comunicó su intención de solicitar la indemnización correspondiente para reparar las consecuencias de la caída; el 4 de diciembre se dirigió al delegado de protección de datos reclamando las imágenes y poniendo de manifiesto la falta de respuesta a su solicitud anterior; la empresa respondió que no tenía constancia de la petición de acceso a imágenes ni de la documentación necesaria para gestionar el derecho de acceso, añadiendo que ya no disponían de las imágenes del día 2 de octubre pues habían sido borradas de acuerdo con la Instrucción 1/2006. El 29 de julio de 2021 la reclamante comunicó a la Agencia de Protección de Datos que, tras un acuerdo con MERCADONA, sus perjuicios habían sido resarcidos y satisfecho su derecho, tanto en el ámbito de la responsabilidad civil, como en materia de protección de datos, solicitando el archivo del expediente.

De los hechos anteriores resulta la existencia de una infracción del artículo 15 RGPD y la inexistencia de infracción alguna del artículo 6.1 del mismo reglamento, como desarrollaremos a continuación. La Agencia es competente para calificar los hechos de la reclamación y utilizar el procedimiento que corresponda a esa calificación cuando de tales hechos se aprecie la posible existencia de infracción además de una reclamación por el incumplimiento de la obligación de atender las solicitudes de los derechos que al titular de los datos reconocen los artículos 12 a 21 RGPD ( artículo 63.1 L.O. 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, en adelante, LOPDPGDD).

El artículo 15 regula el derecho de acceso en los siguientes términos: "El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales"y a la información que desarrolla en los apartados siguientes estando obligado el responsable del tratamiento, a facilitar una copia de tales datos objeto de tratamiento, que no ha de afectar negativamente a los derechos y libertades de terceros.

En este caso, como reconoce la resolución la empresa disponía de protocolos para ejercitar el derecho de acceso; el sistema funcionó correctamente pero fue interrumpido por el descuido de un empleado (gerente de tramitación) al que el sistema había asignado la solicitud, que no la trasladó al delegado de protección de datos para continuar la tramitación, como se reconoce en la demanda (Hecho Tercero), de modo que éste no tuvo conocimiento de la misma hasta transcurridos más de dos meses desde el día del accidente y su posible grabación por las cámaras de videovigilancia, indicando que la grabación había sido eliminada, por lo que no podía atender lo solicitado.

En estas condiciones resulta claro que la solicitud de acceso no fue atendida debidamente y en plazo por el descuido de un empleado de la empresa, descuido sobre el que no se ha aportado dato alguno que permita calificarlo como involuntario, como pretende la demandante para eliminar la concurrencia del elemento culpabilístico de la infracción y lo prueba el hecho de que, además del acuerdo con la reclamante para indemnizarla se adoptaron a nivel interno medidas disciplinarias, entre otras mencionadas también en el mismo hecho tercero de la demanda. Así la demandante infringió el artículo 15 en relación con el 83.5 b) RGPD, como apreció la resolución impugnada por lo que procede en este punto confirmarla.

Distinta solución merece la apreciación de las distintas agravantes mencionadas en la resolución; así la naturaleza de la infracción, consistente en la respuesta tardía al derecho de acceso ejercitado no parece revestir una especial consideración para agravar la conducta, dadas las demás circunstancias concurrentes; el nivel de daños y perjuicios no parece ser muy elevado cuando la propia reclamante solicita el archivo del expediente por haber sido satisfechas todas sus pretensiones tanto las indemnizatorias como las referidas a la protección de sus datos personales; en cuanto a la responsabilidad, no hay elementos que permitan calificar la conducta de dolosa, sino más bien de negligencia o inobservancia en uno de los pasos para dar curso al derecho ejercitado, siendo revisado posteriormente el procedimiento y adoptadas las medidas necesarias para la efectividad de la aplicación del sistema implantado, procedimiento de gestión del derecho de acceso que era adecuado, según reconoce la Resolución, al apreciar la única atenuante aplicada. Tampoco la imagen grabada en un almacén por el sistema de videovigilancia autorizado pertenece automáticamente a una categoría especial de datos en el sentido del artículo 9 RGPD, pues no consta ninguna relación entre los hechos, la imagen grabada y la posible aplicación de los criterios mencionados por la norma que permiten calificar de especiales tales datos y, por tanto, dotarles de una especial protección. Finalmente, la alta vinculación de la empresa con el tratamiento de datos es en este caso neutra en el sentido de que se trata de una única reclamación por un hecho concreto que afecta a una sola persona. Lo mismo sucede con volumen de negocios o la condición de gran empresa de MERCADONA, lo que obligaría a apreciar esta circunstancia siempre como agravante, dotándola de un carácter objetivo y automático contrario al principio de responsabilidad.

Así no se aprecia la concurrencia de circunstancia agravante alguna y sí la atenuante aplicada en la Resolución, junto a las medidas adoptadas por la demandante para paliar los daños y perjuicios derivados de la infracción, por lo que procede fijar la cuantía de la multa, teniendo en cuenta todas estas circunstancias, en 7.000 euros.

En cuanto a la infracción del artículo 6.1 RGPD la Resolución considera que se produce un tratamiento de datos personales ilícito al borrar o suprimir las imágenes grabadas por las cámaras de videovigilancia, sin que se plantee ninguna cuestión relacionada con el ajuste de este sistema a la legislación de protección de datos. Considera la Agencia que, al actuar así, la empresa restringió el posible ejercicio del derecho a la tutela judicial efectiva de la reclamante que debe primar en la confrontación con el derecho a la protección de los datos personales y no se trata, pues, de un conflicto entre los legítimos intereses del responsable del tratamiento y los derechos del titular de los datos.

Esa prematura conclusión, sobre la que se construye la infracción, da por supuesto la existencia de un procedimiento judicial o, al menos, la seria intención de iniciarlo cuando de las comunicaciones remitidas inicialmente por la perjudicada o su representante lo único que se deduce es que pretendía ser resarcida de los perjuicios sufridos en el establecimiento, finalidad alcanzada unos meses después mediante un acuerdo con MERCADONA, por lo que no parece que el derecho a la tutela judicial para defender sus intereses se haya visto mínimamente afectado.

Por otra parte, la empresa había procedido legalmente en cuanto al borrado de las imágenes, para lo que la Instrucción 1/2006 señalaba un plazo de un mes. Este plazo es el mismo que fija el artículo 22.3 de la L.O. 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales ("3. Los datos serán suprimidos en el plazo máximo de un mes desde su captación, salvo cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En tal caso, las imágenes deberán ser puestas a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación"),por lo que ninguna irregularidad cabe apreciar en esa acción, ya que la norma justificaba la conducta de la empresa de suprimir los datos transcurrido ese plazo. Las consecuencias de la eliminación de la grabación, que ciertamente representaba un medio para probar la existencia y alcance del accidente no llegaron a materializarse al asumir la demandante la realidad de lo sucedido y proceder a su reparación a satisfacción de la lesionada.

En conclusión, el tratamiento (en este caso la eliminación de las imágenes) realizado en cumplimiento de una obligación legal resulta amparado por el artículo 6.1.c) RGPD por lo que la acción no era contraria a lo establecido en este precepto.

SEPTIMO.-En virtud de lo anterior procede estimar parcialmente el recurso, aceptar la segunda petición subsidiaria y, en aplicación del art. 139.1. de la Ley de esta Jurisdicción, no hacer imposición de costas a ninguna de las partes.