Resolución de la Agencia Española de Protección de Datos PS-00267-2021 de 13 de mayo de 2022

Cuestión

1 / 61

Expediente Nº: PS/00267/2021

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base

a los siguientes

ANTECEDENTES

PRIMERO : A.A.A. (en adelante, la reclamante), con fecha 31/12/2020, interpuso...

Contestacion

1/61

? Expediente Nº: PS/00267/2021

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base

a los siguientes

ANTECEDENTES

PRIMERO: A.A.A. (en adelante, la reclamante), con fecha 31/12/2020, interpuso

reclamación ante la Agencia Española de Protección de Datos. La reclamación se

dirige contra MERCADONA S.A., con NIF A46103834 (en adelante, MERCADONA o

la reclamada), por la falta de atención del derecho de acceso a los datos personales

de la reclamante, al no haberse contestado la solicitud en el plazo de un mes. Los

motivos en que basa la reclamación son los siguientes:

La reclamante expone que el ***FECHA.1 sufrió un accidente en un establecimiento

de la entidad sito en ***DIRECCION.1, y que, con el propósito de reclamar los daños,

ejercitó el derecho de acceso a las imágenes de las cámaras de seguridad, utilizando

para ello el formulario de solicitud disponible en la web de la reclamada, el establecido

en la Política de Privacidad, recibiendo un mensaje sobre la conformidad del envío,

que tuvo lugar el ***FECHA.2.

Añade que, transcurrido un mes sin recibir respuesta, remitió un correo electrónico al

DPD de la entidad, el cual respondió negando la recepción de la solicitud de acceso e

informando a la reclamante que las imágenes habían sido borradas. Con ese motivo,

la reclamante remitió el justificante del envío de la solicitud de acceso, sin recibir

ninguna otra respuesta.

Asimismo, señala la reclamante que con fecha ***FECHA.3 formuló denuncia ante la

propia entidad MERCADONA por el accidente acaecido, a través de su web,

recibiendo una referencia por el caso, por lo que no entiende que borrasen las

imágenes, que eran la única prueba de los hechos.

Junto a la reclamación, aporta la documentación siguiente, que consta reseñada en los

Hechos Probados:

. Impresión del formulario de solicitud de derecho de acceso cumplimentado a través

de la web de la reclamada, de fecha ***FECHA.2.

. Impresión de pantalla del mensaje de respuesta a la solicitud anterior.

. Copia del correo electrónico enviado el ***FECHA.4 por la representante de la

reclamante al DPD de MERCADONA, reclamando las imágenes.

. Impresión de pantalla del correo electrónico dirigido por la reclamante a la dirección

?conducta@mercadona.es?, de fecha ***FECHA.3, con el asunto ?Denuncia D201??, y

respuesta de MERCADONA de ***FECHA.5.

SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

2/61

diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en

adelante LOPDGDD), se dio traslado de dicha reclamación al reclamado el

03/02/2021, para que procediese a su análisis e informase a esta Agencia en el plazo

de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos

en la normativa de protección de datos.

En respuesta a dicho traslado, la entidad reclamada informó como sigue:

. MERCADONA inicia su respuesta presentando los hechos objeto de las actuaciones,

confirmando que el envío de la solicitud a través del formulario disponible en la web no

genera un acuse de recibo y simplemente muestra un mensaje de respuesta indicando

?el mensaje se ha enviado correctamente?. Se refiere, asimismo, al correo que fue

enviado por la representante de la reclamante al DPD de la entidad en fecha

***FECHA.6, y señala que dicho correo se respondió informando ?que la petición no

había sido recibido y que las imágenes ya no estaban disponibles (se habían borrado

al transcurrir más de 30 días desde la captación)?.

Añade que, una vez tuvo conocimiento de la solicitud de la reclamante por medio del

citado correo enviado al DPD, revisó los procesos materiales y humanos implicados,

tanto técnico como de gestión, sin observar ninguna desviación. Esta comprobación

dio lugar a la respuesta antes indicada.

Asimismo, conocida la reclamación, en fecha 09/02/2021 remitió a la reclamante un

burofax en los mismos términos.

Seguidamente, informa sobre algunos detalles relativos al procedimiento que sigue

para que los interesados ejerciten los derechos en materia de protección de datos

personales, que constan reseñados en el Hecho Probado Primero, e indica que a

través del formulario se han recibido y tramitado un total de 229 solicitudes de

derechos en materia de protección de datos personales durante el año 2020.

Por otra parte, destaca MERCADONA que, con fecha ***FECHA.7, la representante

de la reclamante se dirigió por primera vez a la entidad con la única finalidad de

informar del incidente y comunicar su intención de solicitar una indemnización por ello,

sin ninguna referencia a la solicitud de acceso realizada el ***FECHA.2, la cual es

motivo de la presente reclamación.

Entiende la reclamada, por otra parte, que de la comunicación realizada por la

reclamante a través del canal de denuncias no se puede desprender que se trataba de

una solicitud de ejercicio del derecho de acceso.

En base a lo expuesto, concluye la reclamada que actuó en todo momento conforme a

la normativa vigente, según el esquema establecido para el dar cumplimiento al

ejercicio de derechos de los clientes. En este caso concreto, en el momento que tuvo

conocimiento, por primera vez, de la solicitud de acceso el pasado ***FECHA.4,

contestó a dicha solicitud el ***FECHA.8, respondiendo a la única dirección conocida

de la solicitante.

Con su respuesta, aporta copia de la documentación siguiente, que consta reseñada

en los Hechos Probados.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

3/61

. Copia de un correo remitido por MERCADONA a la representante de la reclamante,

de ***FECHA.9, con el asunto ?Derecho de acceso?.

. Copia del correo remitido por la representante de la reclamante a MERCADONA, de

***FECHA.7, antes citado.

TERCERO: Con fecha 16/04/2021, la Directora de la AEPD acuerda la admisión a

trámite de la reclamación.

CUARTO: Con fecha 05/07/2021, por la Subdirección General de Inspección de Datos

se accede a la información disponible sobre la entidad reclamada en ?Axesor?. Consta

que esta entidad pertenece al sector de ?Comercio? (?).

QUINTO: Con fecha 19/07/2021, la Directora de la Agencia Española de Protección de

Datos acordó iniciar procedimiento sancionador a la entidad MERCADONA, con

arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del

Procedimiento Administrativo Común de las Administraciones Públicas (en adelante,

LPACAP), por la presunta infracción de los artículos 12 y 6 del RGPD, tipificadas en

los artículos 83.5.b) y 83.5.a) del citado Reglamento, respectivamente; y calificadas

como leve y muy grave a efectos de prescripción en los artículos 74.c) y 72.1.b) de la

LOPDGDD.

En el acuerdo de apertura se determinó que las sanciones que pudieran corresponder,

atendidas las evidencias existentes en el momento de la apertura y sin perjuicio de lo

que resulte de la instrucción, ascenderían a un total de 170.000 euros (70.000 euros

por la infracción del artículo 12 y 100.000 euros por la infracción del artículo 6, ambos

del RGPD).

Asimismo, se advertía que las infracciones imputadas, de confirmarse, podrán

conllevar la imposición de medidas, de acuerdo con lo establecido en el citado artículo

58.2 d) del RGPD.

SEXTO: Notificado el citado acuerdo de inicio y ampliado el plazo concedido para

formular alegaciones, la entidad reclamada presentó escrito de fecha 02/08/2021, en el

que solicita el archivo del procedimiento sancionador conforme a las consideraciones

siguientes:

1. En primer lugar, se refiere al accidente sufrido por la reclamante, el cual, según

indica, le fue comunicado por denuncia de ***FECHA.3 realizada a través de su web, y

señala que la investigación interna desarrollada por la propia entidad reclamada con

posterioridad al trámite de traslado detectó un error humano en la gestión de la

reclamación civil presentada la reclamante, que originó que no llegara a conocimiento

del Delegado de Protección de Datos (DPD) ni de su equipo y la falta de atención de la

solicitud de acceso formulada.

A raíz de ello, se contactó con la reclamante, por medio de su representante, y se llegó

a un acuerdo que repara los daños y perjuicios sufridos por el accidente y los

derivados de la no atención de su derecho de acceso a sus datos personales, de

manera que el error en la atención del derecho no le ha ocasionado ningún daño y/o

perjuicio.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

4/61

Además, manifiesta que se adoptaron a nivel interno medidas disciplinarias; así como

medias técnicas y organizativas, para evitar que pueda producirse en el futuro un error

similar y que aseguren el envío al DPD de las solicitudes que se formulen a través del

formulario web.

2. Considera improcedente la apertura de procedimiento sancionador en un caso

referido exclusivamente a la falta de atención de una solicitud de ejercicio de los

derechos establecidos en los artículos 15 a 22 del RGPD, y destaca el carácter

excepcional de dicho procedimiento, que ha sido puesto de manifiesto por la AEPD en

diversas actuaciones (E/10485/2019, TD/00120/2021 y RR/00506/2021), indicando

que ?siempre que sea posible, deberá optarse por la prevalencia de mecanismos

alternativos en el caso de que tengan amparo en la normativa vigente...? y que deben

existir elementos que justifiquen el inicio del procedimiento sancionador. A este

respecto, añade MERCADONA que, en el presente caso, el acuerdo de inicio del

procedimiento no concreta cuáles son los concretos aspectos que justifican la apertura

del procedimiento sancionador, ni cómo a través de la imposición de una sanción a la

entidad, podrán restaurarse las garantías y derechos de la reclamante, que a través

del procedimiento del artículo 64.1 de la LOPDGDD, según la Autoridad, no quedarían

debidamente restauradas.

En este caso, los hechos se refieren exclusivamente a la falta de atención de una

solicitud de derecho de acceso, sin que se hayan producido incumplimiento de otras

disposiciones que justifiquen la apertura de un procedimiento sancionador, atendiendo

a las circunstancias de hecho recogidas en el punto anterior, y se han restaurado las

garantías y derechos de la interesada.

Así, considera que el acuerdo de inicio no ha motivado debidamente la apertura del

procedimiento, en contra de lo establecido en el artículo 35.8 de la Ley 39/2015, letras

h) e i), lo que puede viciar de nulidad el acto administrativo conforme a la doctrina del

Tribunal Supremo en la medida en que puede privar al interesado de los medios de

defensa necesarios o dificultar el control jurisdiccional (STS 5701/1998, STS

1935/2003 o STS 8046/1999).

Destaca que, tratándose de un acto discrecional, dicha motivación debe ser más

intensa, expresando el proceso lógico que lleva a la Administración a tomar la decisión

(STS 7626/1998 que cita a su vez las SSTS, entre otras de 15/06/1984, 13/07/1984 y

07/02/1987).

Por último, indica MERCADONA que, si la finalidad de la apertura del procedimiento

sancionador es que queden ?debidamente restauradas las garantías y derechos de los

interesados? tal y como se indica en el Fundamento de Derecho II del propio Acuerdo

de inicio de Procedimiento Sancionador, esa entidad ha realizado acciones para

reparar y paliar los daños y perjuicios sufridos por la interesada, por no haber atendido

en tiempo el derecho de acceso a causa del error humano detectado, por lo tanto han

quedado debidamente restauradas las garantías y derechos de la reclamante.

Por tanto, entiende que no procede la apertura de procedimiento sancionador y que,

además, no se ha justificado dicha decisión.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

5/61

3. Considerando el error humano alegado, invoca el principio de culpabilidad,

señalando que no existen errores en el pasado.

Cita el artículo 28.1 de la Ley 40/2015, que establece el Principio de responsabilidad

de la potestad sancionadora, y varios precedentes en los que la AEPD ha declarado

que el principio de culpabilidad constituye nota esencial en materia sancionadora y que

la llamada responsabilidad objetiva no tiene cabida en el Derecho administrativo

sancionador, por lo que la mera comisión de una infracción administrativa no es

suficiente a la hora de proceder a imponer una sanción administrativa, debiendo

concurrir una conducta dolosa o negligente, ya sea negligencia grave o leve o simple,

según en grado de desatención, no existiendo negligencia, ni por tanto infracción

culpable y punible, "cuando se haya puesto la diligencia necesaria en el cumplimiento

de las obligaciones exigibles en materia de LOPD" (PS/00724/2014).

Como el error humano es involuntario, no hay culpabilidad, pues nunca podría llegar a

exigirse una diligencia de tal calibre que, en términos de resultado, fuera inmune a

cualquier fallo humano o técnico, puesto que ello vaciaría completamente de contenido

al citado principio de culpabilidad, no siendo distinto de una mera imputación por vía

de la causalidad objetiva. Así se recoge en varias resoluciones de la Autoridad como

las dictadas en los expedientes señalados con los números E/03468/2009, en el que la

AEPD trae a colación doctrina jurisprudencial de la AN y el TS sobre el error y la

relación con la culpa (??ningún sistema es indefectible ni inmune la existencia de

posibles errores, por lo que, una vez producidos, ha de analizarse la importancia y

alcance de los mismos, para evitar una responsabilidad objetiva del sujeto de la

obligación de custodia de los mismos?); E/00546/2010; E/01795/2011 (??En el

presente caso no concurre el requisito del dolo o culpa al respecto de la actuación de

las empresas denunciadas, sino que estaríamos ante un supuesto de error con

resultado presuntamente infractor, en la medida en que pudiera existir un eventual

resultado antijurídico, pero no una voluntad en torno a dicho resultado... En este

sentido se ha manifestado, ante situaciones similares la propia Audiencia Nacional, en

sentencias como las dictadas el 16 de marzo de 2004 y 2 de marzo de 2005, en las

que respectivamente declara lo siguiente? Hemos de tener en cuenta que, como

pone de manifiesto la Audiencia Nacional, y en la medida en que no concurre

voluntariedad en el acto, que no se ha producido un resultado especialmente lesivo en

lo acontecido, y que no consta la falta de cuidado en la actuación generalizada de la

empresa denunciada en sus comunicaciones, seria contrario a la naturaleza del

ámbito sancionador administrativo, sujeto a los principios de intervención mínima y

proporcionalidad, imponer una sanción al respecto del acto producido, que puede

resumirse en un mero error no merecedor de actuación sancionadora?).

En el presente caso, la entidad ha puesto la diligencia necesaria en el cumplimiento de

las obligaciones establecidas en la normativa de protección de datos y actúa en todos

sus procesos con la máxima diligencia, y siempre dentro de su compromiso con la

transparencia y respeto al cumplimiento normativo en lo que respecta al tratamiento de

los datos de sus clientes. Así, tiene establecido un procedimiento intuitivo y sencillo en

relación con el ejercicio de los derechos en materia de Protección de Datos, en el cual

se establece las exigencias recogidas en el RGPD y la LOPDGDD.

En cuanto a la información que se proporciona a los clientes sobre cómo ejercer los

derechos, ha establecido un proceso sencillo y directo sobre el que la entidad informa

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

6/61

a través de diferentes vías (cartelería en los accesos a las tiendas; llamada al teléfono

gratuito del Servicio de atención al cliente; o la Política de Privacidad publicada en la

página web, que incluye un vínculo que dirige al formulario de ejercicio de derechos).

En el presente caso, la reclamante optó por la vía del formulario web, cuyas solicitudes

son recibidas por el Departamento de Atención al Cliente.

Y detalla el proceso de tramitación que sigue la solicitud, el cual consta reseñado en el

Hecho Probado Primero.

Este proceso contempla que las solicitudes para el ejercicio de derechos de protección

de datos sean comunicadas por el gerente al Delegado de Protección de Datos, a

través de un procedimiento no automatizado. Es el único paso no automatizado dentro

de todo el procedimiento de gestión de derechos y hasta la fecha, nunca había

acontecido ningún error, ni de carácter técnico ni humano, en la gestión de las

solicitudes en materia de protección de datos, funcionando perfectamente el sistema

establecido, gracias a la especial y constante formación que la entidad imparte a los

profesionales encargados de gestionar este tipo de solicitudes, a través de la cual se

transmite la gran importancia del derecho fundamental de protección de datos y

especialmente, los derechos de los interesados.

En relación a los ejercicios de derecho recibidos a través del formulario web, se han

recibido y tramitado de forma satisfactoria un total de 229 solicitudes de derechos

ARSOPL durante el año 2020 (enero ? septiembre: 188 y de octubre ? diciembre: 41).

La entidad puede afirmar que no ha sido sancionada con anterioridad por la AEPD en

materia de derechos de los interesados, y a nivel interno, no consta hasta el día de

hoy ninguna reclamación ante el DPD, ni hoja de reclamaciones, sobre la no

contestación o no recepción de solicitudes de los interesados.

No obstante, de forma adicional la entidad ha procedido a reforzar las instrucciones al

personal encargado de la gestión de las solicitudes de los interesados en materia de

protección de datos, especialmente las que los interesados envíen a través del

formulario de Atención al Cliente y que los gerentes asignados para su tramitación

reciben en sus carpetas, haciendo especial hincapié en su comunicación al DPD en

tanto no se automatice totalmente el procedimiento, a través de un comunicado

enviado por el Delegado de Protección de Datos en fecha 02/08/2021 de agosto.

A la vista del procedimiento establecido, concluye MERCADONA que ha observado en

todo momento la diligencia y el deber de cuidado que le eran exigibles, estableciendo

los procedimientos necesarios para gestionar las solicitudes de los interesados y

proporcionando formación específica a los trabajadores encargados de gestionar

dichas solicitudes y comunicarlas al Delegado de Protección de Datos. Además, se

implementan medidas preventivas tales como controles periódicos realizados por los

coordinadores, con la finalidad de evitar incidencias.

Lo contrario sería asumir una responsabilidad objetiva del sujeto de la obligación de

custodia de los mismos, a pesar de que no consta una falta de cuidado en la actuación

generalizada, habiendo mostrado la entidad la diligencia y el deber de cuidado que le

son exigibles, a través de la implementación de medidas formativas y preventivas de

control. Además, debe tenerse en cuenta la importancia y alcance del error, que no se

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

7/61

ha producido un resultado especialmente lesivo en lo acontecido ya que los daños y

perjuicios han sido reparados a la reclamante, y la naturaleza del error, que dada la

gran cantidad de datos que trata la entidad, ningún sistema es indefectible ni inmune a

la existencia de posibles errores como ha sido el caso presente, y que por otro lado, se

han adoptado medidas (técnicas) para evitar que pueda producirse en un futuro.

4. MERCADONA considera vulnerado el principio de tipicidad por las circunstancias

siguientes:

. Cuando se afirma en el acuerdo de apertura del procedimiento que se ha infringido el

artículo 6 del RGPD y que ello podría suponer la comisión de la infracción tipificada, en

el apartado 5.a) del artículo 83 del RGPD, no se concreta en absoluto la conducta

infractora.

. Se indica también en el acuerdo de apertura que los hechos podrían suponer una

vulneración de lo dispuesto en el artículo 6 del RGPD, en relación con el artículo 22 de

la LOPDGDD. El artículo 6 del RGPD cuenta con cuatro párrafos, que a su vez

cuentan con diferentes subapartados, y no se especifica qué párrafo y letra del artículo

6 es el que podría haber sido supuestamente vulnerado.

Lo mismo en relación con el artículo 22 de la LOPDGDD, que cuenta con ocho

párrafos y no se especifica qué concreto párrafo y apartado es/son el/los que podría/n

haber sido vulnerado/s.

A mayor abundamiento, tampoco se explica la relación entre el artículo 6 del RGPD y

el artículo 22 LOPDGDD.

. No se explica con detalle o no se fundamenta adecuadamente por qué el hecho de

haber borrado unas imágenes en el cumplimiento del plazo legalmente establecido,

por no haber dado respuesta a un derecho de acceso debido a un error humano,

supone un incumplimiento de las condiciones de licitud y concretamente, de cuál de

ellas.

Según MERCADONA, todo ello es causante de indefensión y contribuye a la

inseguridad jurídica (artículo 9.3 Constitución).

Cita la resolución dictada por la AEPD en el expediente E/02434/2020, en la que se

declara:

?En definitiva, este principio implica, en primer lugar, que las leyes sancionadoras únicamente

pueden aplicarse a aquellas conductas que reúnan todos los elementos del tipo descrito, es

decir, que una conducta se puede definir como ?típica? cuando existe una identidad u

homogeneidad entre el hecho cometido y las circunstancias que se describen en la norma. La

prohibición de la analogía, por su parte, implica que no se puede imponer una sanción por un

hecho que no encaje en la literalidad del tipo de la infracción, aunque guarde con él algún tipo

de similitud o proximidad conceptual?.

Por todo lo anterior, entiende la entidad reclamada que en el acuerdo de inicio de

procedimiento sancionador no se cumple en absoluto con el principio de tipicidad ya

que, en primer lugar, no se han concretado los preceptos supuestamente vulnerados,

ni se ha explicado la relación entre los mismos; en segundo lugar, no existe identidad

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

8/61

entre el hecho cometido y las circunstancias que se describen en la norma, pues no se

ha producido en ningún momento un tratamiento de datos ilícito (art 6 RGPD) ni se ha

vulnerado lo establecido en el artículo 22 de la LOPDGDD, y en tercer lugar, no se

puede imponer una sanción por un hecho que no encaje en la literalidad del tipo de la

infracción, aunque guarde con él algún tipo de similitud o proximidad conceptual

(prohibición de analogía).

5. MERCADONA cumple escrupulosamente lo establecido en el artículo 22.3 de la

LOPDGDD sobre la obligación de conservación de las imágenes captadas por

sistemas de videovigilancia, ya que dichas imágenes se borran de manera definitiva al

transcurrir más de 30 días desde la captación.

En el caso objeto de la presente reclamación, debido a un error humano, no se tramitó

correctamente la solicitud de acceso de la reclamante, pero ello no implica en absoluto

un incumplimiento de lo establecido en el artículo 22.3 LOPDGDD, que dispone lo

siguiente:

?3. Los datos serán suprimidos en el plazo máximo de un mes desde su captación, salvo

cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la

integridad de personas, bienes o instalaciones. En tal caso, las imágenes deberán ser puestas

a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde

que se tuviera conocimiento de la existencia de la grabación. No será de aplicación a estos

tratamientos la obligación de bloqueo prevista en el artículo 32 de esta ley orgánica?.

En las ?Fichas prácticas de videovigilancia información general? de la AEPD,

actualizadas en 2021, se indica lo siguiente (aporta impresión de pantalla):

?Las imágenes serán conservadas durante un plazo máximo de un mes desde su captación,

transcurrido el cual se procederá al borrado.

Cuando se produjese la grabación de un delito o infracción administrativa que deba ser puesta

en conocimiento de una autoridad las imágenes se acompañarán a la denuncia y deberán

conservarse con el único fin de ponerlas a disposición de la citada autoridad sin que puedan

ser utilizadas para ningún otro propósito?.

Por tanto, sobre la obligación de supresión general transcurrido máximo un mes desde

la captación de las imágenes, la excepción viene dada por la grabación de un delito o

infracción administrativa que deba ser puesto en conocimiento de las autoridades, sin

que podamos incluir otros supuestos dentro de dicha excepción a la regla general,

pues la propia LOPDGDD no los incluye.

El artículo 22.3 LOPDGDD habla de ?(?) salvo cuando hubieran de ser conservados

para acreditar la comisión de actos que atenten contra la integridad de personas,

bienes o instalaciones?, por lo que no se está refiriendo a cualquier acto, sino a

aquellos que impliquen una conducta por parte de un tercero (cometer un acto) contra

personas, bienes o instalaciones, es decir, debe cometerse un acto por parte de una

persona, que atente contra la integridad de personas, bienes o instalaciones.

Recordemos que toda excepción debe ser interpretada restrictivamente y sostener lo

contrario, vulneraría tanto el principio de tipicidad como la prohibición de analogía, ya

que no se puede imponer una sanción por un hecho que no encaje en la literalidad del

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

9/61

tipo de la infracción, aunque guardase con él algún tipo de similitud o proximidad

conceptual.

En un caso similar (Procedimiento E/02434/2020) en el que la Guardia Civil solicitó

imágenes a un establecimiento de hostelería ?por ser estas determinantes para el

esclarecimiento de los hechos?, y estas ya habían sido borradas, la AEPD indica que

es necesario analizar si la conducta descrita constituye una infracción y afirma que ?El

citado artículo 22.3 LOPDGDD, hay que ponerlo en conexión con lo establecido en el

artículo 32 LOPDGG, ?Bloqueo de datos? y concluye que ?la obligación de ?bloqueo?

en materia de imágenes obtenidas a través de sistemas de video-vigilancia es una de

las excepciones determinadas por el Legislador, de manera que no cabría imputar al

denunciado una infracción administrativa en los términos del art. 72n) LOPDGDD?, por

lo que archiva la denuncia:

?De acuerdo con lo expuesto, cabe concluir que no existe como tal una obligación de bloqueo

en el caso de las imágenes obtenidas a través del sistema, ni el Legislador obliga a que las

mismas se tengan que conservar necesariamente por el plazo de un mes, careciendo este

organismo de un mayor conocimiento de las circunstancias que dieron lugar a la eliminación de

las imágenes (vgr. intencionalidad o simple error humano), motivos todos ellos que aconsejan

ordenar el Archivo del presente procedimiento?.

Si en el caso comentado en que las imágenes eran solicitadas por la Guardia civil para

el esclarecimiento de unos hechos presuntamente delictivos, la Autoridad concluyó

que no había obligación por parte del establecimiento de bloquear las imágenes,

menos aún en el presente caso en el que no estamos ante la comisión de un delito o

infracción administrativa, que justificaría la ?puesta a disposición de las imágenes a la

autoridad competente en un plazo máximo de setenta y dos horas desde que se

tuviera conocimiento de la existencia de la grabación?, que es lo que realmente

establece el artículo 22.3 de la LOPDGDD, y no una obligación de conservación, ni

siquiera parcial.

En conclusión, no se ha incumplido con ninguna disposición que establezca una

obligación de conservación de las imágenes, ya que el art 22.3 LOPDGDD no

establece dicha obligación, sino que establece únicamente la obligación de comunicar

determinadas grabaciones a las autoridades, y sancionar por ello supondría una

vulneración del Principio de Tipicidad y la prohibición de analogía.

Cuestión diferente es que, por no haber recibido o procesado correctamente la

solicitud de derecho de acceso, se hayan causado unos posibles daños a la

reclamante, los cuales ya han sido reparados a través del acuerdo alcanzado con la

reclamante tal y como se ha explicado anteriormente, pero en modo alguno puede

vincularse el hecho de que la reclamante realice una denuncia al establecimiento por

unos hechos a efectos de reclamar daños por responsabilidad civil (recordemos, sin

ejercitar propiamente un derecho de acceso a las imágenes en dicha denuncia y que

no hacía referencia al ejercicio de derecho de acceso ejercitado previamente) con una

obligación legal de conservar las imágenes que además el art 22.3 no establece, ya

que dicho precepto se limita a establecer la obligación de poner a disposición de la

autoridad competente en un plazo máximo de setenta y dos horas aquellas imágenes

que sirvan para ?acreditar la comisión de actos que atenten contra la integridad de

personas, bienes o instalaciones? y no de cualquier suceso que no implique la

grabación de un delito o infracción administrativa.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

10/61

Por tanto, es claro que el artículo 22.3 no establece una obligación de conservación de

imágenes que la entidad no haya respetado. Aceptar lo contrario supondría la

obligación de los responsables de tratamiento de revisar todas las grabaciones

diariamente para conservar cualquier grabación en la que una persona pudiera

haberse caído, desmayado etc. además de comunicar a las autoridades competentes

dichos sucesos que no entrarían dentro de su competencia como es el caso presente,

y sancionar por ello, supondría vulneración del Principio de Tipicidad y de prohibición

de analogía.

Con sus alegaciones aporta la documentación siguiente:

. Acuerdo de especificaciones dirigido al Departamento de Sistemas para realizar un

nuevo desarrollo en la página web corporativa que implique la automatización del

envío de cualquier ejercicio de derechos al Delegado de Protección de Datos.

Con el objetivo de facilitar el ejercicio de derechos, este documento contempla incluir

una ?FAQ? para explicar cómo ejercitar el derecho y con un enlace a un formulario,

?que completándolo llegará? al equipo legal para gestionar la solicitud.

. ?Certificación? del Departamento de Recursos Humanos en relación con la imposición

de la medida disciplinaria interna. Se dice que la investigación realizada detectó que

un empleado del Área de Responsabilidad Civil encargado de la gestión de la

reclamación objeto de las presentes actuaciones ?había incurrido en la falta de

diligencia en sus funciones y que han originado la falta de atención del derecho de

acceso en materia de videovigilancia?, por lo que ?se le aplicaron las medidas

disciplinarias internas por incumplir de forma negligente la ejecución de los métodos

de trabajo establecidos por la empresa, habiendo sido debidamente formado para

ellos?.

. Comunicado del DPD de la entidad reclamada dirigido a los ?gerentes de tramitación?

del Departamento de Atención al Cliente?, remitido mediante correo electrónico de

02/08/2021. Enumera las vías para el ejercicio de derechos e informa lo siguiente:

?Como sabéis si el interesado utiliza el formulario web para el ejercicio de un derecho, a través

de un procedimiento automatizado, el sistema asigna la solicitud a un gerente y la envía a su

carpeta.

IMPORTANTE: Aquellas solicitudes para el ejercicio de derechos en materia de protección de

datos, como sabéis y venís realizando hasta la fecha, deben ser enviadas de forma inmediata

al Delegado de Protección de Datos ***EMAIL.1, para que se proceda a dar respuesta en

tiempo y forma al Jefe(cliente) que lo solicita. Actualmente es un proceso que se realiza de

forma manual, por lo que se ha solicitado al Departamento de Informatica el estudio y la

valoración del proyecto de automatización con la finalidad de evitar cualquier error humano en

la gestión?.

. Documentación sobre una formación dirigida al ?Área Línea 900?, realizada en mayo

de 2021, que incluye un apartado dedicado a la protección de datos personales.

SÉPTIMO: Con fecha 29/07/2021, tuvo entrada en esta Agencia un escrito presentado

por la representante de la reclamante, en relación con la apertura del procedimiento

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

11/61

sancionador, mediante el que comunica ?que se ha llegado a un acuerdo con

Mercadona, a través del cual quedan debida y suficientemente resarcidos los daños y

perjuicios sufridos por mi clienta, tanto materiales como inmateriales en el ámbito de la

responsabilidad civil, así como en materia de protección de datos por la no atención

del derecho de acceso, motivo de la reclamación presentada?. En base a ello, termina

señalando que han quedado resarcidos los perjuicios y satisfecho el derecho de la

reclamante y solicita ?se considere atendida mi reclamación y, por ende, el archivo del

expediente?.

OCTAVO: Con fecha 02/03/2022 se formuló propuesta de resolución en el sentido

siguiente:

1. Que se sancione a la entidad MERCADONA, por una infracción del artículo 12, en

relación con el artículo 15, ambos del RGPD, tipificada en el artículo 83.5.b) y

calificada como leve a efectos de prescripción en el artículo 74.c) de la LOPDGDD,

con una multa de 70.000 euros (setenta mil euros).

2. Que se sancione a la entidad MERCADONA, por una infracción del Artículo 6 del

RGPD, tipificada en el artículo 83.5.a) y calificada como muy grave a efectos de

prescripción en el artículo 72.1.b) de la LOPDGDD, con una multa de 100.000 euros

(cien mil euros).

3. Que se imponga a la entidad MERCADONA, en el plazo que se determine, la

adopción de las medidas necesarias para adecuar su actuación a la normativa de

protección de datos personales, con el alcance expresado en el Fundamento de

Derecho IX de la propuesta de resolución.

NOVENO: Con fecha 16/03/2022, se recibe escrito de la entidad reclamada en el que

formula alegaciones a la propuesta de resolución, solicitando nuevamente el archivo

del procedimiento y que se tengan en cuenta las peticiones que seguidamente se

indican. Basa su petición en las consideraciones siguientes:

1. Reitera las mismas alegaciones anteriores sobre la procedencia de seguir un

procedimiento por falta de atención de una solicitud de ejercicio de derechos, que es el

que, a su juicio, corresponde por imperativo legal, en lugar de un procedimiento

sancionador; y señala que aquel tiene una duración de seis meses a contar desde la

admisión a trámite el 16/04/2021, que transcurrieron sin pronunciamiento alguno.

Entiende que las responsabilidades también deben depurarse en el marco de ese

procedimiento regulado en el artículo 64.1 de la LOPDGDD; y que debe seguirse el

mismo aunque no sea posible atender el derecho, como ocurre en este caso al

haberse eliminado el dato, según ha resuelto la Agencia en precedentes que califica

como similares, en los que la AEPD ha estimado formalmente la reclamación del

interesado dentro del procedimiento de tutela de derechos, instando al reclamado a

dar respuesta pero sin apreciar ?carencia? de objeto y sin depurar responsabilidades

(TD/00955/2018, TD/00830/2017 y TD/01272/2017). Añade que así lo entiende el

Comité Europeo de Protección de Datos (CEPD) en sus Directrices 3/2019, sobre el

tratamiento de datos personales mediante dispositivos de vídeo:

?Ejemplo: Si el responsable del tratamiento suprime automáticamente todas las imágenes por

ejemplo en un plazo de dos días, no puede facilitar las imágenes al interesado transcurridos

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

12/61

esos dos días. Si el responsable recibe una solicitud después de esos dos días, se debe

informar al interesado en consecuencia?.

Cita también las actuaciones seguidas por la AEPD con el número E/02434/2020, que

se refiere a una petición de las Fuerzas y Cuerpos de Seguridad del Estado de

imágenes determinantes para el esclarecimiento de la supuesta comisión de un delito

o infracción administrativa, que la Agencia archivó concluyendo que no había

obligación por parte del establecimiento de bloquear las imágenes y no sancionó por

ello.

Además, considera MERCADONA que no se ha producido incumplimiento de otras

disposiciones diferentes al artículo 12, párrafos 2 y 3, en relación con el artículo 15

RGPD, que justifiquen la apertura de un procedimiento sancionador y argumenta que

la supuesta infracción imputada está tipificada como ?No atender las solicitudes de

ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento?.

Finalmente, expone que se está sancionando una misma conducta con dos sanciones;

y que se han restaurado las garantías y derechos de la interesada por los posibles

perjuicios derivados de los hechos, según establece el artículo 82.1 del RGPD.

2. Insiste MERCADONA en las alegaciones ya expresadas sobre el carácter

excepcional del procedimiento sancionador; las acciones llevadas a cabo para

restaurar las garantías y derechos de la interesada y reparar los daños, que no se

consiguen con la imposición de una sanción; así como en la falta de motivación, en el

presente caso, del acuerdo de apertura, a diferencia de otros casos en los que se

justifica en una actuación general del responsable que afectaría a todas las personas

que estuvieran en la misma situación, y no un error puntual (PS/00003/2021), que ni

siquiera concreta los párrafos de los artículo 12 y 6 del RGPD infringidos.

Al igual que en el apartado anterior, también en este apartado 2 discute MERCADONA

la procedencia de resolver las cuestiones suscitadas mediante un procedimiento

sancionador, argumentando de contrario el volumen de solicitudes de derechos que ha

tramitado en los últimos años; que no ha sido sancionada con anterioridad por esta

causa y no consta ninguna reclamación ante el DPD; y se han adoptado las medidas

necesarias para evitar que errores similares, habiendo automatizado totalmente el

proceso de gestión de solicitudes, las cuales han sido valoras como atenuante junto

con el hecho de que en este caso la anomalía únicamente afecta a la reclamante.

Entiende que no es suficiente para fundamentar la apertura del procedimiento

sancionador con indicar que al suprimir las imágenes se ha producido otra infracción

diferente a la vulneración de los artículos 15 a 22 del RGPD, o que el procedimiento

por la no atención de un derecho ?carecía de objeto? puesto que las imágenes no

existían.

Por otra parte, menciona la posibilidad de acudir a otros poderes correctivos

establecidos en el artículo 58.2 del RGPD (advertencia, apercibimiento u otras), en

función de las circunstancias de cada caso individual.

No ha sido sino en la Propuesta de resolución, cuando se ha argumentado por primera

vez por parte de la AEPD qué concretos párrafos de los artículos 12 y 6 del RGPD se

consideraban supuestamente vulnerados. Y, con respecto a la supuesta vulneración

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

13/61

del artículo 6 y su relación con el artículo 22 de la LOPDGDD, es también en la

propuesta de resolución cuando, a pesar de reconocer la no aplicación del artículo 22

LOPDGDD, la AEPD explica el razonamiento jurídico y ratifica la propuesta de

sanción.

3. Reitera que la solicitud de acceso de la reclamante no fue gestionada debido a que

no llegó a conocimiento del DPD por un error humano, ya explicado, en su opinión, en

sus alegaciones a la apertura del procedimiento.

Invoca nuevamente el principio de culpabilidad y la prohibición de la responsabilidad

objetiva en el Derecho administrativo sancionador, que se consideran en diversas

resoluciones de la propia Agencia como las indicadas en su escrito de alegaciones

anterior y en Sentencias de la Audiencia Nacional (como las dictadas el 16/03/2004 y

02/03/2005, referidas a un error en los movimientos de una cuenta bancaria o una

equivocación en el envío de correspondencia a la dirección de una persona, cuando

no concurra voluntariedad y no conste la falta de cuidado).

En tales casos, la AEPD ha valorado las circunstancias concretas, teniendo en cuenta

que la mera comisión de una infracción administrativa -tipo objetivo- no es suficiente a

la hora de proceder a imponer una sanción administrativa (PS/00724/2014); que

ningún sistema es indefectible ni inmune la existencia de posibles errores, por lo que,

una vez producidos, ha de analizarse la importancia y alcance de los mismos, para

evitar una responsabilidad objetiva del sujeto de la obligación de custodia de los

mismos (E/01795/2011); si concurre o no voluntariedad en el acto, si se ha producido

un resultado especialmente lesivo o consta la falta de cuidado en la actuación

generalizada (E/03468/2009); o la proporcionalidad (SAN de 16/03/2004 y

02/03/2005).

En cuanto a las afirmaciones contenidas sobre esta cuestión en la propuesta de

resolución, indica MERCADONA que la Agencia no fundamenta en qué consistió la

falta de diligencia. El único argumento es que ?no puede admitirse que la actuación de

la entidad reclamada, no dando curso a la solicitud de acceso a los datos personales,

haya sido diligente?, lo cual tendría como corolario la responsabilidad objetiva derivada

de cualquier error, despiste, olvido etc. del trabajador que debía redirigir la solicitud al

DPD, sin atender a las circunstancias concretas del caso y al hecho reconocido por la

propia Autoridad de que se contaba con los procedimientos ?adecuados? para

gestionar este tipo de solicitudes y de que no se habían producido errores en el

pasado que motivasen el cambio de procedimiento por parte del responsable, en base

a su diligencia.

Como muestra de la existencia en este caso de la diligencia debida generalizada, la

propia AEPD valora como circunstancia atenuante la implantación de procedimientos

adecuados de actuación en la gestión de solicitudes de ejercicio de derechos, de

modo que la infracción es consecuencia de una anomalía en el funcionamiento de

dichos procedimientos que afecta únicamente a la reclamada. Siendo así, entiende

MERCADONA que no se puede apreciar voluntariedad en el error, y añade que no se

ha producido un resultado lesivo, ya que la entidad ha procedido a evitar los posibles

daños y perjuicios que se hubieran podido derivar.

Por último, en cuanto a la importancia y alcance del error, la entidad ha puesto de

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

14/61

manifiesto que hasta la fecha no se había producido error alguno en la gestión de las

solicitudes de derechos de los interesados, ni de carácter técnico ni humano, a pesar

del elevado número de solicitudes recibidas, ni ha sido sancionada con anterioridad

por la AEPD en materia de derechos de los interesados y a nivel interno, no consta

hasta el día de hoy ninguna reclamación ante el DPD, ni hoja de reclamaciones, sobre

la no contestación o no recepción de solicitudes de los interesados.

A pesar de ser una ?anomalía en el funcionamiento?, tal y como la define la propia

AEPD, la entidad ha modificado el procedimiento de gestión eliminando el único paso

no automatizado. Así, ha implantado un desarrollo, mediante un sistema de reglas de

flujo de correo en el Exchange Server (también conocidas como reglas de transporte).

Estas reglas contienen un conjunto de condiciones y acciones, con las que se

garantizan la notificación a los destinatarios de Atención al cliente (L900) y Delegado

de Protección de Datos, de forma automática, de aquellas peticiones del ejercicio de

derechos que se realicen a través del formulario de la página web (reenvío automático

de una copia del mensaje original a el buzón de correo ***EMAIL.1).

En cuanto a su alcance, se evidencia por parte de la AEPD que afecta únicamente a la

reclamada, lo cual se tiene en cuenta como atenuante de la sanción. En este punto,

debe tenerse en cuenta que no se ha producido un resultado lesivo en lo acontecido,

ya que no han llegado a derivarse daños y perjuicios por satisfacción extrajudicial de la

pretensión de indemnización en base a unos hechos a cuya acreditación pretendían

servir las imágenes solicitadas por la reclamante.

Además, ha mostrado la diligencia y el deber de cuidado que le son exigibles, a través

de la implementación de medidas formativas y preventivas de control, tal y como

evidencia la falta de errores en el pasado.

Señala también que no ha amparado la no atención del derecho en la supresión de las

imágenes, sino en el error humano indicado. El transcurso del plazo fue solo la

consecuencia de no haber llegado la solicitud al DPD. Prueba de ello es que se dio

respuesta a la reclamante en fecha ***FECHA.9, antes del requerimiento de la AEPD.

En cuanto al plazo de conservación de las imágenes, en el resto de países europeos,

o no existen plazos de conservación, o son inferiores a 30 días, por lo que la situación

que plantea la AEPD es todavía más evidente y posible de materializarse si el

interesado no ejercita su derecho de acceso antes de que se produzca la supresión de

las imágenes. Así, el Comité Europeo de Protección de Datos, CEPD, en las

Directrices 3/2019, en relación con los períodos de almacenamiento y obligación de

borrado, afirma que:

?Los datos personales no podrán conservarse durante más tiempo del necesario para la

finalidad para la que se tratan [artículo 5, apartado 1, letras c) y e) del RGPD]. En algunos

Estados miembros, puede haber disposiciones específicas para los períodos de conservación

respecto a la videovigilancia de conformidad con el artículo 6, apartado 2, del RGPD.

El hecho de si es necesario conservar o no los datos personales debe controlarse en un corto

espacio de tiempo. Por lo general, los fines legítimos de la videovigilancia son normalmente la

protección de la propiedad o la conservación de pruebas. Normalmente los daños producidos

se pueden reconocer un uno o dos días. Para facilitar la demostración del cumplimiento del

marco de protección de datos, va en interés del responsable del tratamiento celebrar acuerdos

organizativos por adelantado (p. ej., nombrar, si fuera necesario, a un representante para

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

15/61

examinar y asegurar el material de vídeo). Teniendo en cuenta los principios del artículo 5,

apartado 1, letras c) y e) del RGPD, concretamente la minimización de datos y la limitación del

plazo de conservación, los datos personales deberán suprimirse en la mayoría de los casos (p.

ej., a efectos de detectar vandalismo), preferentemente de forma automática, transcurridos

unos días. Cuanto más tiempo dure el período de conservación (especialmente cuando supere

las 72 horas), más argumentos deberán facilitarse para la legitimidad de la finalidad y la

necesidad de conservación?.

Incluso el CEPD pone el siguiente ejemplo respecto de una tienda:

?Ejemplo: El propietario de una tienda pequeña normalmente se daría cuenta de cualquier

signo de vandalismo el mismo día. En consecuencia, bastaría con un período normal de

conservación de 24 horas. Los fines de semana que está cerrada o las vacaciones más

prolongadas pueden no obstante ser motivos para un período de conservación más largo. Si se

detecta un daño también puede ser necesario conservar las imágenes de vídeo durante un

período más prolongado con el fin de interponer demandas contra el infractor?.

4. La AEPD entiende dos conductas diferentes e independientes, cuando en realidad

una es consecuencia de la otra, pues si se borraron las imágenes fue porque

precisamente no se tuvo constancia de la solicitud de acceso debido al error

acontecido. Y concluye que las circunstancias concurrentes prevalecen sobre la

obligación de eliminar las imágenes en el plazo máximo de un mes desde que fueron

captadas, vulnerando lo establecido en el artículo 6 del RGPD.

A este respecto, señala en primer lugar, que cuando la reclamante se interesó por su

solicitud se dio respuesta, por ser la primera vez que llegaba a conocimiento, y ya

había transcurrido el plazo máximo de conservación de 30 días, como en los casos

similares señalados anteriormente.

Por otra parte, alega MERCADONA que la supresión de los datos cuando han dejado

de ser necesarios no necesita una base legítima. La supresión se produce

precisamente porque ya no existe base de legitimación para seguir conservando esos

datos por haber transcurrido el plazo máximo legal de un mes, necesitando de una

base de legitimación para su conservación posterior, no para su supresión como indica

la AEPD. En otras palabras, es la ?expiración? del plazo legal de conservación, el

propio cumplimiento de la norma aplicable, lo que conlleva la supresión de las

imágenes, sin necesidad de acudir a ninguna base de legitimación para realizar dicha

supresión. De admitir el argumento de la AEPD, debería existir en todo Registro de

Actividades de Tratamiento (incluido el de la propia AEPD), un tratamiento

denominado ?supresión de imágenes? con su correspondiente base de legitimación, lo

cual no tiene sentido alguno.

En tercer lugar, destaca que estamos ante un plazo máximo de conservación, como la

propia AEPD indica en sus ?fichas prácticas de videovigilancia? (?trascurrido el cual se

procederá al borrado?), en la propuesta de resolución y en múltiples resoluciones.

Como la dictada en el procedimiento PS/00261/2020, en la que se afirma lo siguiente:

?Sobre la obligación de conservación de imágenes por un plazo no superior a 30 días, el

(RGPD), en su considerando 39, anuncia la necesidad de ?garantizar que se limite a un mínimo

estricto? el plazo de conservación de los datos personales, los cuales a su vez deben ser

?adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados?. El

artículo 22.3 de la LOPDGDD concreta ?en cuanto a los tratamientos con fines de

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

16/61

videovigilancia? que ?los datos serán suprimidos en el plazo máximo de un mes desde su

captación?.

La excepción viene dada por la grabación de un delito o infracción administrativa que

deba ser puesto en conocimiento de las autoridades ex artículo 22.3 LOPDGDD, sin

que podamos incluir otros supuestos dentro de dicha excepción a la regla general,

pues la propia LOPDGDD no los incluye.

Recordemos que toda excepción debe ser interpretada restrictivamente y sostener lo

contrario, vulneraría tanto el principio de tipicidad como la prohibición de analogía, ya

que no se puede imponer una sanción por un hecho que no encaje en la literalidad del

tipo de la infracción, aunque guardase con él algún tipo de similitud o proximidad

conceptual.

En el Acuerdo de inicio de procedimiento sancionador, la AEPD afirmaba que se

consideraba que los hechos expuestos podrían incumplir lo establecido en el artículo 6

del Reglamento, en relación con el artículo 22 de la LOPDGDD; y en la propuesta

reconoce que no es aplicable al presente caso.

Por tanto, no se entiende cuál es el supuesto analizado en las presentes actuaciones y

por qué se considera responsable a dicha entidad de una supuesta infracción del art 6

de RGPD con respecto al mismo (adjunta extracto del Registro de Actividad del

Tratamiento correspondiente al tratamiento de Videovigilancia).

La AEPD entiende que ?concurren otras circunstancias que deben ser consideradas

en el análisis de la licitud o ilicitud de aquella supresión o borrado de datos

personales?, directamente vinculadas a la situación particular de la reclamante, pero

en ningún modo puede sostenerse que, debido a esas circunstancias particulares, que

la entidad no tiene por qué conocer, MERCADONA tenía un deber de conservación. Y

advierte esta entidad que para el ejercicio de derechos no debe aducirse justificación o

motivación alguna por parte del interesado y que la entidad no debe realizar ninguna

valoración respecto a si puede existir un interés legítimo del interesado que pueda

justificar la conservación de las imágenes más allá del plazo legal. En el caso de haber

recibido la solicitud, la entidad hubiera entregado copia de las imágenes a la

interesada, pero no porque la base de legitimación hubiera cambiado, sino porque la

interesada tiene derecho a solicitar las imágenes a través del derecho de acceso con

independencia de su motivación. En otras palabras, MERCADONA no tenía que hacer

ninguna ponderación o valoración en lo que a la legitimación se refiere.

Reproduce de nuevo lo señalado sobre los períodos de conservación y supresión de

las imágenes en las Directrices 3/2019 del CEPD, antes transcrito, añadiendo el

párrafo siguiente:

?Si el responsable del tratamiento utiliza la videovigilancia no solo para controlar sus

instalaciones sino también para conservar los datos, deberá garantizar que la conservación es

efectivamente necesaria para lograr la finalidad. Si es así, el plazo de conservación deberá

definirse claramente y fijarse individualmente para cada fin particular. Es responsabilidad del

responsable del tratamiento definir el período de conservación de conformidad con los

principios de necesidad y proporcionalidad y acreditar el cumplimiento de las disposiciones del

RGPD?.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

17/61

Por otro lado, si necesitara una base jurídica para proceder a la supresión de los

datos, en ningún momento especifica la AEPD cuál es o cuál debería ser, de las

enumeradas en el artículo 6 RGPD.

Según la reclamada, la propuesta de resolución confunde los conceptos de ?base de

legitimación? con los ?motivos? o razones que justificaban la conservación de las

imágenes. Que la reclamante tuviera interés en las imágenes, y derecho a obtenerlas,

está fuera de toda discusión, pero la AEPD parece ignorar que, si en el presente caso

no se conservaron las imágenes, no fue porque se hubiera valorado que la reclamante

no tenía derecho a las mismas o porque se considerase que en todo caso debía

aplicarse el plazo de conservación de un mes, sino porque, sencillamente, hubo un

error puntual en la gestión de su solicitud que impidió su contestación en tiempo y

forma. No puede confundirse el interés que pueda tener la interesada en las imágenes,

con el plazo de conservación de las imágenes que determina el responsable o con el

concepto de base de legitimación. Si un interesado ejercita el derecho de acceso

durante el plazo en el que el responsable conserva las imágenes, deberá atenderse, y

deberán conservarse las imágenes, aunque hubiera un defecto formal en la petición,

precisamente para que cuando este se subsanase, satisfacer el derecho. Pero en este

caso no llegó a conocimiento del responsable la petición, por lo que no se pudieron

conservar.

Tampoco se discute el derecho de la entidad a conservar las imágenes si así lo estima

oportuno, por ejemplo, porque fuera demandada por la reclamante, en el ejemplo que

pone la propia AEPD, pero esto pone de manifiesto la confusión de la AEPD respecto

a la necesidad de una base de legitimación para conservar las imágenes más allá del

plazo legal establecido, con la supuesta necesidad de una base de legitimación para

suprimir dichas imágenes.

De hecho, en las citadas Directrices 3/2019, en relación con el derecho de acceso en

materia de videovigilancia se afirma que:

?El interesado tiene derecho a obtener la confirmación del responsable del tratamiento respecto

a si sus datos personales son o no objeto de tratamiento?Si, no obstante, los datos se siguen

tratando en el momento de la solicitud (esto es, si los datos se conservan o tratan

continuamente de cualquier otra forma), el interesado debe obtener acceso e información de

conformidad con el artículo 15?.

?Ejemplo: Si el responsable del tratamiento suprime automáticamente todas las imágenes por

ejemplo en un plazo de dos días, no puede facilitar las imágenes al interesado transcurridos

esos dos días. Si el responsable recibe una solicitud después de esos dos días, se debe

informar al interesado en consecuencia.

En el presente caso no estamos ante una colisión de derechos que deba ponderar el

responsable, sino simplemente ante una solicitud de derecho de acceso que no fue

atendida porque el responsable no tuvo conocimiento de la petición de la interesada

debido a un error aislado y puntual en el procedimiento.

Si MERCADONA suprimió las imágenes fue porque no tuvo conocimiento de la

petición de acceso de la interesada, no porque valorase negativamente su solicitud y

no concediese dicho acceso.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

18/61

La AEPD ha considerado que se da una prevalencia del derecho a la tutela judicial

efectiva de jueces y tribunales. Pero es que no resulta necesario argumentar que

debía de haberse conservado las imágenes por un período superior a los 30 días. Si

se hubiera recibido la petición, la interesada hubiese tenido respuesta en tiempo y

forma, sin necesidad de tener que conservar las imágenes más tiempo del establecido

ni buscar ninguna base de legitimación adicional.

Dado que el DPD no recibió la solicitud original, se procedió a su supresión en

cumplimiento de los procedimientos establecidos. Es decir, MERCADONA nunca se

encontró y nunca se habría encontrado (en caso de no haberse producido el error

acontecido) en la disyuntiva de si debía o no conservar los datos más allá del plazo

legal, por lo que no puede exigirse la realización de ninguna ponderación ante una

supuesta colisión de derechos que no ha existido ni existirá. Para el caso de que la

petición se hubiera tramitado satisfactoriamente, se habrían entregado las imágenes

sin más valoración.

Pero es que, además, si aceptamos que el responsable debe analizar y valorar las

causas por las que el interesado solicita los datos, estamos arrogando al responsable

de unas facultades que la ley no le otorga.

Además, al afirmar la AEPD que ?existe una habilitación legal para el tratamiento de

los datos de las imágenes una vez rebasado el plazo establecido para su supresión,

que trae su cobertura del propio artículo 24 de la Constitución y sus normas de

desarrollo? parece introducir, para aquellos casos en los que no se ha ejercitado un

derecho en materia de protección de datos, una obligación de supervisión de todas las

imágenes por parte de los responsables de tratamiento, diariamente, para valorar si es

necesario conservar cualquier grabación en la que una persona pudiera haberse

caído, desmayado etc. y las necesitase para ejercer su derecho a la tutela judicial

efectiva, incluso aun en el caso de ausencia de petición del interesado. Este

razonamiento no puede compartirse ni sostenerse jurídicamente, pues supone exigir

obligaciones a los responsables de tratamiento que no están en la ley y que van más

allá de las finalidades de un sistema de videovigilancia instalado para garantizar la

preservar la seguridad de las personas y bienes, así como de sus instalaciones.

Cuestión diferente es que el interesado pueda solicitar las imágenes a través del

derecho de acceso y utilizarlas como considere (por ejemplo aportarlas a un

procedimiento judicial), pero en modo alguno puede argumentarse una obligación

general de conservación para el responsable, contradiciendo el plazo máximo legal de

conservación de las imágenes, para salvaguardar un posible derecho de acceso a la

tutela judicial efectiva de una persona que no ha ejercitado un derecho de acceso en

protección de datos.

Queda claro que esas finalidades van más allá de la finalidad del sistema de

videovigilancia de preservar la seguridad de las personas y bienes, así como de sus

instalaciones (Art 22.1 LOPDGDD).

No obstante, la entidad ha procedido a la reparación de los posibles daños y perjuicios

que el error acontecido y, por tanto, la no disposición de las imágenes haya podido

causar a la reclamante.

Por todas las razones expuestas, en ningún momento, se ha realizado un tratamiento

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

19/61

de datos sin que concurra una base de licitud.

Tampoco se ha incumplido ninguna disposición que establezca una obligación de

conservación de las imágenes, ya que el artículo 22.3 LOPDGDD no establece dicha

obligación, por lo que sancionar por ello supondría una vulneración del principio de

tipicidad y la prohibición de analogía.

5. Invoca los principios de seguridad jurídica, que obliga a que el ius puniendi del

Estado se someta al principio de Legalidad ? Lex previa- y al principio de Tipicidad-

Lex certa-.

En base a ello, se opone expresamente a la consideración de los hechos imputados

como constitutivos del supuesto de hecho del artículo 6 del RGPD y artículo 72.1.b) de

la LOPDGDD, porque, precisamente, el haberlos conservado más allá del plazo legal

de conservación hubiera supuesto un tratamiento sin base de legitimación.

La infracción consistente en suprimir unas imágenes sin base de legitimación no

existe, no se encuentra tipificada en la normativa, pues todas las bases de licitud

detalladas en el artículo 6 suponen un tratamiento de datos en positivo, activo, (tratar

datos para una finalidad específica, ejecutar un contrato, cumplir una obligación legal,

etc.), no negativo (suprimir).

6. En cuanto a la graduación de las sanciones, señala lo siguiente:

a) En relación con la infracción por incumplimiento de lo dispuesto en el artículo 12, en

relación con el artículo 15, ambos del RGPD, considera la reclamada que las

circunstancias siguientes deben considerarse como atenuantes y no agravantes:

. Existe un único afectado, la duración de la infracción no perdura en el tiempo y no

existía con carácter general o estructural, no se trata de una infracción grave y los

daños que hubiera podido sufrir la interesada han sido reparados situando a la

reclamante en la misma situación en que se encontraría de haberse servido de las

imágenes para presentar demanda.

. No cabe apreciar intencionalidad o negligencia en la infracción, por cuanto la

infracción ha sido ?consecuencia de una anomalía en el funcionamiento de los

procedimientos? que, según la AEPD la entidad tiene implantados y son adecuados; la

reclamada no ha sido sancionada con anterioridad por la no atención de un derecho y

ni siquiera constan reclamaciones a nivel de DPD o de hojas de reclamaciones, lo que

evidencia que no se habían producido errores hasta la fecha, gracias a la formación

que imparte a su personal (aporta documentación sobre acciones formativas

impartidas); y se han implementado medidas preventivas tales como controles

periódicos y la automatización del proceso.

. La reclamada ha colaborado con la Agencia y no ha esperado al requerimiento formal

para modificar su procedimiento.

. Las categorías de datos afectados son datos relativos a imágenes, no constituyendo

categorías especiales de datos, dado que únicamente se tratan con la finalidad de

garantizar la seguridad de personas, bienes e instalaciones.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

20/61

Así lo entiende el CEPD en sus Directrices 3/2019:

?Los sistemas de videovigilancia normalmente recopilan cantidades masivas de datos

personales que pueden revelar datos de naturaleza muy personal e incluso categorías

especiales de datos. En efecto, los datos aparentemente no significativos recogidos en un

principio mediante el vídeo se pueden usar para inferir otra información dirigida a lograr una

finalidad diferente (p. ej., realizar un seguimiento de los hábitos de una persona). Sin embargo,

la videovigilancia no se considera siempre como un tratamiento de categorías especiales de

datos personales?.

La categoría denominada ?de naturaleza especialmente sensible? no existe. Un

sistema de videovigilancia ?ordinario? no permite la pronta identificación de los

interesados, básicamente porque no se cuenta con ningún otro dato que pueda

permitir dicha identificación, ni utiliza los datos para otras finalidades diferentes a

preservar la seguridad de las personas, bienes e instalaciones.

Por otra parte, en relación con las agravantes consideradas, manifiesta que los

tratamientos de datos que realiza son los mínimos imprescindibles para desarrollar su

actividad principal, que es la venta de productos de alimentación, no siendo posible

discriminar la captación de imágenes de clientes. En cuanto a la profesionalidad en

relación con el tratamiento de los datos, advierte de nuevo que hasta la fecha no ha

sido sancionada por una falta de atención de los derechos de los interesados, ni se ha

planteado ninguna reclamación interna.

b) Sobre las agravantes consideradas para determinar la sanción por el

incumplimiento de lo establecido en el artículo 6 del RGPD, MERCADONA reitera lo

expresado en relación con la infracción anterior y añade, en relación con la gravedad

de la infracción y la intencionalidad o negligencia, que no puede vincularse la denuncia

de la reclamante al establecimiento a efectos de reclamar daños por responsabilidad

civil con una obligación legal de conservar las imágenes que además el art 22.3 no

establece. No es obligación de MERCADONA guardar las imágenes de cada suceso

ocurrido, sin que haya solicitado la persona las imágenes, sólo para la eventualidad de

que pudiera solicitarlas. No se puede afirmar que ?MERCADONA suprimió las

imágenes a pesar de conocer que la reclamante denunció ante dicha entidad el

accidente y los daños sufridos, y solicitó, con tal motivo, el acceso a dichas imágenes?

porque la entidad no era consciente de la solicitud de acceso realizada.

Por otra parte, invoca el principio de proporcionalidad y solicita, subsidiariamente, que

se imponga una sanción de advertencia o apercibimiento, o, en todo caso, que se

reconsidere el importe propuesto, al no resultar proporcionado; señalando finalmente

que se está castigando una misma conducta y hechos (no atender un ejercicio de

derecho) a través de dos sanciones distintas, que redundan en un importe total

desproporcionado si atendemos a que el error ha supuesto una ?anomalía en el

funcionamiento de dichos procedimientos? que ha afectado a una única persona.

7. MERCADONA considera que la reducción por reconocimiento de la responsabilidad

prevista en el artículo 85 de la Ley 39/2015, que la Agencia limita al plazo concedido

para formular alegaciones a la apertura del procedimiento, puede aplicarse en

cualquier momento anterior a la resolución.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

21/61

Según MERCADONA, debe considerarse que el citado artículo regula la terminación

del procedimiento de forma voluntaria y unilateral por el administrado en ?bloque?,

determinando las opciones, condiciones y sus consecuencias; y dicho precepto admite

que la segunda forma de terminación voluntaria del procedimiento, el pago voluntario,

se pueda realizar en ?cualquier momento antes de la resolución?.

Entiende que la propuesta de resolución es el momento ?natural? para la asunción de

responsabilidad por el administrado sin vulneración ni afectación alguna a su derecho

de defensa, contradicción y tutela judicial efectiva. Es dicha propuesta la que

determina los hechos probados, su encuadramiento en el tipo infractor y la sanción,

después de que el interesado haga valer sus alegaciones y pruebas, sin sujeción al

acuerdo de inicio.

Tal conclusión viene apoyada por la reciente STS 232/2021, de 18 de febrero, (recurso

de casación 2201/2020) que aborda la posibilidad de impugnar ante los Tribunales

sanciones recaídas en expedientes administrativos en los que el administrado ha

reconocido su responsabilidad y, a los efectos de acogerse a las reducciones que

señala el art. 85 LPAC, desiste o renuncia al ejercicio de cualquier acción o recurso en

vía administrativa contra la sanción.

En el Fundamento Jurídico Tercero establece:

?Ahora bien, una cosa es que en tales casos subsista la posibilidad de impugnar por vía

jurisdiccional contencioso-administrativa la resolución sancionadora, y otra distinta que? se

incremente la dificultad para impugnar con éxito en la vía judicial contencioso-administrativa la

resolución sancionadora, porque esta será la consecuencia natural de haber reconocido su

responsabilidad en aplicación de los principios de buena fe y vinculación a los propios actos

(?) para que dicha impugnación pueda tener éxito tendrá que proporcionar al juzgador una

sólida explicación que justifique cumplidamente el motivo por el que, habiendo asumido

primeramente su responsabilidad por la infracción cometida -que conlleva el reconocimiento de

la concurrencia de los elementos objetivos y subjetivos de la infracción, es decir, su

participación en los hechos tipificados y de su culpabilidad- después en vía judicial sostiene la

inexistencia de la infracción (?)?.

De dicho pronunciamiento se desprende, a juicio de MERCADONA, que el

reconocimiento de responsabilidad no implica que la tipificación de los hechos sea la

correcta; que lo sea en consideración de las circunstancias modificativas de la

responsabilidad reconocida, el exacto alcance de la participación, si culposa, dolosa o

a título de mera inobservancia leve, la gravedad de los hechos y su concreta

graduación, que podrá dirimirse ante la jurisdicción contencioso-administrativa sin

incremento de la dificultad para impugnarlos.

Sostener que la responsabilidad solo puede reconocerse durante el plazo para

formular alegaciones implicaría, de facto, que los administrados la asuman para

beneficiarse del descuento, aunque estén conformes con el acuerdo de inicio solo

parcialmente, trasladando a la vía judicial la contienda sobre los aspectos en cuestión.

Por el contrario, admitir ese reconocimiento en cualquier momento anterior a la

resolución, cuando ya ha finalizado la instrucción y se han fijado los elementos

tomados en consideración, elimina la litigiosidad sin menoscabo de la tutela judicial

efectiva y el derecho de defensa.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

22/61

Además, entiende la reclamada que no existe fundamento jurídico alguno que permita

afirmar que el plazo es el de alegaciones al acuerdo de inicio, porque nada dice el

texto legal y porque existen diferentes ?hitos? anteriores a la resolución, a saber,

alegaciones al acuerdo de inicio, trámite de audiencia, y propuesta de resolución,

pudiendo ser cualquiera de ellos.

Dicha interpretación viene avalada por las propias administraciones públicas en

diferentes procedimientos sancionadores, como la Agencia Catalana de Protección de

Datos (procedimiento PS8/2019). Cita también el informe SSPI00043/17, del Gabinete

Jurídico de la Junta de Andalucía, en relación con el Informe HPPI00035/17, de 5 de

julio de 2017, de la Asesoría Jurídica de la Consejería de Hacienda y Administración

Pública que admite dicha posibilidad:

?(?) esta interpretación permite considerar que en ese caso no estaremos tampoco en un vicio

invalidante pues ningún perjuicio existe para la Administración, que debe seguir instruyendo el

procedimiento sin poder tener la posibilidad de que el mismo termine anticipadamente.

Igualmente será siempre más beneficioso para el administrado poder acogerse a esta

posibilidad, que no tener opción para ello. Además porque, como hemos comentado, parece

que la redacción al menos deja dudas cuando establece en el art. 85.2 que podrá hacerse ?en

cualquier momento anterior a la resolución?. Por todo ello, realmente parece que el tenor del

art. 85 lo que exige es que en el Acuerdo de inicio se determine el porcentaje de reducción,

más que la cuantía, por ello el Acuerdo de inicio debe siempre establecer el porcentaje y en los

supuestos en los que se pudiere, la cuantía, dado que esto último no siempre será posible?.

También por los Tribunales. La Sentencia del Tribunal Superior de Justicia de Madrid,

Sala de lo Contencioso-administrativo, núm. 79/2020, de 6 de febrero, en la que se

denuncia la inaplicación del art. 85.1 LPACAP, declara:

?Finalmente debe recordarse que el art. 85 de la Ley 39/2015, dispone que ?iniciado un

procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el

procedimiento con la imposición de la sanción que proceda?. Estableciendo, su apartado 3 que,

?cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver

el procedimiento aplicará reducciones de, al menos, el 20% sobre el importe de la sanción

propuesta?.

La parte actora considera que, pese a haber reconocido en el escrito de alegaciones formulado

con la propuesta de resolución la responsabilidad del mismo en la falta de declaración del

dinero intervenido, y haber propuesto incluso una sanción de 100.000? la resolución

sancionadora obvia tal circunstancia e impone al mismo una multa totalmente

desproporcionada.

Frente a esta alegación, la Abogacía del Estado defiende que no concurren las circunstancias

necesarias para que proceda su aplicación por cuanto en el escrito de alegaciones de 13 de

noviembre de 2017 no se hace referencia expresa al reconocimiento de la responsabilidad, que

debe ser previa a la resolución del expediente una vez recibida la propuesta (?)?.

Especialmente esclarecedora es la Sentencia de la Audiencia Nacional núm.

625/2017, de fecha 22/03/2019, que establece;

?La resolución sancionadora de 21 de diciembre de 2018 no tuvo en cuenta que mediante

sendos escritos de 4 de diciembre ?(alegaciones al acuerdo de inicio del expediente

sancionador)- y 11 de diciembre del 2018 ? (alegaciones a la Propuesta de Resolución)- el

demandante reconoció la responsabilidad de los hechos, pidió el pago con cargo a la cantidad

incautada, y renunció por dos veces a la interposición de recurso en vía administrativa. Estos

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

23/61

escritos evidencias una clara voluntad de poner fin al procedimiento, en los términos del art.

85.1 de la Ley 39/2015, y de renunciar al recurso administrativo, procediendo al pago, con

cargo a la garantía. De ahí, que cumplidas todas las condiciones exigidas en el párrafo

segundo y en el tercero del artículo 85, era procedente acumular dos reducciones del 20%?.

Añade MERCADONA que otras normativas reguladoras de procedimientos

administrativos sancionadores establecen la posibilidad de reconocer la

responsabilidad en cualquier momento anterior a la resolución, y cita las siguientes:

. Ley 16/1987, de 30 de Julio, de Ordenación del Transporte Terrestre (LOTT), que en

su artículo 146.3 establece:

?El pago de la sanción pecuniaria con anterioridad a que se dicte resolución sancionadora

implicará la conformidad con los hechos denunciados y la renuncia a formular alegaciones por

parte del interesado y la terminación del procedimiento debiendo, no obstante, dictarse

resolución expresa?.

. Ley 13/2017, de 8 de noviembre, del Taxi de la Comunidad Valenciana, que en su

artículo 38.4 establece;

?Iniciado el procedimiento sancionador, si la persona infractora reconoce su responsabilidad

con anterioridad a que se dicte resolución, la cuantía de la sanción pecuniaria inicialmente

propuesta se reducirá en un cincuenta por ciento?.

. Ley 7/2014, de 23 de Julio, de Protección de las personas consumidoras y usuarias

de les Illes Balears, que en su artículo 84 gradúa el porcentaje de descuento en

función del momento procedimental en que se produzca el reconocimiento de

responsabilidad. Y así:

?1. Se aplicará una reducción del cincuenta por ciento del importe de la sanción

correspondiente a las infracciones graves o leves si el presunto responsable presta su

conformidad al contenido de la resolución de inicio y justifica el ingreso del citado importe

durante los quince días siguientes a su notificación. En este caso, se entiende que la persona

interesada renuncia a formular alegaciones y presentar cualquier tipo de ulterior recurso.

2. Se aplicará una reducción del veinte por ciento del importe de la sanción correspondiente a

las infracciones graves o leves si el presunto responsable presta su conformidad con el

contenido de la Propuesta de resolución y justifica el ingreso del citado importe durante los

quince días siguientes a su notificación. En este caso se entiende que la persona interesada

renuncia a formular alegaciones y a presentar cualquier tipo de ulterior recurso?.

. Ordenanza municipal de Consumo del Ayuntamiento de Madrid, ANM 2011/17, que

en su artículo 59.1 establece:

?1. Iniciado un expediente sancionador, si el infractor reconoce explícitamente su

responsabilidad antes de la resolución, el expediente podrá resolverse sin más trámites con la

imposición de la sanción que proceda. En este caso, se aplicará una reducción del 30 por 100

sobre la cuantía total de la multa, que deberá abonar el interesado en el periodo voluntario de

pago?.

Finalmente, la interpretación del art. 85 LPACAP expuesta, la encontramos en el

artículo 3 del reciente Real Decreto 137/2021, de 2 de marzo de 2021, que la eleva a

rango normativo al establecer:

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

24/61

?De conformidad con lo previsto en el art. 85.3 de la Ley 39/2015, de 1 de octubre, en los

procedimientos sancionadores contemplados en el art. 2 si, iniciado un procedimiento

sancionador, en cualquier momento anterior a la resolución el presunto responsable reconoce

su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que

proceda, y cuando la sanción tenga únicamente carácter pecuniario, el órgano competente

para resolver y notificar la resolución del procedimiento aplicará reducciones de hasta un 30%

sobre el importe de la sanción propuesta?.

Por tanto, en caso de mantener la AEPD sanción o sanciones económicas, si se

procede al pago voluntario y al reconocimiento de responsabilidad en cualquier

momento antes de la resolución que implique la terminación del procedimiento

sancionador, deberá realizarse el descuento del 40%.

De las actuaciones practicadas en el presente procedimiento y de la documentación

obrante en el expediente, han quedado acreditados los siguientes:

HECHOS PROBADOS

1. La entidad MERCADONA ha manifestado que informa sobre el procedimiento que

sigue para que los interesados ejerciten los derechos en materia de protección de

datos personales a través de distintas vías, como son, los carteles expuestos en las

tiendas advirtiendo que se encuentran en una ?Zona Videovigilada? (se indica a

dirección de contacto del DPD de la entidad); mediante llamada gratuita al Servicio de

Atención al Cliente, que remite un SMS informado sobre ese procedimiento; y desde la

Política de Privacidad disponible en la web, en la que se incluye un vínculo que dirige

al formulario habilitado para dicho ejercicio de derechos. Según la información

facilitada, la Política de Privacidad informa lo siguiente:

?Puede enviarnos un escrito a MERCADONA, S.A. (Asesoría Jurídica Procesos) C/?

o si dispone de firma digital expedida por la Fábrica Nacional de Moneda y Timbre, a

través del formulario de atención al cliente (?https://infor.mercadona.es/es/atencion-alcliente

#destacadosFormulario?)?.

Una vez cumplimentado y enviado el formulario, aparece de forma automática el texto

?Gracias, tu comentario se ha enviado correctamente?.

MERCADONA informa, asimismo, que el interesado, a su vez, recibe un email a la

dirección de correo facilitada, indicando: ?MERCADONA. Tu opinión nos ayuda a

seguir mejorando. Estimad@... (nombre del destinatario). Gracias por contactar con

nosotros en nuestro Servicio de Atención al Cliente. Informarte que hemos recibido tu

correo. Te invitamos a que consultes nuestras preguntas frecuentes por si tienes más

dudas?).

Según la información proporcionada por MERCADONA, el proceso de tramitación de

la solicitud sigue las fases siguientes:

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

25/61

?i. El formulario se registra en el sistema de gestión (Contac Center). Sistema gestionado por

los gerentes de tramitación.

ii. Recibido el formulario, el sistema asigna la solicitud al gerente, en función de determinados

criterios (tipología, carga de trabajo, productividad?del gerente).

iii. Una vez asignada la solicitud (formulario), ésta se envía a la carpeta del gerente asignado, a

la que accede a través de usuario y contraseña, incluyendo toda la información y los

documentos enviados por el Cliente, para su tramitación.

Añade que ?existen controles periódicos realizados por los coordinadores, con la

finalidad de evitar incidencias? y que ?el sistema (Contact Center) deja las trazas y las

evidencias de todos los movimientos que pasan por el sistema, no permitiendo el

borrado accidental, ni voluntario de las entradas al sistema?.

2. Con fecha ***FECHA.1, la reclamante sufrió un accidente en el establecimiento de

la entidad sito en ***DIRECCION.1.

3. Con fecha ***FECHA.3, a través de la web de MERCADONA, la reclamante formuló

denuncia ante la citada entidad por el accidente acaecido, recibiendo una referencia

por el caso. Esta denuncia se formula mediante correo electrónico dirigido a la

dirección ?conducta@mercadona.es?, con el asunto ?Denuncia D201??. En este

correo constan los datos de la reclamante relativos a nombre, apellidos, dirección de

correo electrónico y teléfono. El comentario incluido da cuenta del accidente sufrido

(?), los daños causados por el mismo en la persona de la reclamante (?.) y la falta

de atención del siniestro por la aseguradora de la reclamada (?.).

4. Con fecha ***FECHA.5, la entidad reclamada responde a la denuncia reseñada en

el Hecho Probado anterior por la misma vía, indicando que la denuncia ha sido

remitida al Servicio de Atención al Cliente de MERCADONA, al que deberá dirigir las

futuras comunicaciones (se indica un teléfono de contacto con este departamento y un

enlace a la web de la entidad).

5. Con fecha ***FECHA.2, la reclamante ejercitó el derecho de acceso a las imágenes

de las cámaras de seguridad, utilizando para ello el formulario de solicitud disponible

en la web de la MERCADONA, en la pestaña ?Atención al Cliente?, citado en el Hecho

Probado Primero. En esta solicitud consta el nombre y apellidos de la reclamante,

código postal y dirección de correo electrónico de la reclamante, y el siguiente texto en

el campo denominado ?¿En qué podemos ayudarte?? (url: ?https://infor.mercadona.es/

es/atencion-al-cliente#destacadosFormulario?):

?Adjunto solicitud de derecho de acceso a las grabaciones de videovigilancia del

establecimiento MERCADONA ***DIRECCION.1, por motivo del accidente acontecido

(?)?.

Como ?Archivos adjuntos? se indica ?DNI? de la reclamante y ?Solicitud de derecho de

acceso? (en este escrito se indica que la solicitud está motivada por el accidente

acontecido el día ***FECHA.1).

6. En respuesta a la solicitud del derecho de acceso presentada por la reclamante,

ésta recibió un mensaje de respuesta, también de fecha ***FECHA.2, con el texto

siguiente:

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

26/61

?¡Gracias!, tu comentario se ha enviado correctamente?.

7. Con fecha ***FECHA.7, la representante de la reclamante remitió un correo

electrónico a MERCADONA con el texto siguiente:

?Me dirijo a usted para establecer una primera comunicación, con el fin de poner en su

conocimiento la documentación de la que dispongo por el momento, en relación al siniestro?

del que resultó lesionada mi representada? También con el fin de poner en su conocimiento

nuestra voluntad de solicitar la indemnización que según el baremo corresponda?.

8. Con fecha ***FECHA.4, la representante de la reclamante remitió un correo

electrónico dirigido al DPD de MERCADONA, con el texto siguiente:

?Hace más de un mes, mi clienta ejercitó su derecho de acceso a las imágenes de

videovigilancia, por el canal establecido en su política de privacidad (a través del

formulario de atención al cliente: https://info.mercadona.es/es/atencion-alcliente

#destacadosFormulario), y aún no ha recibido respuesta.

Ruego que le manden dichas imágenes ya que corresponden a (?)?.

9. Con fecha ***FECHA.9, MERCADONA remitió un correo electrónico a la reclamante

con el asunto ?Derecho de acceso? y el texto siguiente:

?Tras contrastar internamente, informarle que no nos consta que se haya recibido ninguna

petición de acceso a imágenes, ni de la documentación que según la normativa de protección

de datos es necesaria para gestionar cualquier derecho de acceso, ni por parte de su cliente (la

Sra?) ni por su parte.

Debemos de añadir ya no se dispone de ninguna de las imágenes de la fecha solicitada

(***FECHA.1), todo ello de conformidad con el art. 6 de la Instrucción 1/2006, de 8 de

noviembre, de la AEPD, que establece que "Los datos serán cancelados en el plazo máximo

de un mes desde su captación".

Atentamente.

Div. Jurídico Procesos MERCADONA?.

10. Con fecha 09/02/2021, MERCADONA remitió a la reclamante un burofax en los

mismos términos del correo reseñado en el Hecho Probado Noveno.

FUNDAMENTOS DE DERECHO

I

En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de

control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora

de la Agencia Española de Protección de Datos es competente para iniciar y para

resolver este procedimiento.

El artículo 63.2 de la LOPDGDD determina que: ?Los procedimientos tramitados por la

Agencia Española de Protección de Datos se regirán por lo dispuesto en el RGPD, en

la presente ley orgánica, por las disposiciones reglamentarias dictadas en su

desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas

generales sobre los procedimientos administrativos?.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

27/61

II

Durante la instrucción del procedimiento, la reclamante ha comunicado a esta Agencia

que ha llegado a un acuerdo con la entidad reclamada por el que han quedado

resarcidos los daños y perjuicios sufridos en el ámbito de la responsabilidad civil y por

la no atención del derecho de acceso, solicitando que se considere atendida su

reclamación y se proceda al archivo del presente procedimiento sancionador.

A este respecto, el artículo 63.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento

Administrativo Común de las Administraciones Públicas (LPACAP) establece que ?los

procedimientos de naturaleza sancionadora se iniciarán siempre de oficio por acuerdo

del órgano competente?. En el mismo sentido, el artículo 64.2 de la LOPDGDD

dispone que los procedimientos que tengan por objeto la determinación de la posible

existencia de una infracción de lo dispuesto en el RGPD ?se iniciará mediante acuerdo

de inicio adoptado por propia iniciativa o como consecuencia de reclamación?.

Así, que la reclamante desista de su reclamación no implica el archivo del

procedimiento sancionador incoado, toda vez que el mismo se inicia y se tramita en

todas sus fases de oficio, siendo competencia de esta Agencia determinar si ha sido

vulnerada la normativa de protección de datos personales y el alcance que debe

otorgarse a dicho incumplimiento.

Resulta irrelevante, a tales efectos, el acuerdo que hayan podido suscribir la

reclamante y la entidad reclamada para reparar los daños y perjuicios sufridos por

aquella, así como las medidas disciplinarias internas que la reclamada dice haber

adoptado.

De acuerdo con lo expuesto, no puede aceptarse la postura defendida por

MERCADONA en sus alegaciones cuando señala que con el citado acuerdo entre las

partes se han restaurado las garantías y derechos de la interesada. La ?reparación? de

los daños y perjuicios sufridos a la que se refiere MERCADONA no puede exonerarla

de la responsabilidad derivada de los incumplimientos de la normativa que se hayan

producido, cuya aplicación, obviamente, no queda condicionada por los pactos que

puedan producirse entre particulares. Sólo cuando el responsable del tratamiento

demuestre que ?no es en modo alguno responsable del hecho que haya causado los

daños y perjuicio? estará exento de responsabilidad, conforme a lo establecido en el

artículo 82.3 del RGPD.

Ese resarcimiento puede compensar los daños y perjuicios sufridos por la reclamante,

pero no restaura sus garantías y derechos en un caso que tiene origen en el ejercicio

del derecho de acceso, el cual no puede ser atendido al haberse suprimido los datos

personales a los que se refería la solicitud.

Por otra parte, cuando de los hechos constatados se deriva alguna responsabilidad

imputable, tampoco el hecho de que la entidad de que se trate no haya sido

sancionada con anterioridad por infracciones de idéntica naturaleza, o la adopción de

medidas dirigidas a evitar incumplimientos futuros, puede servir de argumento para la

no apertura del procedimiento sancionador que valore aquellas responsabilidades y

determine las consecuencias aplicables, es decir, los poderes correctivos que procede

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

28/61

aplicar en cada caso.

Lo mismo puede decirse cuando la supuesta infracción afecte únicamente a un

interesado. La realización de actuaciones sancionadoras no está reservada a

supuestos, como el citado por MERCADONA en sus alegaciones, en los que la

conducta de la entidad responsable se configure como una actuación general que

afecte a una pluralidad de sujetos que se encuentren en una misma situación.

III

Considera la entidad MERCADONA que el acuerdo de inicio no ha motivado

suficientemente la apertura del procedimiento ni concretado los aspectos que justifican

dicha apertura, limitando su derecho de defensa.

Por las mismas razones, considera vulnerado el principio de tipicidad. A este respecto,

alega MERCADONA que el acuerdo de apertura del procedimiento no concreta la

conducta infractora, no especifica qué párrafos y letras de los artículos 6 y 22 se

entienden vulnerados, ni explica por qué el hecho de haber borrado unas imágenes en

el cumplimiento del plazo legalmente establecido y no haber dado respuesta a un

derecho de acceso debido a un error humano supone un incumplimiento de las

condiciones de licitud. En sus últimas alegaciones manifiesta que las infracciones y los

razonamientos jurídicos no se han concretado hasta la propuesta de resolución.

Esta Agencia no comparte la posición expresada por la reclamada en relación con el

contenido del acuerdo de apertura del presente procedimiento sancionador.

A juicio de esta Agencia, el acuerdo de inicio dictado se ajusta a lo previsto en el

artículo 68.1 de la LOPDGDD, en el que se establece el contenido mínimo exigible, los

elementos que deben detallarse en el mencionado acuerdo para determinar su validez.

Según este artículo bastará con que el acuerdo de inicio del procedimiento concrete

los hechos que motivan la apertura, identifique la persona o entidad contra la que se

dirige el procedimiento, la infracción que hubiera podido cometer y su posible sanción

(en este caso, de los distintos poderes correctivos que contempla el artículo 58.2 del

RGPD, la Agencia estimó procedente la imposición de multa, además de la adopción

de medidas para ajustar su actuación a la normativa, sin perjuicio de lo que pudiera

resultar de la instrucción del procedimiento).

En el mismo sentido se expresa el artículo 64.2 de la LPACAP, que establece

expresamente el contenido mínimo de acuerdo de iniciación. Según este precepto,

entre otros detalles, deberá contener ?los hechos que motivan la incoación del

procedimiento, su posible calificación jurídica y las sanciones que pudieran

corresponder, sin perjuicio de lo que resulte de la instrucción?.

En este caso, no solo se cumplen sobradamente las exigencias mencionadas, sino

que se va más allá ofreciendo razonamientos que justifican la posible calificación

jurídica de los hechos valorada al inicio e, incluso, se mencionan las circunstancias

que pueden influir en la determinación de la sanción, lo que sin duda redunda en

beneficio del interesado, que ve reforzado y favorecido su derecho de defensa.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

29/61

En relación con la solicitud de derecho de acceso formulada por la reclamante, se

reseñaron las normas que regulan los aspectos formales relativos al ejercicio de

derechos y se destacó que el plazo previsto para atender aquella solicitud transcurrió

sin que la reclamante obtuviera la respuesta debida por parte de MERCADONA,

concluyendo que tales hechos podrían suponer la comisión de una infracción tipificada

en el artículo 83.5.b) del RGPD y artículo 74.c) de la LOPDGDD, por la vulneración de

lo dispuesto en el artículo 12, apartados 2 y 3, del RGPD, en relación con el artículo 15

del mencionado Reglamento, sin perjuicio de lo que resulte de la instrucción.

Por otra parte, el acuerdo de apertura del procedimiento, después de reproducir el

artículo 6 del RGPD, referido a la ?licitud del tratamiento?, destaca que la eliminación o

?supresión? de las imágenes a las que se refiere el derecho de acceso ejercitado por la

reclamante constituye un tratamiento de datos personales.

Sobre la eliminación de las imágenes captadas por sistemas de videovigilancia, se

reproducen seguidamente los apartados 1 a 3 del artículo 22 de la LOPDGDD.

Se pusieron de manifiesto las circunstancias y los propósitos que determinaron la

actuación de la reclamante y se destacó que, a pesar de ello, MERCADONA procedió

al borrado de las imágenes solicitadas por la misma, para concluir que estos hechos

podrían suponer un incumplimiento de lo dispuesto en el artículo 6 del RGPD, en

relación con el artículo 22 de la LOPDGDD, constitutivo de una infracción tipificada en

el artículo 83.5.a) del RGPD y 72.1.b) de la LOPDGDD (?El tratamiento de datos

personales sin que concurra alguna de las condiciones de licitud del tratamiento

establecidas en el artículo 6 del Reglamento (UE) 2016/679?).

En definitiva, entiende esta Agencia que el acuerdo de apertura ha permitido a

MERCADONA conocer los hechos que dieron lugar al inicio del procedimiento y su

posible calificación jurídica. Prueba de ello son las alegaciones planteadas por dicha

entidad, que guardan relación directa con lo expuesto.

No cabe, por tanto, estimar la indefensión alegada. La indefensión con trascendencia

jurídica se produce solo cuando el interesado se ve, de forma injustificada,

imposibilitado para impetrar la protección de sus derechos e intereses legítimos o

cuando la vulneración de las normas procesales o procedimentales lleva consigo la

privación del derecho a la defensa, con el consiguiente perjuicio real y efectivo para los

intereses del afectado al quedar privado de su derecho a alegar, probar y, en su caso,

para replicar las argumentaciones contrarias (STC 31/1984, de 7 de marzo, STC

48/1984, de 4 de abril, STC 70/1984, de 11 de junio, STC 48/1986, de 23 de abril, STC

155/1988, de 22 de julio, y STC 58/1989, de 16 de marzo, entre otras muchas).

Resulta conveniente traer a colación la STC 78/1999, de 26 de abril, que en su

Fundamento Jurídico 2, dice:

?Para que pueda estimarse una indefensión con relevancia constitucional, que sitúa al

interesado al margen de toda posibilidad de alegar y defender en el proceso sus derechos, no

basta con una vulneración meramente formal, siendo necesario que de esa infracción formal se

derive un efecto material de indefensión, un efectivo y real menoscabo del derecho de defensa

(STC 149/1998, fundamento jurídico 3º), con el consiguiente perjuicio real y efectivo para los

interesados afectados (SSTC 155/1988, fundamento jurídico 4º, y 112/1989, fundamento

jurídico 2º)".

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

30/61

En todo caso, como bien señala MERCADONA en sus alegaciones, es la propuesta de

resolución que se dicte una vez instruido el procedimiento la que fija los hechos que se

consideren probados y su exacta calificación jurídica, determina la infracción que, en

su caso, aquéllos constituyan, la persona o personas responsables y la sanción que se

proponga. Esta propuesta debe ser notificada a la parte interesada, concediéndosele

plazo para formular alegaciones y presentar los documentos e informaciones que se

estimen pertinentes. En ningún caso se adoptará resolución sin que el interesado

tenga ocasión de manifestarse sobre todos los extremos considerados.

Por tanto, los escritos de alegaciones presentados por MERCADONA no contienen

ningún argumento que modifique ese planteamiento y la conclusión expuesta.

MERCADONA, en este caso, ha visto respetadas todas las garantías del interesado

que prevé la normativa procesal

IV

De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de

Protección de Datos es competente para desempeñar las funciones que se le asignan

en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la

sensibilización de los responsables y los encargados del tratamiento acerca de las

obligaciones que les incumben, así como tratar las reclamaciones presentadas por un

interesado e investigar el motivo de las mismas.

Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables

y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en

el desempeño de sus funciones. Para el caso de que éstos hayan designado un

delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de

cooperar con dicha autoridad.

Del mismo modo, el ordenamiento jurídico interno, en el artículo 65.4 la LOPDGDD, ha

previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se

formulen ante la Agencia Española de Protección de Datos, que consiste en dar

traslado de las mismas a los delegados de protección de datos designados por los

responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de

la citada norma, o a éstos cuando no los hubieren designado, para que procedan al

análisis de dichas reclamaciones y a darles respuesta en el plazo de un mes.

De conformidad con esta normativa, con carácter previo a la admisión a trámite de la

reclamación que da lugar al presente procedimiento, se dio traslado de la misma a la

entidad responsable para que procediese a su análisis, diera respuesta a esta Agencia

en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida,

en el supuesto de ejercicio de los derechos regulados en los artículos 15 a 22 del

RGPD.

El resultado de dicho traslado no fue satisfactorio. En consecuencia, con fecha

16/04/2021, a los efectos previstos en su artículo 64.2 de la LOPDGDD, la Agencia

Española de Protección de Datos acordó admitir a trámite la reclamación que da lugar

al presente procedimiento.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

31/61

Tratándose de una reclamación por falta de atención de una solicitud de ejercicio de

los derechos establecidos en los artículos 15 a 22 del RGPD, con carácter general, se

sigue el procedimiento regulado en el artículo 64.1 de la LOPDGDD, según el cual:

?1. Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de

ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679,

se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el

artículo siguiente.

En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la

fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite.

Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación.?

En sentido contrario, cuando el procedimiento no se refiera exclusivamente a la

atención de una solicitud de ejercicio de los derechos, procede la depuración de

responsabilidades administrativas en el marco de un procedimiento sancionador,

siendo competencia exclusiva de esta Agencia valorar si existen responsabilidades

administrativas que deban ser depuradas en un procedimiento de esta naturaleza y, en

consecuencia, la decisión sobre su apertura. Esta depuración de responsabilidades,

en contra de lo señalado por MERCADONA en sus alegaciones, no puede acordarse

en un procedimiento por falta de atención de los derechos.

Este régimen específico respecto de los procedimientos ante las autoridades de

control en materia de protección de datos también se contempla en el RGPD. El

Capítulo VIII del RGPD lleva por título ?Recursos, responsabilidad y sanciones?, y el

primero de los artículos de dicho Capítulo VIII, el artículo 77.1, establece el derecho a

presentar una reclamación ante una autoridad de control:

?Sin perjuicio de cualquier otro recurso administrativo o acción judicial, todo interesado tendrá

derecho a presentar una reclamación ante una autoridad de control, en particular en el Estado

miembro en el que tenga su residencia habitual, lugar de trabajo o lugar de la supuesta

infracción, si considera que el tratamiento de datos personales que le conciernen infringe el

presente Reglamento?.

A su vez, el artículo 79 del mismo Reglamento establece que ?[s]in perjuicio de los

recursos administrativos o extrajudiciales disponibles, incluido el derecho a presentar

una reclamación ante una autoridad de control en virtud del artículo 77, todo

interesado tendrá derecho a la tutela judicial efectiva cuando considere que sus

derechos en virtud del presente Reglamento han sido vulnerados como consecuencia

de un tratamiento de sus datos personales?.

Por lo tanto, una ?reclamación? de un particular puede dar lugar a dos tipos de

procedimientos, uno de ellos relativo a infracciones del RGPD, con carácter general, y

otro por vulneración de sus derechos.

Dicha distinción también se ha plasmado en el Título VIII de la LOPDGDD, que regula

conjuntamente los ?procedimientos en caso de posible vulneración de la normativa de

protección de datos?. Así, su artículo 63.1, ?Régimen jurídico?, incluye (a) los

procedimientos en caso de infracción del RGPD y la propia LOPDGDD y (b) los

derivados de una posible vulneración de los derechos de los interesados. No prevé la

LOPDGDD ningún tipo adicional de procedimiento en caso de posible vulneración de

la normativa de protección de datos, de manera que todas las funciones y poderes que

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

32/61

el RGPD otorga a las autoridades de control en los arts. 57 y 58 RGPD habrán de

ejercitarse a través de dichos procedimientos en caso de posible vulneración de la

normativa de protección de datos. No existen otros.

De ello se desprende, teniendo en cuenta igualmente el art. 64 LOPDGDD, que

cuando el procedimiento se dirija exclusivamente a la falta de atención de una solicitud

de los derechos los artículos 15 a 22 RGPD será necesaria una reclamación, pero que

(art. 64.2 LOPDGDD) ?[c]uando el procedimiento tenga por objeto la determinación de

la posible existencia de una infracción de lo dispuesto en el Reglamento (UE)

2016/679 y en la presente ley orgánica, se iniciará mediante acuerdo de inicio

adoptado por propia iniciativa o como consecuencia de reclamación?. Es decir, tanto el

RGPD como la LOPDGDD consideran que una reclamación de un afectado puede ser

la vía o el medio de llevar a conocimiento de la autoridad de control una posible

infracción de la normativa de protección de datos, pero en ningún caso restringe la

actuación de la autoridad de control a la específica y concreta queja de los afectados.

Lo contrario sería inconsistente con la finalidad y la voluntad del legislador comunitario,

plasmada expresamente en el RGPD, de que las autoridades de control controlen y

hagan aplicar el RGPD, y con lo previsto en el RGPD de que puedan ponerse de

manifiesto ?infracciones? de la normativa de protección de datos a través de

?reclamaciones? que pueden trascender de las propias reclamaciones individuales

formuladas.

En relación con esta cuestión MERCADONA ha alegado que en un caso referido

exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos

debe seguirse por imperativo legal el procedimiento regulado en el artículo 64.1 de la

LOPDGDD, no procediendo la apertura de un procedimiento sancionador, cuyo

carácter excepcional ha sido puesto de manifiesto por la AEPD en diversas

actuaciones que cita, indicando que ?siempre que sea posible, deberá optarse por la

prevalencia de mecanismos alternativos en el caso de que tengan amparo en la

normativa vigente...? y que deben existir elementos que justifiquen el inicio del

procedimiento sancionador.

En este caso, a juicio de esta Agencia, tal y como se indicó en el acuerdo de apertura,

existen elementos que justifican el inicio de la actividad sancionadora, considerando

que con el procedimiento previsto en el artículo 64.1 de la LOPDGDD citado no

quedarían debidamente restauradas las garantías y derechos de los interesados. En

este caso, el derecho ejercitado tenía el propósito de acceder a unas imágenes que la

entidad responsable eliminó antes de que se formulara la reclamación, por lo que

carecía de objeto la tramitación de un procedimiento por falta de atención de un

ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, cuyo fin último

es resolver si procede o no atender el derecho ejercitado, en este caso, la entrega o

no a la reclamante de unas imágenes que ya no existían.

Además, considerando las circunstancias puestas de manifiesto, resulta que la

actuación de MERCADONA va más allá de la no atención en plazo de la solicitud de

acceso de la reclamada, y se estimó oportuno analizar en el presente procedimiento el

alcance, desde el punto de vista de la protección de datos personales, que debe

otorgarse al tratamiento de datos consistente en la supresión de las imágenes

pretendidas por la reclamante, su posible ilicitud y la responsabilidad que este hecho

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

33/61

puede conllevar para la entidad la reclamada. Extremo este que en modo alguno

puede realizarse en el marco del procedimiento regulado en el artículo 64.1 de la

LOPDGDD.

También ha alegado la reclamada que existen precedentes similares en los que la

AEPD ha seguido el procedimiento regulado en el artículo 64.1 de la LOPDGDD y que

el propio CEPD, en sus Directrices 3/2019 se pronuncia en el mismo sentido. Sin

embargo, tanto la declaración del CEPD reseñada por MERCADONA como los

precedentes citados, dos de ellos, se refieren a solicitudes de ejercicio de derechos

formuladas cuando las imágenes ya habían sido suprimidas. En el procedimiento

señalado con el número TD/01272/2017 la solicitud de acceso se formula en fecha

14/04/2017 y requiere imágenes captadas el 14/11/2016 (la reclamación fue

desestimada); y el expediente número TD/00955/2018 analiza una solicitud de

20/03/2018 mediante la que el interesado solicita imágenes captadas el 25/11/2017 (la

reclamación fue estimada por cuanto la solicitud de acceso no fue respondida por el

responsable). El tercer precedente citado, el señalado con el número TD/00830/2017,

se resuelve estimatoriamente por falta de respuesta y, aunque la reclamación hace

referencia al acceso a imágenes captadas por un sistema de videovigilancia, la

solicitud de acceso que motivó la reclamación no especificaba este objeto ni hace

referencia a la fecha en que fueron captadas las supuestas imágenes.

Siendo así, en aquellos precedentes no existía responsabilidad por la supresión de los

datos, siendo desestimado uno de los casos y en dos de ellos únicamente se valoró la

falta de respuesta en plazo, dado lugar a una resolución que estima formalmente la

reclamación y obliga a la entidad reclamada a responder debidamente al reclamante

respectivo informándole en el sentido expresado por el CEPD en aquellas Directrices

(no existen datos).

En cuanto a las actuaciones seguidas con el número E/02434/2020, también citadas

por la reclamada, conviene preciar que el acuerdo de archivo adoptado tuvo en cuenta

que los hechos transmitidos encontraban acomodo en una presunta conducta delictiva,

por la que existía causa judicial sub iudice, y que no se conocían las circunstancias

que dieron lugar a la eliminación de las imágenes.

Finalmente, alega MERCADONA que no se justifica la apertura de un procedimiento

sancionador porque únicamente se ha incumplido el artículo 12 en relación con el

derecho de acceso ejercitado, y argumenta que la supuesta infracción imputada se

tipifica como ?No atender las solicitudes de ejercicio de los derechos establecidos en

los artículos 15 a 22 del Reglamento?. Como bien dice la reclamada, ese

incumplimiento es constitutivo de infracción y da lugar a la depuración de

responsabilidades. Entender que ante ese incumplimiento solo puede actuarse a

través del procedimiento de falta de atención de derechos es tanto como entender que

dicho tipo infractor no se aplica en ningún caso.

Finalmente, interesa poner de relieve que ninguna norma impide que el órgano que

ejerce la potestad sancionadora, cuando determina la apertura de un procedimiento

sancionador, siempre de oficio (art. 63.1 ley 39/2015, de 1 de octubre), determine su

alcance conforme a las circunstancias puestas de manifiesto, aunque las mismas no

se ajusten estrictamente a las manifestaciones y pretensiones del reclamante. Es

decir, el acuerdo de inicio del procedimiento sancionador no está constreñido por la

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

34/61

reclamación presentada por el particular. No ocurre así en el caso de procedimientos

tramitados a solicitud del interesado, en los que el artículo 88.2 de la LPACAP exige

que la resolución sea congruente con las peticiones formuladas por éste. Incluso, en

este caso, queda a salvo la potestad de la Administración de incoar de oficio un nuevo

procedimiento.

Este mismo artículo 88 de la LPACAP, referido al contenido de la resolución, en su

apartado 1 establece la obligación de decidir todas las cuestiones planteadas por los

interesados y aquellas otras que deriven del procedimiento, incluidas cuestiones

conexas no planteadas por los interesados. Este artículo establece expresamente lo

siguiente:

?1. La resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por

los interesados y aquellas otras derivadas del mismo.

Cuando se trate de cuestiones conexas que no hubieran sido planteadas por los interesados, el

órgano competente podrá pronunciarse sobre las mismas, poniéndolo antes de manifiesto a

aquéllos por un plazo no superior a quince días, para que formulen las alegaciones que

estimen pertinentes y aporten, en su caso, los medios de prueba?.

En el procedimiento sancionador, incluso, se tendrán en cuenta los hechos que se

pongan de manifiesto durante su instrucción, los cuales se determinarán en la

propuesta de resolución, y podrán motivar la modificación de las imputaciones

contenidas en el acuerdo de inicio del procedimiento o su calificación jurídica.

En este sentido, al referirse a las especialidades de la resolución en los

procedimientos sancionadores, el artículo 90 de la LPACAP establece:

?2. En la resolución no se podrán aceptar hechos distintos de los determinados en el curso del

procedimiento, con independencia de su diferente valoración jurídica??.

V

Los derechos de las personas en materia de protección de datos personales están

regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se

contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la

limitación del tratamiento y derecho a la portabilidad.

Los aspectos formales relativos al ejercicio de esos derechos se establecen en los

artículos 12 del RGPD y 12 de la LOPDGDD.

El artículo 12 ?Transparencia de la información, comunicación y modalidades de

ejercicio de derechos? del RGPD establece lo siguiente:

?1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado

toda información indicada en los artículos 13 y 14, así como cualquier comunicación con

arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente,

inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información

dirigida específicamente a un niño. La información será facilitada por escrito o por otros

medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la

información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado

por otros medios.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

35/61

2. El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos en virtud

de los artículos 15 a 22. En los casos a que se refiere el artículo 11, apartado 2, el responsable

no se negará a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de

los artículos 15 a 22, salvo que pueda demostrar que no está en condiciones de identificar al

interesado.

3. El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones

sobre la base de una solicitud con arreglo a los artículos 15 a 22, sin dilación indebida y, en

cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá

prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número

de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el

plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación.

Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará

por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite

de otro modo.?

4.Si el responsable del tratamiento no da curso a la solicitud del interesado, le informará sin

dilación, y a más tardar transcurrido un mes de la recepción de la solicitud, de las razones de

su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control

y de ejercitar acciones judiciales.

5.La información facilitada en virtud de los artículos 13 y 14 así como toda comunicación y

cualquier actuación realizada en virtud de los artículos 15 a 22 y 34 serán a título gratuito.

Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a

su carácter repetitivo, el responsable del tratamiento podrá: a) cobrar un canon razonable en

función de los costes administrativos afrontados para facilitar la información o la comunicación

o realizar la actuación solicitada, o b) negarse a actuar respecto de la solicitud. El responsable

del tratamiento soportará la carga de demostrar el carácter manifiestamente infundado o

excesivo de la solicitud.

6.Sin perjuicio de lo dispuesto en el artículo 11, cuando el responsable del tratamiento tenga

dudas razonables en relación con la identidad de la persona física que cursa la solicitud a que

se refieren los artículos 15 a 21, podrá solicitar que se facilite la información adicional

necesaria para confirmar la identidad del interesado.

7.La información que deberá facilitarse a los interesados en virtud de los artículos 13 y 14

podrá transmitirse en combinación con iconos normalizados que permitan proporcionar de

forma fácilmente visible, inteligible y claramente legible una adecuada visión de conjunto del

tratamiento previsto. Los iconos que se presenten en formato electrónico serán legibles

mecánicamente.

8.La Comisión estará facultada para adoptar actos delegados de conformidad con el artículo 92

a fin de especificar la información que se ha de presentar a través de iconos y los

procedimientos para proporcionar iconos normalizados?.

Por su parte, el artículo 12 ?Disposiciones generales sobre ejercicio de los derechos?

de la LOPDGDD, en sus apartados 2 y 4, añade lo siguiente:

?2. El responsable del tratamiento estará obligado a informar al afectado sobre los medios a su

disposición para ejercer los derechos que le corresponden. Los medios deberán ser fácilmente

accesibles para el afectado. El ejercicio del derecho no podrá ser denegado por el solo motivo

de optar el afectado por otro medio?.

?4. La prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus

derechos formulado por el afectado recaerá sobre el responsable?.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

36/61

Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del

RGPD.

De conformidad con lo dispuesto en estas normas, el responsable del tratamiento

debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus

derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3

del RGPD); viene obligado a responder las solicitudes formuladas a más tardar en un

mes, salvo que pueda demostrar que no está en condiciones de identificar al

interesado; así como a expresar sus motivos en caso de que no atendiera la solicitud.

De lo anterior se desprende que la solicitud de ejercicio de derechos formulada por el

interesado debe ser respondida en todo caso, recayendo sobre el responsable la

prueba del cumplimiento de este deber.

Esta obligación de actuar no resulta exigible cuando el responsable del tratamiento

pueda demostrar que no está en condiciones de identificar al interesado (en los casos

a que se refiere el artículo 11.2 del RGPD). En supuestos distintos al previsto en este

artículo, en los que el responsable del tratamiento tenga dudas razonables en relación

con la identidad del solicitante, podrá requerir información adicional necesaria para

confirmar esa identidad.

A este respecto, el Considerando 64 del RGPD se expresa en los términos siguientes:

?(64) El responsable del tratamiento debe utilizar todas las medidas razonables para verificar la

identidad de los interesados que soliciten acceso, en particular en el contexto de los servicios

en línea y los identificadores en línea. El responsable no debe conservar datos personales con

el único propósito de poder responder a posibles solicitudes?.

En lo que se refiere al derecho de acceso, el RGPD estipula en su artículo 15 lo

siguiente:

?1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si

se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a

los datos personales y a la siguiente información:

a) los fines del tratamiento;

b) las categorías de datos personales de que se trate;

c) los destinatarios o las categorías de destinatarios a los que se comunicaron o serán

comunicados los datos personales, en particular destinatarios en terceros países u

organizaciones internacionales;

d) de ser posible, el plazo previsto de conservación de los datos personales o, de no ser

posible, los criterios utilizados para determinar este plazo;

e) la existencia del derecho a solicitar del responsable la rectificación o supresión de datos

personales o la limitación del tratamiento de datos personales relativos al interesado, o a

oponerse a dicho tratamiento;

f) el derecho a presentar una reclamación ante una autoridad de control;

g) cuando los datos personales no se hayan obtenido del interesado, cualquier información

disponible sobre su origen;

h) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se

refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa

sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho

tratamiento para el interesado.?

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

37/61

2.Cuando se transfieran datos personales a un tercer país o a una organización internacional,

el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo

46 relativas a la transferencia.

3.El responsable del tratamiento facilitará una copia de los datos personales objeto de

tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado

un canon razonable basado en los costes administrativos. Cuando el interesado presente la

solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la

información se facilitará en un formato electrónico de uso común.

4.El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los

derechos y libertades de otros?.

Al igual que el resto de los derechos del interesado, el derecho de acceso es un

derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento

que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos

personales que le conciernan y que estén siendo objeto de tratamiento, así como la

información enumerada en el artículo antes citado.

En el presente caso, la reclamante es cliente de la entidad reclamada. Consta

declarado que, con fecha ***FECHA.1, visitó el establecimiento de la entidad

responsable sito en ***DIRECCION.1, por lo que su imagen fue captada por el sistema

de videovigilancia instalado en ese centro.

Posteriormente, siguiendo el procedimiento habilitado por MERCADONA para el

ejercicio de derechos en materia de protección de datos personales, la reclamante

ejercitó el derecho de acceso a sus datos personales, solicitando, concretamente, las

imágenes captadas por las cámaras de seguridad (el texto de la solicitud es el

siguiente: ?Adjunto solicitud de derecho de acceso a las grabaciones de

videovigilancia del establecimiento MERCADONA ***DIRECCION.1, (?)?). Este

derecho se ejercitó en fecha ***FECHA.2, empleando para ello el formulario disponible

en la web de la reclamada, insertado en la pestaña ?Atención al Cliente?, adjuntando

un archivo correspondiente a la solicitud de acceso y copia del DNI.

Como respuesta al envío del mencionado formulario, el sistema de información remitió

a la reclamante un mensaje con el texto ?¡Gracias!, tu comentario se ha enviado

correctamente?.

Trascurrido el plazo establecido, dicha solicitud no obtuvo la respuesta legalmente

exigible, lo que motivó la reclamación que da lugar al presente procedimiento,

presentada en fecha 31/12/2020.

Son hechos no controvertidos (i) que la reclamante ejercitó ante MERCADONA el

derecho de acceso a sus datos personales, utilizando para ello uno de los

mecanismos habilitados por la propia reclamada, como es el formulario disponible en

la web de la entidad, al que se accede también a través de un enlace insertado en la

Política de Privacidad; y (ii) que esta solicitud de acceso a los datos personales no fue

contestada por la responsable en el plazo establecido.

Las normas antes citadas no permiten que pueda obviarse la solicitud como si no se

hubiera planteado, dejándola sin la respuesta que obligatoriamente deberán emitir los

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

38/61

responsables, aún en el supuesto de que no existan datos del interesado en los

ficheros de la entidad o incluso en aquellos supuestos en los que no reuniera los

requisitos previstos, en cuyo caso el destinatario de dicha solicitud viene igualmente

obligado a requerir la subsanación de las deficiencias observadas o, en su caso,

denegar la solicitud motivadamente indicando las causas por las que no procede

considerar el derecho de que se trate.

Por tanto, la solicitud que se formule obliga al responsable, en todo caso, a dar

respuesta expresa al interesado informándole sobre la decisión que haya adoptado a

propósito de la solicitud de ejercicio de derechos, empleando para ello cualquier medio

que justifique la recepción de la contestación.

MERCADONA no ha cuestionado que recibiera la solicitud de derecho de acceso

formulada por la reclamante. Alega, sin embargo, un error humano involuntario en la

gestión de la solicitud, que originó que no llegara a conocimiento del DPD ni de su

equipo y la consiguiente falta de atención de la misma. En base a ello, invoca el

principio de culpabilidad señalando que la llamada responsabilidad objetiva no tiene

cabida en el Derecho administrativo sancionador, por lo que la mera comisión de una

infracción administrativa no es suficiente a la hora de proceder a imponer una sanción

administrativa, debiendo concurrir una conducta dolosa o negligente.

A este respecto, añade que actúa en todos los procesos con máxima diligencia, que

dispone de un procedimiento sencillo para el ejercicio de derechos por diversas vías,

sobre las que informa debidamente a los clientes, y que aplica un procedimiento de

tramitación de las solicitudes que no ha tenido errores hasta ahora y sobre el que

ofrece constante formación a las personas encargadas, y que será ajustado para evitar

incidencias similares.

Según el proceso de gestión diseñado por MERCADONA, las solicitudes de ejercicio

de derechos se reciben por el Departamento de Atención al Cliente, que las transmite

posteriormente al DPD mediante un proceso manual. En este caso, alega que por un

error humano involuntario la solicitud de la reclamante no llegó al DPD, impidiendo que

fuera atendida, y que ello ha dado lugar a las acciones disciplinarias oportunas.

No obstante, MERCADONA ni siquiera ha explicado en qué ha consistido el error

humano alegado. Aunque parece desprenderse de su escrito de alegaciones que la no

atención de la solicitud de la reclamante se debió a que uno de los gestores del

departamento de Atención al Cliente (?gerente? en los términos de la propia entidad

reclamada) no trasladó la solicitud al DPD. Entiende esta Agencia que esto equivale a

no dar curso a la solicitud, a no tramitarla según los canales internos diseñados por la

misma, lo que no puede admitirse como un error involuntario.

La incidencia se produce en el ámbito de responsabilidad de MERCADONA y esta

entidad debe responder por ello. En modo alguno puede considerarse que el error que

alega haber cometido excluya su responsabilidad, puesto que, según reiterada

jurisprudencia, no puede estimarse la existencia de tal error cuando éste es imputable

a quien lo padece o pudo ser evitado con el empleo de una mayor diligencia. En este

caso, el supuesto error es incompatible con la diligencia que la reclamada viene

obligada a observar.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

39/61

Esta diligencia debe manifestarse en el caso concreto que se analiza, respecto del que

se alega el error, y no en las circunstancias generales que alega MERCADONA para

justificar su actuación diligente, como el disponer de procedimientos de gestión de

solicitudes de ejercicio de derechos o la inexistencia de errores en el pasado, ni el

hecho de haber tomado medidas para evitar incidencias futuras. Las acciones

formativas impartidas a los empleados de la reclamada tampoco pueden tomarse

como una circunstancia que impida exigir las responsabilidades que derivan de la

concreta actuación irregular.

En el caso concreto de la reclamante, no puede admitirse que la actuación de la

entidad reclamada, no dando curso a la solicitud de acceso a los datos personales,

haya sido diligente. Admitir que no procede exigir responsabilidad a MERCADONA por

no responder un ejercicio de derechos en materia de protección de datos, en base a

un supuesto error involuntario consistente en no dar trámite a la solicitud, sería tanto

como admitir que pueda ignorarse la aplicación del RGPD y la LOPDGDD,

desvirtuando todo el sistema de ejercicio de derechos que establece, en el que se

contempla expresamente la obligación de responder aquellas solicitudes en todo caso

y las consecuencias de no cumplir esta exigencia normativa.

A este respecto, debe recordarse que cuando el error es muestra de una falta de

diligencia el tipo es aplicable. La Audiencia Nacional en Sentencia de 21 de

septiembre de 2004 (RCA 937/2003), se pronuncia en los siguientes términos:

?Además, en cuanto a la aplicación del principio de culpabilidad resulta (siguiendo el criterio de

esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso

1139/2001) que la comisión de la infracción prevista en el artículo 44.3.d) puede ser tanto

dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo

es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se

infiere de la simple lectura del Art. 130 de la Ley 30/1992, lo cierto es que la expresión ?simple

inobservancia? del Art. 130.1 de la Ley 30/1992, permite la imposición de la sanción, sin duda

en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber

de cuidado?.

En esta línea cabe citar la SAN de 21 de enero de 2010, en la que la Audiencia

expone:

?La recurrente también mantiene que no concurre culpabilidad alguna en su actuación. Es

cierto que el principio de culpabilidad impide la admisión en el derecho administrativo

sancionador de la responsabilidad objetiva, también es cierto, que la ausencia de

intencionalidad resulta secundaria ya que este tipo de infracciones normalmente se cometen

por una actuación culposa o negligente, lo que es suficiente para integrar el elemento subjetivo

de la culpa. La actuación de XXX es claramente negligente pues? debe conocer? las

obligaciones que impone la LOPD a todos aquellos que manejan datos personales de terceros.

XXX viene obligada a garantizar el derecho fundamental a la protección de datos personales

de sus clientes e hipotéticos clientes con la intensidad que requiere el contenido del propio

derecho?.

El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC

246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador

una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda

sancionarse una actuación intencionada o voluntaria, y a este respecto el artículo 28

de la Ley 40/2015 de Régimen Jurídico del Sector Público, bajo la rúbrica

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

40/61

?Responsabilidad?, dispone lo siguiente:

?1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las

personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los

grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios

independientes o autónomos, que resulten responsables de los mismos a título de dolo o

culpa?.

Los hechos expuestos en el Fundamento precedente ponen de manifiesto que

MERCADONA no obró con la diligencia a la que venía obligada MERCADONA, que

actuó con falta de diligencia. El Tribunal Supremo (Sentencias de 16 y 22/04/1991)

considera que del elemento culpabilista se desprende ?...que la acción u omisión,

calificada de infracción sancionable administrativamente, ha de ser, en todo caso,

imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable?. El

mismo Tribunal razona que ?no basta... para la exculpación frente a un

comportamiento típicamente antijurídico la invocación de la ausencia de culpa? sino

que es preciso ?que se ha empleado la diligencia que era exigible por quien aduce su

inexistencia? (STS 23 de enero de 1998).

Conectada también con el grado de diligencia que el responsable del tratamiento está

obligado a desplegar en el cumplimiento de las obligaciones que le impone la

normativa de protección de datos puede citarse la SAN de 17/10/2007 (Rec. 63/2006),

que precisó: ?(...) el Tribunal Supremo viene entendiendo que existe imprudencia

siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no

se comporta con la diligencia exigible?.

A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de

carácter personal, ha declarado que ?basta la simple negligencia o incumplimiento de

los deberes que la Ley impone a las personas responsables de ficheros o del

tratamiento de datos de extremar la diligencia...? (SAN 29/06/2001).

Se concluye, por tanto, en contra de lo objetado por la entidad reclamada, que el

elemento subjetivo sí está presente en la infracción declarada.

En consecuencia, de conformidad con las evidencias expuestas, los citados hechos

suponen una vulneración de lo dispuesto en el artículo 12, apartados 2 y 3, del RGPD,

en relación con el artículo 15 del mencionado Reglamento, que da lugar a la aplicación

de los poderes correctivos que el artículo 58 del citado Reglamento otorga a la

Agencia Española de Protección de datos.

No exigir responsabilidad a MERCADONA por estos hechos sería tanto como vaciar

de contenido las normas que regulan el ejercicio de derechos en materia de protección

de datos personales.

Resulta relevante que las imágenes captadas por un sistema de videovigilancia deben

suprimirse en el plazo máximo de un mes, de acuerdo con el artículo 6 de la

Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de

Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de

sistemas de cámaras o videocámaras. Es el mismo plazo previsto para que el

responsable del tratamiento resuelva la solicitud de ejercicio del derecho de acceso a

tales imágenes.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

41/61

Si consideramos que el ejercicio del derecho es posterior a la captación de las

imágenes, la fecha de finalización del plazo para atender el derecho siempre será

posterior al plazo previsto para suprimir las imágenes. Por tanto, si se admitiera que

MERCADONA no tiene responsabilidad por la no atención del derecho de acceso

ejercitado por la reclamante, equivaldría a admitir que cualquier responsable del

tratamiento pueda eludir el derecho de acceso de los interesados alegando que las

imágenes han sido suprimidas.

En cuanto a los precedentes citados por la reclamada, debe significarse que los dos

supuestos en los que se apreció la existencia de un error involuntario no guardan

similitud con el presente caso, por cuanto se refieren a errores de anotación

(E/01795/2011 y E/03468/2009). El tercero de esos precedentes (PS/00724/2014) se

resuelve por esta Agencia, en relación con los aspectos destacados por

MERCADONA, según el esquema seguido en el presente acto.

VI

La entidad MERCADONA, además de no facilitar el acceso a las imágenes de las

cámaras de seguridad solicitado por la reclamante, procedió a su eliminación por el

transcurso del plazo de 30 días desde su captación, según dicha entidad informó a la

reclamante a través de un correo dirigido a la representante de ésta, que previamente

había advertido sobre la falta de respuesta al derecho de acceso (?Debemos de añadir

ya no se dispone de ninguna de las imágenes de la fecha solicitada (***FECHA.1),

todo ello de conformidad con el art. 6 de la Instrucción 1/2006, de 8 de noviembre, de

la AEPD, que establece que "Los datos serán cancelados en el plazo máximo de un

mes desde su captación").

Este borrado de las imágenes constituye un tratamiento de datos personales, de

conformidad con el artículo 4 del RGPD que, bajo la rúbrica ?Definiciones?, dispone lo

siguiente:

?2) tratamiento: cualquier operación o conjunto de operaciones realizadas sobre datos

personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no,

como la recogida, registro, organización, estructuración, conservación, adaptación o

modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o

cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o

destrucción?.

En definitiva, nos encontramos ante un ?tratamiento de datos? (?supresión o

destrucción? de las imágenes) sujeto al régimen de legitimación que regula el artículo 6

del RGPD ?Licitud del tratamiento?, que establece lo siguiente:

?1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:

a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o

varios fines específicos;

b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte

o para la aplicación a petición de este de medidas precontractuales;

c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al

responsable del tratamiento;

d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

42/61

física;

e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público

o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;

f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el

responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no

prevalezcan los intereses o los derechos y libertades fundamentales del interesado que

requieran la protección de datos personales, en particular cuando el interesado sea un niño.

Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por

las autoridades públicas en el ejercicio de sus funciones.

2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de

adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en

cumplimiento del apartado 1, letras c) y e), fijando de manera más precisa requisitos

específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con

inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX.

3. La base del tratamiento indicado en el apartado 1, letras c) y e), deberá ser establecida por:

a) el Derecho de la Unión, o

b) el Derecho de los Estados miembros que se aplique al responsable del tratamiento.

La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo

al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de

una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al

responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para

adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones

generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos

objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar

datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de

conservación de los datos, así como las operaciones y los procedimientos del tratamiento,

incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a

otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o

de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin

legítimo perseguido.

4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos

personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o

de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad

democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el

responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es

compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en

cuenta, entre otras cosas:

a) cualquier relación entre los fines para los cuales se hayan recogido los datos personales y

los fines del tratamiento ulterior previsto;

b) el contexto en que se hayan recogido los datos personales, en particular por lo que respecta

a la relación entre los interesados y el responsable del tratamiento;

c) la naturaleza de los datos personales, en concreto cuando se traten categorías especiales

de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas

e infracciones penales, de conformidad con el artículo 10;

d) las posibles consecuencias para los interesados del tratamiento ulterior previsto;

e) la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización?.

En relación con la conservación de las imágenes captadas por sistemas de

videovigilancia, es preciso tener en cuenta lo establecido en la Instrucción 1/2006, de 8

de noviembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de

datos personales con fines de vigilancia a través de sistemas de cámaras o

videocámaras.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

43/61

Con la aplicación del RGPD, debe considerarse que la mayor parte de la Instrucción

1/2006 ha quedado desplazada, ya que el contenido de la misma, como puede ser la

legitimación o los derechos de las personas, queda desplazado por lo establecido al

respecto por la norma europea.

No obstante, puede considerarse que queda en vigor lo dispuesto en el artículo 6 de la

citada Instrucción, que regula el plazo de conservación y se refiere a la obligación de

?cancelar? los datos personales (las imágenes) en el plazo máximo de un mes desde

su captación. Una interpretación acorde con el RGPD, que no contempla la

cancelación sino la supresión de los datos personales, supone que ese plazo máximo

de conservación de un mes no será de cancelación sino de supresión, salvo en

aquellos supuestos en que se deban conservar para acreditar la comisión de actos

que atenten contra la integridad de personas, bienes o instalaciones.

También el artículo 22 de la LOPDGDD, en su apartado 3, al que se hizo referencia en

el acuerdo de apertura del procedimiento, establece algunas reglas respecto de la

eliminación de las imágenes captadas por sistemas de videovigilancia. Sin embargo,

como bien señala la entidad MERCADONA en su escrito de alegaciones, este

precepto regula supuestos distintos al analizado en las presentes actuaciones,

relacionados con ?el tratamiento de imágenes a través de sistemas de cámaras o

videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así

como de sus instalaciones?. Este precepto regula tratamientos de videovigilancia cuya

legitimación se encuentra en la existencia de una finalidad de interés público

incardinable en el artículo 6.1.e) del Reglamento, y no en meros intereses legítimos de

un particular.

De acuerdo con lo indicado, la supresión por MERCADONA de las imágenes

solicitadas por la reclamante podría entenderse ajustada a lo dispuesto en la citada

Instrucción 1/2006, al haberse llevado a cabo dentro del plazo máximo de un mes

desde que fueron captadas, esto es desde el ***FECHA.1.

Sin embargo, en el presente caso, concurren otras circunstancias que deben ser

consideradas en el análisis de la licitud o ilicitud de aquella supresión o borrado de

datos personales.

La reclamante sufrió un accidente en uno de los establecimientos de la entidad

MERCADONA en fecha ***FECHA.1 y, cuatro días después, el ***FECHA.3, denunció

este hecho ante dicha entidad, comunicando la responsabilidad de la misma en el

incidente (?), los daños causados por el mismo en la persona de la reclamante (?) y

su protesta por la falta de atención del siniestro por parte de la aseguradora de

MERCADONA (?). La intención de la reclamante de ser compensada por el accidente

sufrido queda clara en la denuncia, la cual consta recibida por MERCADONA, que

respondió a la misma el ***FECHA.5 acusando recibo e informando sobre su traslado

al Departamento de Atención al Cliente.

Tales circunstancias motivaron el interés de la reclamante en disponer de copia de las

imágenes captadas por el sistema de cámaras de seguridad instalado en el

establecimiento en cuestión, para lo cual ejercitó el derecho de acceso reseñado

anteriormente, en fecha ***FECHA.2, también recibida por el Departamento de

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

44/61

Atención al Cliente. En esta solicitud de derecho de acceso a las imágenes del sistema

de videovigilancia, la reclamante vuelve a comunicar a la entidad reclamada que su

presentación está motivada por el accidente acontecido en el centro en cuestión y en

la fecha indicada.

Todas estas circunstancias eran conocidas por MERCADONA. Además, con fecha

***FECHA.7, la representante de la reclamante envió un correo electrónico a esta

entidad, en relación con el mencionado siniestro, advirtiendo sobre su ?voluntad de

solicitar la indemnización que por baremo corresponda?.

Estos actos se estiman suficientemente indicativos de la necesidad de conservar las

imágenes, especialmente porque las mismas no fueron puestas a disposición de la

reclamante en atención al derecho de acceso ejercitado. No obstante, a pesar de todo

ello, MERCADONA procedió al borrado de las imágenes requeridas por la reclamante.

Se entiende que existía un interés de la reclamante que justificaba el tratamiento de

las repetidas imágenes más allá del plazo de un mes que fija la Instrucción 1/2006, al

menos hasta la entrega de las imágenes a la reclamante y con este único fin.

Lo mismo se diría si la reclamante hubiese formulado demanda y MERCADONA

hubiese decidido conservar las imágenes para la defensa de sus derechos, en cuyo

caso se entendería que el tratamiento de datos se ajustaría a los establecido en el

artículo 6.1.f) del RGPD (el tratamiento se considera lícito cuando ?es necesario para

la satisfacción de intereses legítimos perseguidos por el responsable?).

Es preciso tener en cuenta la doctrina del Tribunal Constitucional respecto de las

restricciones al derecho fundamental a la protección de datos, analizadas en su

sentencia 292/2000, de 30 de noviembre. En esta Sentencia, después de configurar el

derecho fundamental a la protección de datos personales como un derecho autónomo

e independiente que consiste en un poder de disposición y de control sobre los datos

personales, que faculta a la persona para decidir cuáles de esos datos proporcionar a

un tercero o cuáles puede este tercero recabar, y que también permite al individuo

saber quién posee esos datos personales y para qué, pudiendo oponerse a esa

posesión o uso, analiza los límites del mismo, señalando en lo siguiente:

?Más concretamente, en las Sentencias mencionadas relativas a la protección de datos, este

Tribunal ha declarado que el derecho a la protección de datos no es ilimitado, y aunque la

Constitución no le imponga expresamente límites específicos, ni remita a los Poderes Públicos

para su determinación como ha hecho con otros derechos fundamentales, no cabe duda de

que han de encontrarlos en los restantes derechos fundamentales y bienes jurídicos

constitucionalmente protegidos, pues así lo exige el principio de unidad de la Constitución

(SSTC 11/1981, de 8 de abril, F. 7; 196/1987, de 11 de diciembre [ RTC 1987, 196] , F.

6; y respecto del art. 18, la STC 110/1984, F. 5)?.

En relación con esta cuestión, debe considerarse que la finalidad última perseguida

con la no eliminación de las imágenes requeridas por la reclamante, titular de los datos

en cuestión, es la de obtener una prueba de la causación de daños en su propia

persona, como consecuencia de un accidente acaecido en un centro de MERCADONA

en el que la misma resultó perjudicada por una posible negligencia de dicha entidad.

En este caso surge una colisión entre dos derechos fundamentales: el derecho a la

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

45/61

protección de datos de carácter personal, derivado del artículo 18 de la Constitución y

consagrado como derecho autónomo e informador del texto constitucional por la citada

Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre; y el derecho a la

tutela judicial efectiva de los jueces y tribunales, contenido en el artículo 24.1 de la

Constitución Española (?Todas las personas tienen derecho a obtener la tutela efectiva

de los jueces y tribunales en el ejercicio de sus derechos e intereses legítimos, sin

que, en ningún caso, pueda producirse indefensión?), que garantiza el acceso de todas

las personas a los jueces y tribunales para la defensa de sus derechos.

El derecho a la protección de datos personales cede en aquellos supuestos en que

pueda suponer una merma en la posibilidad de aportación por el interesado de los

medios de prueba pertinentes para su defensa, vulnerándose las garantías derivadas

del citado derecho a la tutela efectiva y coartándose la posibilidad de obtener el pleno

desenvolvimiento de este último derecho.

Por todo ello, desde el punto de vista de esta Agencia, existe una habilitación legal

para el tratamiento de los datos de las imágenes una vez rebasado el plazo

establecido para su supresión, que trae su cobertura del propio artículo 24 de la

Constitución y sus normas de desarrollo.

Siguiendo esta premisa, debe darse una prevalencia al derecho consagrado por el

artículo 24 de la Constitución, que garantiza a los ciudadanos la tutela judicial efectiva

de jueces y tribunales, en los términos expuestos.

Tal y como sostiene reiterada jurisprudencia del Tribunal Constitucional (por todas,

STC 186/2000, de 10 de julio, con cita de otras muchas) ?el derecho a la intimidad no

es absoluto, como no lo es ninguno de los derechos fundamentales, pudiendo ceder

ante intereses constitucionalmente relevantes, siempre que el recorte que aquél haya

de experimentar se revele como necesario para lograr el fin legítimo previsto,

proporcionado para alcanzarlo y, en todo caso, sea respetuoso con el contenido

esencial del derecho?.

El Tribunal Constitucional viene exigiendo que cualquier medida restrictiva de

derechos sea proporcional. Así se declara en la Sentencia del Tribunal Constitucional

14/2003, de 28 de enero:

?En otras palabras, de conformidad con una reiterada doctrina de este Tribunal, la

constitucionalidad de cualquier medida restrictiva de derechos fundamentales viene

determinada por la estricta observancia del principio de proporcionalidad. A los efectos que

aquí importan basta con recordar que, para comprobar si una medida restrictiva de un derecho

fundamental supera el juicio de proporcionalidad, es necesario constatar si cumple los tres

requisitos o condiciones siguientes: si la medida es susceptible de conseguir el objetivo

propuesto (juicio de idoneidad); si, además, es necesaria, en el sentido de que no exista otra

medida más moderada para la consecución de tal propósito con igual eficacia (juicio de

necesidad); y, finalmente, si la misma es ponderada o equilibrada, por derivarse de ella más

beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en

conflicto (juicio de proporcionalidad en sentido estricto; SSTC 66/1995, de 8 de mayo [ RTC

1995, 66], F. 5; 55/1996, de 28 de marzo [RTC 1996, 55], FF. 7, 8 y 9; 270/1996, de 16 de

diciembre [RTC 1996, 270], F. 4.e; 37/1998, de 17 de febrero [RTC 1998, 37], F. 8; 186/2000,

de 10 de julio [RTC 2000, 186], F. 6)?.

Este principio de proporcionalidad se respeta en este caso, en el que las imágenes

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

46/61

captadas por las cámaras de videovigilancia de MERCADONA constituyen una prueba

válida y adecuada para la defensa de los intereses de la reclamante.

A este respecto, la Ley 1/2000, de 7 de enero, de Enjuiciamiento Civil, señala en el

artículo 299 cuales son los medios de prueba de que podrá hacerse uso en juicio,

estableciendo en su número 2 lo siguiente:

?También se admitirán, conforme a lo dispuesto en esta Ley, los medios de reproducción de la

palabra, el sonido y la imagen, así como los instrumentos que permiten archivar y conocer o

reproducir palabras, datos, cifras y operaciones matemáticas llevadas a cabo con fines

contables o de otra clase, relevantes para el proceso?.

Por su parte, el artículo 265 determina el momento en que dichos documentos deben

presentarse disponiendo lo siguiente:

1. A toda demanda o contestación habrán de acompañarse:

1º. Los documentos en que las partes funden su derecho a la tutela judicial que pretenden.

2º. Los medios e instrumentos a que se refiere el apartado 2 del artículo 299, si en ellos se

fundaran las pretensiones de tutela formuladas por las partes.

(?)?.

En este caso, la prueba de la causación de los daños, así como la determinación de la

persona contra la que se dirigirá la demanda se encuentran en las imágenes captadas

por las cámaras, cuya aportación al proceso con la demanda parece necesaria, por lo

que el derecho a la tutela efectiva debe prevalecer en este caso sobre el derecho a la

protección de datos.

El alcance del derecho a la tutela judicial en relación con la prueba ha sido abordado,

entre otras, en la STC 212/2013, de 16 de diciembre, en la que se hace referencia,

citando la STC 88/2014, de 28 de mayo a ?las íntimas relaciones del derecho a la

prueba con otros derechos garantizados en el art. 24 CE. Concretamente, en nuestra

doctrina constitucional hemos hecho hincapié en la conexión de este específico

derecho constitucional con el derecho a la tutela judicial efectiva (art. 24.1 CE), cuyo

alcance incluye las cuestiones relativas a la prueba (SSTC 89/1986, de 1 de julio, FJ

2; 50/1988, de 22 de marzo, FJ 3; 110/1995, de 4 de julio, FJ 4; 189/1996, de 25 de

noviembre, FJ 3; y 221/1998, de 24 de noviembre, FJ 3), y con el derecho de defensa

(art. 24.2 CE), del que es inseparable (SSTC 131/1995, de 11 de septiembre, FJ 2;

1/1996, de 15 de enero, FJ 2; y 26/2000, de 31 de enero, FJ 2)?? (STC 19/2001, de 29

de enero, FJ 4; y, en el mismo sentido, STC 133/2003, de 30 de junio, FJ 3)?. En las

reseñadas SSTC 19/2001 y 133/2003 el Tribunal Constitucional apuntaba que ?ha sido

justamente esta inescindible conexión (con los otros derechos fundamentales

mencionados, en particular el derecho a obtener una tutela judicial efectiva), la que ha

permitido afirmar que el contenido esencial del derecho a utilizar los medios de prueba

pertinentes se integra por el poder jurídico que se reconoce a quien interviene como

litigante en un proceso de provocar la actividad procesal necesaria para lograr la

convicción del órgano judicial sobre la existencia o inexistencia de los hechos

relevantes para la decisión del conflicto objeto del proceso (por todas, STC 37/2000,

de 14 de febrero, FJ 3)?.

Los argumentos que opone MERCADONA en sus alegaciones a la propuesta de

resolución tienen un presupuesto erróneo, como es el considerar que dicha entidad

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

47/61

?no tuvo constancia de la solicitud de acceso?, circunstancia esta a la que se refiere en

repetidas ocasiones. Sin embargo, según ha quedado expuesto, la solicitud de

ejercicio del derecho de acceso fue recibida correctamente por la citada entidad.

Y no solo eso. También consta acreditado que MERCADONA recibió la denuncia por

el accidente sufrido por la reclamante, dirigida al mismo departamento en el que tuvo

entrada la solicitud de acceso a las imágenes captadas por el sistema de

videovigilancia.

Atender ambas iniciativas de la reclamante conllevaba la conservación de las

imágenes, aunque eso hubiese supuesto rebasar el plazo legal, resultando esta

conservación acorde con los principios de necesidad y proporcionalidad en este caso

concreto.

Por tanto, con ello no se impone a la entidad responsable una obligación general de

conservación y de supervisión de todas las imágenes para valorar esa necesidad de

conservación, que sí se da en este caso atendiendo a las circunstancias expuestas.

Se tiene en cuenta que aquella solicitud de acceso y denuncia de la reclamante se

presentaron ante la propia entidad responsable antes de que las imágenes fuesen

borradas, a diferencia del supuesto analizado en las Directrices 3/2019 del CEPD al

que se refiere MERCADONA en sus alegaciones, que habla de una solicitud de

acceso formulada cuando las imágenes ya habían sido suprimidas. Así, no se entiende

que MERCADONA alegue que la Agencia se basa en circunstancias que ?la entidad

no tiene por qué conocer?, dado que dichas circunstancias sí le eran conocidas.

Sí es cierto lo indicado por MERCADONA al señalar que hubiera sido distinto de haber

entregado las imágenes a la reclamante antes del vencimiento del plazo legal de

conservación, pero no fue así por la propia conducta de la reclamada, y no

precisamente por no haber recibido la solicitud.

Esta misma entidad manifiesta en sus alegaciones que ?Si un interesado ejercita el

derecho de acceso durante el plazo en el que el responsable conserva las imágenes,

deberá atenderse, y deberán conservarse las imágenes, aunque hubiera un defecto

formal en la petición, precisamente para que cuando este se subsanase, satisfacer el

derecho?.

Seguidamente añade, una vez más, ?Pero en este caso no llegó a conocimiento del

responsable la petición, por lo que no se pudieron conservar?, cuando ya sabemos que

si llegó a su conocimiento la solicitud de acceso.

También entiende la reclamada su derecho a conservar las imágenes más allá del

plazo establecido para la defensa de sus propios derechos.

Por otra parte, niega que exista en este caso una colisión de derechos (protección de

datos personales y tutela judicial efectiva) que daba ponderarse por el responsable y lo

hace argumentando nuevamente que no se hubiese producido si hubiese tenido

conocimiento de la petición de la interesada. Dice que ?Si se hubiera recibido la

petición, la interesada hubiese tenido respuesta en tiempo y forma, sin necesidad de

tener que conservar las imágenes más tiempo del establecido ni buscar ninguna base

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

48/61

de legitimación adicional?, sin considerar que sí recibió la petición, que el hecho de que

internamente no se trasladara a la unidad encargada de su tramitación no equivale a

no haber recibido la solicitud y que todo ello ocurre en su exclusivo ámbito de

responsabilidad.

La conclusión aquí expuesta no supone ninguna modificación respecto de la obligación

general que la normativa impone a los responsables del tratamiento de los datos

personales de suprimirlos cuando han dejado de ser necesarios para la finalidad que

motivó su recogida o, tratándose de imágenes captadas por sistemas de

videovigilancia, cuando transcurre el plazo establecido.

Las razones expuestas prevalecen sobre la obligación de eliminar las imágenes en el

plazo máximo de un mes desde que fueron captadas, resultando que, concluida la

necesidad de conservar y proporcionalidad de conservar las imágenes, el tratamiento

de datos personales consistente en el borrado o supresión de tales imágenes se lleva

a cabo sin una base jurídica que lo legitime, en clara vulneración de lo establecido en

el artículo 6 del RGPD. Este incumplimiento da lugar a la aplicación de los poderes

correctivos que el artículo 58 del citado Reglamento otorga a la Agencia Española de

Protección de datos.

La vulneración de lo dispuesto en el artículo 6 del RGPD se produce con

independencia de la falta de atención del derecho de acceso ejercitado por la

reclamante. Ambas infracciones resultan de conductas separadas que deben ser

sancionadas por separado.

VII

Para el caso de que concurra una infracción de los preceptos del RGPD, entre los

poderes correctivos de los que dispone la Agencia Española de Protección de Datos,

como autoridad de control, el artículo 58.2 de dicho Reglamento contempla los

siguientes:

?2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a

continuación:

(?)

b) dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las

operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;?

(...)

d) ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se

ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada

manera y dentro de un plazo especificado;

(?)

i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las

medidas mencionadas en el presente apartado, según las circunstancias de cada caso

particular;?.

Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en la letra d)

anterior es compatible con la sanción consistente en multa administrativa.

VIII

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

49/61

De conformidad con las evidencias expuestas, se considera que los hechos expuestos

incumplen lo establecido en los artículos 12, en relación con el artículo 15, ambos del

RGPD; y de lo establecido en el artículo 6 del mismo Reglamento; lo que supone la

comisión de sendas infracciones tipificadas, respectivamente, en los apartados 5.a) y

5.b) del artículo 83 del RGPD.

El artículo 83.5, a) y b), del RGPD, bajo la rúbrica ?Condiciones generales para la

imposición de multas administrativas? dispone lo siguiente:

?5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el

apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una

empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual

global del ejercicio financiero anterior, optándose por la de mayor cuantía:

a) los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a

tenor de los artículos 5, 6, 7 y 9;

b) los derechos de los interesados a tenor de los artículos 12 a 22?.

Por otra parte, el artículo 71 de la LOPDGDD considera infracción cualquier

incumplimiento de esta Ley Orgánica:

?Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del

artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente

ley orgánica?.

El apartado 1.b) del artículo 72 de la LOPDGDD considera, como ?muy grave?, a

efectos de prescripción:

?1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se

consideran muy graves y prescribirán a los tres años las infracciones que supongan una

vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:

b) El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del

tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679?.

Y el apartado c) del artículo 74 de la LOPDGDD, considera como infracción ?leve? a

efectos de prescripción las infracciones de carácter meramente formal de los artículos

mencionados en el artículo 83.5 del RGPD y, en concreto:

?c) No atender las solicitudes de ejercicio de los derechos establecidos en los artículos 15 a 22

del Reglamento (UE) 2016/679, salvo que resultase de aplicación lo dispuesto en el artículo

72.1.k) de esta Ley Orgánica?.

A fin de determinar la multa administrativa a imponer se han de observar las

previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:

?1. Cada autoridad de control garantizará que la imposición de las multas administrativas con

arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los

apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.

2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso

individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58,

apartado 2, letras a) a h) y j). Al decidir la imposición de una multa administrativa y su cuantía

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

50/61

en cada caso individual se tendrá debidamente en cuenta:

a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza,

alcance o propósito de la operación de tratamiento de que se trate así como el número de

interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;

b) la intencionalidad o negligencia en la infracción;

c) cualquier medida tomada por el responsable o encargado del tratamiento para paliar los

daños y perjuicios sufridos por los interesados;

d) el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta

de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;

e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;

f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la

infracción y mitigar los posibles efectos adversos de la infracción;

g) las categorías de los datos de carácter personal afectados por la infracción;

h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el

responsable o el encargado notificó la infracción y, en tal caso, en qué medida;

i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas

previamente contra el responsable o el encargado de que se trate en relación con el mismo

asunto, el cumplimiento de dichas medidas;

j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación

aprobados con arreglo al artículo 42, y

k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los

beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de

la infracción?.

Por su parte, el artículo 76 ?Sanciones y medidas correctivas? de la LOPDGDD

dispone:

?1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE)

2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el

apartado 2 del citado artículo.

2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679 también

podrán tenerse en cuenta:

a) El carácter continuado de la infracción.

b) La vinculación de la actividad del infractor con la realización de tratamientos de datos

personales.

c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.

d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la

infracción.

e) La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción,

que no puede imputarse a la entidad absorbente.

f) La afectación a los derechos de los menores.

g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.

h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a

mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan

controversias entre aquellos y cualquier interesado?.

Además de lo señalado, debe considerarse lo establecido en el artículo 83.1 del

RGPD, según el cual ?Cada autoridad de control garantizará que la imposición de las

multas administrativas con arreglo al presente artículo por las infracciones del

presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual

efectivas, proporcionadas y disuasorias?.

De acuerdo con los preceptos indicados, a efectos de fijar el importe de la sanción a

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

51/61

imponer en el presente caso, se considera que procede graduar la sanción a imponer

de acuerdo con los siguientes criterios que establecen los preceptos transcritos:

1. Infracción del artículo 12, en relación con el artículo 15, ambos del RGPD, tipificada

en el artículo 83.5.b) y calificada como leve a efectos de prescripción en el artículo

74.c) de la LOPDGDD:

Se estiman concurrentes como agravantes los criterios de graduación siguientes:

. Artículo 83.2.a) del RGPD: ?a) la naturaleza, gravedad y duración de la

infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación

de tratamiento de que se trate así como el número de interesados afectados y el

nivel de los daños y perjuicios que hayan sufrido?.

. La naturaleza de la infracción, por cuanto la no atención del derecho de

acceso, por su contenido, incide en la capacidad de la reclamante de ejercer

un verdadero control sobre sus datos personales.

En relación con el derecho de acceso y su configuración como puerta de

acceso para otros derechos, el TJUE, en Sentencia de 07/05/2009, dictada en

el Asunto C-553/07, analizando entonces la Directiva e igualmente válido

ahora para el RGPD, declara lo siguiente:

?51 El citado derecho de acceso es indispensable para que el interesado pueda

ejercer los derechos que se contemplan en el artículo 12, letras b) y c), de la

Directiva, a saber, en su caso, cuando el tratamiento no se ajuste a las disposiciones

de la misma, obtener de responsable del tratamiento de los datos, la rectificación, la

supresión o el bloqueo delos datos [letra b)], o que proceda a notificar a los terceros a

quienes se hayan comunicado los datos, toda rectificación, supresión o bloqueo

efectuado, si no resulta imposible o supone un esfuerzo desproporcionado [letra c)].

52 El derecho de acceso es, igualmente, condición necesaria para el ejercicio por el

interesado del derecho de oposición al tratamiento de sus datos personales,

contemplado en el artículo 14 de la Directiva, como lo es para el derecho a recurrir

por los daños sufridos, previsto en los artículos 22 y 23 de ésta?.

. El nivel de daños y perjuicios sufrido por los interesados, en la medida en

que la no atención del derecho de acceso conllevó la no entrega de las

imágenes solicitadas por la reclamante, lo que perjudicó su capacidad de

defensa en relación con el accidente sufrido por la misma en un centro de la

reclamada.

. Artículo 83.2.b) del RGPD: ?b) la intencionalidad o negligencia en la infracción".

La negligencia apreciada en la comisión de la infracción, teniendo en cuenta que

MERCADONA, no solo no atendió el derecho ejercitado por la reclamante, sino

que ni siquiera dio ninguna respuesta a la solicitud formulada por la reclamante

dentro del plazo previsto. Esta respuesta no se produjo hasta un momento

posterior a la eliminación de las imágenes en cuestión, de modo que la no

atención del derecho ha supuesto una pérdida de la disposición y control sobre los

datos.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

52/61

Esta circunstancia, ponen de manifiesto la actuación negligente de MERCADONA.

A este respecto, se tiene en cuenta lo declarado en Sentencia de la Audiencia

Nacional de 17/10/2007 (rec. 63/2006) que, partiendo de que se trata de entidades

cuya actividad lleva aparejado en continuo tratamiento de datos, indica que ??el

Tribunal Supremo viene entendiendo que existe imprudencia siempre que se

desatiende un deber legal de cuidado, es decir, cuando el infractor no se

comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha

de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda

de que, en el caso ahora examinado, cuando la actividad de la recurrente es de

constante y abundante manejo de datos de carácter personal ha de insistirse en el

rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto?.

Se trata de una empresa que realiza tratamientos de datos personales de manera

sistemática y continua y que debe extremar el cuidado en el cumplimiento de sus

obligaciones en materia de protección de datos.

Entiende esta Agencia que la diligencia tiene que deducirse de hechos

concluyentes, que consten debidamente acreditados y directamente relacionados

con los elementos que configuran la infracción, de tal modo que pueda deducirse

que la misma se ha producido a pesar de todos los medios dispuestos por el

responsable para evitarla. En este caso, la actuación de MERCADONA no tiene

este carácter.

. Artículo 83.2.g) del RGPD: ?g) las categorías de los datos de carácter personal

afectados por la infracción?.

Si bien no se han visto afectadas ?Categorías especiales de datos personales?,

según define el RGPD en el artículo 9, los datos personales a los que se refieren

las actuaciones (imagen de la reclamante) tiene una naturaleza especialmente

sensible, por cuanto permite la pronta identificación de los interesados y aumenta

los riesgos sobre su privacidad.

. Artículo 76.2.b) de la LOPDGDD: ?b) La vinculación de la actividad del infractor

con la realización de tratamientos de datos personales?.

La alta vinculación de la actividad del infractor con la realización de tratamientos

de datos personales, especialmente en lo relativo a la captación de imágenes de

clientes por los sistemas de videovigilancia instalados en sus establecimientos,

que se realiza de forma indiscriminada. Se considera el nivel de implantación de la

entidad y la actividad que desarrolla, en la que se ven implicados datos

personales de miles de interesados. Esta circunstancia determina un mayor grado

de exigencia y profesionalidad y, consiguientemente, de la responsabilidad de la

entidad reclamada en relación con el tratamiento de los datos.

. Artículo 83.2.k) del RGPD: ?k) cualquier otro factor agravante o atenuante

aplicable a las circunstancias del caso, como los beneficios financieros obtenidos

o las pérdidas evitadas, directa o indirectamente, a través de la infracción?.

. La condición de gran empresa y volumen de negocio de MERCADONA.

Consta en las actuaciones que dicha entidad tiene (?).

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

53/61

Se considera, asimismo, que concurren como atenuantes las circunstancias

siguientes:

. Artículo 83.2.d) del RGPD: ?d) el grado de responsabilidad del responsable o del

encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas

que hayan aplicado en virtud de los artículos 25 y 32?.

La entidad imputada tiene implantados procedimientos adecuados de actuación

en la gestión de solicitudes de ejercicio de derechos, de modo que la infracción es

consecuencia de una anomalía en el funcionamiento de dichos procedimientos

que afecta únicamente a la reclamada.

Considerando los factores expuestos, la valoración que alcanza la multa, por la

Infracción del artículo 12 del RGPD, es de 70.000 euros (setenta mil euros).

2. Infracción por incumplimiento de lo establecido en el artículo 6 del RGPD, tipificada

en el artículo 83.5.a) y calificada como muy grave a efectos de prescripción en el

artículo 72.1.b) de la LOPDGDD:

Se estiman concurrentes como agravantes los criterios de graduación siguientes:

. Artículo 83.2.a) del RGPD: ?a) la naturaleza, gravedad y duración de la

infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación

de tratamiento de que se trate así como el número de interesados afectados y el

nivel de los daños y perjuicios que hayan sufrido?.

. La naturaleza y gravedad de la infracción, por cuanto el borrado definitivo de

las imágenes captadas por el sistema de videovigilancia, en este caso, incide

en la capacidad de la reclamante de ejercer un verdadero control sobre sus

datos personales en la medida en que limita su capacidad de acción en la

defensa de sus derechos; y limita cualquier intervención posterior de esta

Agencia en orden a reparar la falta de atención del derecho de acceso o de

los tribunales respecto de las acciones que la reclamante pudiera ejercer

contra MERCADONA para una posible reparación de daños.

. El nivel de daños y perjuicios sufrido por la reclamante interesados, en la

medida en que la supresión de las imágenes ha perjudicado su capacidad de

defensa, conforme a lo expresado en el apartado anterior.

Alega MERCADONA que no puede vincularse la denuncia de la reclamante con

una obligación legal de conservar las imágenes y que no es obligación de la

responsable guardar las imágenes de cada suceso ocurrido, sin que haya

solicitado la persona las imágenes, sólo para la eventualidad de que pudiera

solicitarlas. Sin embargo, no es este el caso presente, en el que la reclamante sí

había solicitado las imágenes con motivo del accidente ocurrido en un centro de la

citada entidad.

. Artículo 83.2.b) del RGPD: ?b) la intencionalidad o negligencia en la infracción".

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

54/61

La negligencia apreciada en la comisión de la infracción, teniendo en cuenta que

MERCADONA suprimió las imágenes a pesar de conocer que la reclamante

denunció ante dicha entidad el accidente y los daños sufridos, y solicitó, con tal

motivo, el acceso a dichas imágenes.

Según la reclamada, no se puede afirmar lo anterior debido a que ?la entidad no

era consciente de la solicitud de acceso realizada?. Una vez más, MERCADONA

plantea la cuestión como si la solicitud de acceso no hubiera existido, a pesar de

que no es controvertido que MERCADONA recibió dicha solicitud. El hecho de

que su tramitación no fuese la adecuada, al no haberse trasladado internamente

dicha solicitud a la persona o unidad encargada de gestionarla, no puede tratarse

como algo ajeno a la propia entidad responsable.

Para apreciar esta negligencia se tienen en cuenta, además, las circunstancias

señaladas al respecto en el apartado 1 anterior.

. Artículo 83.2.g) del RGPD: ?g) las categorías de los datos de carácter personal

afectados por la infracción?.

Como ya se ha señalado, los datos personales a los que se refieren las

actuaciones (imagen de la reclamante) tiene una naturaleza especialmente

sensible.

. Artículo 76.2.b) de la LOPDGDD: ?b) La vinculación de la actividad del infractor

con la realización de tratamientos de datos personales?.

La alta vinculación de la actividad del infractor con la realización de tratamientos

de datos personales, ya justificada en relación con la infracción anterior.

. Artículo 83.2.k) del RGPD: ?k) cualquier otro factor agravante o atenuante

aplicable a las circunstancias del caso, como los beneficios financieros obtenidos

o las pérdidas evitadas, directa o indirectamente, a través de la infracción?.

. La condición de gran empresa y volumen de negocio de MERCADONA,

según los detalles ya expuestos.

Se considera, asimismo, que concurren como atenuantes las circunstancias

siguientes:

. Artículo 83.2.d) del RGPD: ?d) el grado de responsabilidad del responsable o del

encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas

que hayan aplicado en virtud de los artículos 25 y 32?.

La infracción es una anomalía que afecta únicamente a la reclamada.

Considerando los factores expuestos en esta segunda parte, la valoración que alcanza

la multa por la infracción del artículo 6 del RGPD es de 100.000 euros (cien mil euros).

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

55/61

MERCADONA no efectuó alegación alguna sobre los factores de graduación de las

sanciones en sus alegaciones a la apertura del procedimiento. No obstante, en su

escrito destacó que contactó con la reclamante, por medio de su representante, y llegó

a un acuerdo que repara los daños y perjuicios sufridos por el accidente y los

derivados de la no atención de su derecho de acceso a sus datos personales.

Además, manifiesta que se adoptaron a nivel interno medidas disciplinarias; así como

medias técnicas y organizativas, para evitar que pueda producirse en el futuro un error

similar y que aseguren el envío al DPD de las solicitudes que se formulen a través del

formulario web.

Estas medidas resultan insuficientes para ?poner remedio a la infracción y mitigar los

posibles efectos adversos de la infracción?, según los términos del artículo 83.2.f) del

RGPD, o ?para paliar los daños y perjuicios sufridos por los interesados? como

consecuencia de la infracción, según el apartado 2.c) del mismo artículo. Mitigar los

efectos adversos o paliar los daños y perjuicios causados de las infracciones implica

restablecer los derechos de los interesados, cosa que en este caso no es posible por

la supresión de las imágenes.

Tampoco puede entenderse como atenuante, en ningún caso, la cesación de la

conducta vulneradora del ordenamiento jurídico.

Por otra parte, no puede admitirse que un acuerdo extrajudicial entre la reclamante y la

reclamada pueda evitar la aplicación de la norma y la exigencia de las

responsabilidades que resultan de los hechos comprobados. Sería tanto como vaciar

de contenido la regulación de protección de datos personales.

Si a esto añadimos que las sanciones deberán ser ?en cada caso individual? efectivas,

proporcionadas y disuasorias, conforme a lo previsto en el artículo 83.1 del RGPD, no

cabe admitir aquel acuerdo como una atenuante. Sería una rebaja artificial de la

sanción que puede llevar a entender que infringir la norma no producirá un efecto

negativo proporcional a la gravedad del hecho infractor.

Sobre esta cuestión de la reparación de los daños alegada por la reclamada, cabe

remitirse a lo indicado en el Fundamento de Derecho II.

Posteriormente, en las alegaciones a la propuesta de resolución, MERCADONA

cuestiona las agravantes consideradas y argumenta que esas mismas circunstancias

agravantes deben ser valoradas como atenuantes.

Así, alega que existe un único afectado y que no se trata de una infracción de carácter

estructural que dure en el tiempo, a pesar de que estos factores de graduación ya han

sido considerados por esta Agencia como atenuantes; e insiste en la ?reparación? de

daños llevada a cabo y las medidas adoptadas, sobre lo que ya se ha pronunciado

esta Agencia, sin que MERCADONA aporte ningún argumento que desvirtúe lo

indicado en esta resolución al respecto.

Por otra parte, niega la negligencia apreciada y su profesionalidad en el tratamiento de

datos personales, pero tampoco a este respecto aporta argumentos de contrario

suficientes para salvar lo expresado anteriormente.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

56/61

En relación con el grado de diligencia que debe exigirse a MERCADONA, dado su

nivel de profesionalidad y alta vinculación con el tratamiento de datos personales, cabe

destacar que la propia entidad en sus alegaciones a la apertura del procedimiento,

como argumento para justificar el alcance del error involuntario alegado, puso de

manifiesto la gran cantidad de datos personales que trata.

Por otra parte, ninguno de los factores de graduación considerados queda atenuado

por el hecho de que la entidad reclamada no haya sido objeto de un procedimiento

sancionador con anterioridad, circunstancia esta que ha sido alegada por la entidad

reclamada para que sea considerada como una atenuante.

A este respecto, la Sentencia de la AN, de 05/05/2021, rec. 1437/2020, indica:

?Considera, por otro lado, que debe apreciarse como atenuante la no comisión de una

infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que debe tenerse en cuenta

para la imposición de la multa administrativa, entre otras, la circunstancia "e) toda infracción

anterior cometida por el responsable o el encargado del tratamiento". Se trata de una

circunstancia agravante, el hecho de que no concurra el presupuesto para su aplicación

conlleva que no pueda ser tomada en consideración, pero no implica ni permite, como pretende

la actora, su aplicación como atenuante?.

Según el citado artículo 83.2 del RGPD, al decidir la imposición de una multa

administrativa y su cuantía de debe tener en cuenta ?toda infracción anterior cometida

por el responsable?. Es una previsión normativa que no incluye la inexistencia de

infracciones precedentes como factor de graduación de la multa, el cual debe

entenderse como un criterio próximo a la reincidencia, aunque más amplio.

Asimismo, manifiesta la entidad reclamada que los datos personales relativos a las

imágenes no constituyen categorías especiales de datos, lo cual ya se considera en

este acto, pues de lo contrario los hechos probados darían serían constitutivos de una

infracción distinta a la imputada. Si bien ello no implica que se considere al graduar la

infracción que la imagen personal aumenta los riesgos sobre la privacidad.

IX

Las infracciones en la materia que nos ocupan pueden dar lugar a la imposición al

responsable de la obligación de adoptar medidas adecuadas para ajustar su actuación

a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado

artículo 58.2.d) del RGPD, según el cual cada autoridad de control podrá ?ordenar al

responsable o encargado del tratamiento que las operaciones de tratamiento se

ajusten a las disposiciones del presente Reglamento, cuando proceda, de una

determinada manera y dentro de un plazo especificado??.

En este caso, procede requerir a la entidad responsable para que, en el plazo que se

indica en la parte dispositiva, adecúe a la normativa de protección de datos personales

las operaciones de tratamiento que realiza y los mecanismos y procedimientos que

sigue para atender las solicitudes de ejercicio de derechos que le formulan los

interesados, con el alcance expresado en los Fundamentos de Derecho del presente

acuerdo. Así, deberá establecer mecanismos para asegurar que las solicitudes de

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

57/61

ejercicio de derechos sean respondidas en todo caso y evitar, en caso de solicitudes

de acceso a las imágenes captadas por sus sistemas de videovigilancia, que las

imágenes a las que se refieran estas solicitudes sean borradas antes de la atención

del derecho y antes de que los órganos competentes puedan revisar, en su caso, las

decisiones que MERCADONA adopte al respecto.

Se advierte que no atender los requerimientos de este organismo puede ser

considerado como una infracción administrativa grave al ?no cooperar con la Autoridad

de control? ante los requerimientos efectuados, pudiendo ser valorada tal conducta a la

hora de la apertura de un procedimiento administrativo sancionador con multa

pecuniaria.

X

MERCADONA, en su escrito de alegaciones a la propuesta de resolución, para el caso

de que se proceda al pago voluntario y al reconocimiento de responsabilidad en

cualquier momento antes de la resolución, solicita la aplicación de un descuento sobre

la sanción del 40%. No obstante, a esta fecha no consta que dicha entidad haya

procedido al pago voluntario ni ha tenido entrada en esta Agencia escrito alguno en el

que aquella entidad reconozca su responsabilidad por los hechos que han dado lugar

a las actuaciones.

En todo caso, esta Agencia no comparte la interpretación del artículo 85 de la Ley

39/2015 (LPACPA) que MERCADONA expone en su escrito de alegaciones, en

relación con el momento en que deberá reconocerse la responsabilidad para que

pueda aplicarse la reducción prevista.

A juicio de esta Agencia dicho reconocimiento, tal como se advertía en el acuerdo de

inicio, debe manifestarse iniciado el procedimiento, durante el plazo para formular

alegaciones a la apertura del procedimiento. Ello de conformidad con lo establecido en

el citado artículo 85 de la Ley 39/2015, según el cual el reconocimiento de la

responsabilidad debe producirse ?iniciado el procedimiento? para que sea aplicable la

reducción prevista del 20% sobre la sanción, a diferencia de lo que se establece

expresamente en relación con el descuento por pago voluntario de la sanción, que

podrá aplicarse cuando dicho pago se produzca en cualquier momento anterior a la

resolución. Si el citado precepto ha distinguido las condiciones en los dos modos de

terminación voluntaria del procedimiento indicados, ninguna interpretación deberá

igualar estas condiciones como si no existieran diferencias en su regulación.

El artículo 85.2 de la LPACAP se refiere de manera expresa y única al pago voluntario,

y no al reconocimiento de la responsabilidad, determinando que dicho pago se podrá

producir en cualquier momento anterior a la resolución. Así, no cabe distinguir u

obligar donde la Ley no distingue u obliga. A mayor abundamiento, el artículo 85.3

indica que ?En ambos casos, cuando la sanción tenga únicamente carácter pecuniario,

el órgano competente para resolver el procedimiento aplicará reducciones de, al

menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables

entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de

iniciación del procedimiento y su efectividad estará condicionada al desistimiento o

renuncia de cualquier acción o recurso en vía administrativa contra la sanción?, lo que

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

58/61

supone que ambas deben estar en el acuerdo de inicio (remisión del artículo 85.1 al 64

de la LPACAP), de modo que no contempla que ambas reducciones estén en la

propuesta de resolución o que se puedan abonar acumulativamente en cualquier

momento anterior a la resolución.

Así lo entiende también la Audiencia Nacional, Sala de lo Contencioso-administrativo,

Sección 1ª, que en su Sentencia de 05/02/2021, Rec. 41/2019, indica que el pago

voluntario puede producirse en cualquier momento anterior a la resolución, mientras

que la reducción por reconocimiento de la responsabilidad está ligada al acuerdo de

inicio y a la previsión del artículo 64.2.d) de la Ley 39/2015:

?En cuanto a la infracción de lo previsto en los artículos 64 y 85 de la Ley 39/2015, que

contemplan la posibilidad de reconocer la responsabilidad en el momento de la notificación de

la resolución de inicio del procedimiento (art. 64.2.d) y acogerse a las reducciones previstas en

el artículo 85, en el acuerdo de inicio del procedimiento hay una expresa referencia a esos

artículos, indicando que no resultan de aplicación los apartados 2 y 3 del artículo 85; además,

en ningún momento el demandante ha mostrado su voluntad de reconocer la responsabilidad

por la infracción sancionada y acogerse a la posibilidad establecida en dichos artículos (el pago

voluntario puede hacerse en cualquier momento anterior a la resolución), por lo que procede

desestimar también esta alegación?.

También la finalidad es distinta para cada uno de aquellos modos de terminación del

procedimiento. En el caso del reconocimiento de la responsabilidad (artículo 85.1) se

persigue el logro de una mayor eficacia de la actuación administrativa con una

finalización rápida del procedimiento que lleva asociada, además, la renuncia al

recurso en vía administrativa. Esto implica un ahorro de tiempo, esfuerzo y, por tanto,

de costes que bonifican ese reconocimiento de responsabilidad con una rebaja del

20%. Con la posición defendida por MERCADONA no se consigue esa finalidad, por

cuanto el procedimiento se instruiría en su totalidad, y por eso no se obtiene esa

rebaja.

En el caso del pago voluntario (artículo 85.2) la finalidad es diferente, ya que en este

caso se habla de ?en cualquier momento anterior a la resolución?.

Sobre esta cuestión, lo establecido en otros regímenes sancionadores, como los

señalados por MERCADONA en sus alegaciones, no condiciona la regulación

aplicable al presente procedimiento ni prevalece sobre la misma. Alguna de las

normas citadas por MERCADONA a este respecto, además, no establecen que el

reconocimiento de la responsabilidad conlleve la aplicación de un descuento, aunque

se produzca en un momento posterior a la propuesta de resolución y antes de la

resolución, como el caso de la Ley 16/1987, de 30 de Julio, de Ordenación del

Transporte Terrestre (LOTT), que en su artículo 146.3 solo se refiere al pago

voluntario:

?El pago de la sanción pecuniaria con anterioridad a que se dicte resolución sancionadora

implicará la conformidad con los hechos denunciados y la renuncia a formular alegaciones por

parte del interesado y la terminación del procedimiento debiendo, no obstante, dictarse

resolución expresa?.

El caso de la Ley 7/2014, de 23 de Julio, de Protección de las personas consumidoras

y usuarias de les Illes Balears, no es diferente cuando establece la aplicación de una

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

59/61

reducción ?si el presunto responsable presta su conformidad al contenido de la

resolución de inicio y justifica el ingreso del citado importe durante los quince días

siguientes a su notificación?; si bien contempla expresamente la aplicación de una

reducción inferior si la conformidad se presta en relación con el contenido de la

propuesta de resolución, cosa que la Ley 39/2015 no hace.

Entiende, asimismo, MERCADONA que su interpretación del citado precepto viene

avalada por los Tribunales, y cita tres sentencias. Dos de ellas, la STS 232/2021, de

18 de febrero, (recurso de casación 2201/2020), y la dictada por el Tribunal Superior

de Justicia de Madrid, Sala de lo Contencioso-administrativo, núm. 79/2020, de 6 de

febrero, no contienen el pronunciamiento expresado por la reclamada (la STS fija

como doctrina ?la renuncia o el desistimiento que se exigen en el artículo 85 de la Ley

39/2015 para poder beneficiarse de la reducción en el importe de la sanción se

proyectan única y exclusivamente sobre las acciones o recursos contra la sanción a

ejercitar en la vía administrativa y no en la judicial?); y la tercera se refiere a un

supuesto en el que el recurrente reconoció su responsabilidad en el escrito de

alegaciones al acuerdo de inicio del expediente sancionador.

En otro orden, debe señalarse que el Informe del Gabinete Jurídico de la Junta de

Andalucía que se cita en las alegaciones a la propuesta de resolución se refiere al

pago voluntario de la sanción (artículo 85.2 de la Ley 39/2015) y no al reconocimiento

de la responsabilidad.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de

graduación de las sanciones cuya existencia ha quedado acreditada,

la Directora de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a la entidad MERCADONA, S.A., con NIF A46103834, por una

infracción del artículo 12, en relación con el artículo 15, ambos del RGPD, tipificada en

el artículo 83.5.b) y calificada como leve a efectos de prescripción en el artículo 74.c)

de la LOPDGDD, una multa de 70.000 euros (setenta mil euros).

SEGUNDO: IMPONER a la entidad MERCADONA, S.A., por una infracción del

Artículo 6 del RGPD, tipificada en el artículo 83.5.a) y calificada como muy grave a

efectos de prescripción en el artículo 72.1.b) de la LOPDGDD, una multa de 100.000

euros (cien mil euros).

TERCERO: REQUERIR a la entidad MERCADONA, S.A. para que, en el plazo de un

mes, contado desde la notificación de la presente resolución, adecúe su actuación a la

normativa de protección de datos personales, con el alcance expresado en el

Fundamento de Derecho IX, y justifique ante esta Agencia Española de Protección de

Datos la atención del presente requerimiento. En el texto de la resolución se

establecen cuáles han sido las infracciones cometidas y los hechos que han dado

lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con

claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de

procedimientos, mecanismos o instrumentos concretos para implementarlas

corresponda a la parte sancionada, pues es el responsable del tratamiento quien

conoce plenamente su organización y ha de decidir, en base a la responsabilidad

proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

60/61

CUARTO: NOTIFICAR la presente resolución a la entidad MERCADONA S.A.

QUINTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una

vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el

art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo

Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago

voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado

por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003,

de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número

de procedimiento que figura en el encabezamiento de este documento, en la cuenta

restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia

Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso

contrario, se procederá a su recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra

entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago

voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se

encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago

será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente

Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la

LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los

interesados podrán interponer, potestativamente, recurso de reposición ante la

Directora de la Agencia Española de Protección de Datos en el plazo de un mes a

contar desde el día siguiente a la notificación de esta resolución o directamente

recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la

Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de

la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la

Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el

día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la

referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se

podrá suspender cautelarmente la resolución firme en vía administrativa si el

interesado manifiesta su intención de interponer recurso contencioso-administrativo.

De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante

escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través

del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb

/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la

citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la

documentación que acredite la interposición efectiva del recurso contenciosoadministrativo.

Si la Agencia no tuviese conocimiento de la interposición del recurso

contencioso-administrativo en el plazo de dos meses desde el día siguiente a la

notificación de la presente resolución, daría por finalizada la suspensión cautelar.

938-100322

Mar España Martí

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

61/61

Directora de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es