PA-00037-2023

1/14  Expediente N.º: EXP202213704 RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 15 de noviembre de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra HOTEL TURIA, S.A. con NIF A46388245 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que en fecha 5 de noviembre de 2022 solicitó por correo electrónico, a la parte reclamada, acceso a las grabaciones del sistema de videovigilancia del parking donde se encontraba aparcado su vehículo, entre los días 2 y 5 de noviembre de 2022, así como la limitación de su tratamiento, para su conservación. En fecha 10 de noviembre de 2022 recibió contestación en la que le indicaban que no conservaban imágenes de dicho periodo y se contradecía al señalar que las cámaras únicamente son de visionado y vigilancia, si bien en el mismo texto señalaban que en ocasiones se ponen a disposición del juzgado, lo que pone de manifiesto que sí se haría un tratamiento de conservación de imágenes. Entiende la parte reclamante que no se ha atendido adecuadamente su petición. Junto a la notificación se aporta correo electrónico en el que ejercita sus solicitudes de acceso y limitación y copia de la respuesta obtenida. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido por el responsable en fecha 2 de enero de 2023, como consta en el acuse de recibo que obra en el expediente. En fecha 12 de enero de 2023 y 2 de febrero de 2023 se recibe escrito de respuesta indicando que: “el plazo de conservación de las imágenes es de 24/48 horas por lo que no pudieron atender la solicitud de la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 Además, por un error humano, la persona que contestó la solicitud de la parte reclamante no era la encargada de protección de datos, por lo que su contestación pudo no estar ajustada a la materia”. En el escrito del 02/02/23 informa a esta Agencia “que para evitar nuevas incidencias, han decidido contratar los servicios de una consultora experta en protección de datos que tras realizar un estudio de las deficiencias en la organización de la parte reclamada ha elaborado un plan de trabajo con diferentes fases: implantación de un protocolo de solicitud de consentimiento y cumplimiento obligación de informar ajustado a la normativa de protección de datos; implantación de un protocolo de atención de los derechos de protección de datos que incluye un canal específico para su tramitación y respuesta; establecimiento de una conciencia de protección de datos en sus trabajadores mediante cursos y formación al respecto; adecuación de la página web corporativa a las exigencias de la normativa de protección de datos; inclusión de cláusulas en los contratos firmados con terceros que tengan acceso a datos de los clientes en los que la parte reclamada actúe como encargado de tratamiento; implantación de políticas de privacidad para todos los colectivos cuyos datos sean objeto de tratamiento; implantación de una política de retención de datos ajustada a las necesidades de la organización; confección del registro de actividades de tratamiento; firma de cláusulas de confidencialidad con los trabajadores y resto de colectivos con acceso a datos acordes con la normativa de protección de datos; revisión e implantación de medidas técnicas y organizativas apropiadas a los principios de protección de datos que garanticen el nivel de seguridad apropiado a los distintos tratamientos de datos; realización de análisis de riesgos sobre los tratamientos llevados a cabo por la entidad; implantación del Protocolo de actuación ante incidentes de seguridad que afecten a datos personales con conformación de Comité de seguridad; implantación de políticas de uso de dispositivos y manual de medidas de seguridad difundidas en la organización”. TERCERO: Con fecha 15 de febrero de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante remitiéndose comunicación al respecto al reclamante. CUARTO: El día 7 de marzo de 2023, tras analizarse la documentación que obraba en el expediente, se dictó resolución por la Directora de la Agencia Española de Protección de Datos, acordando el archivo de la reclamación. La resolución fue debidamente notificada a la parte recurrente en dicha fecha, según consta acreditado en el expediente. QUINTO: El día 3 de abril de 2023, la parte reclamante interpone recurso potestativo de reposición contra la resolución de archivo de su reclamación y aduce lo que a su derecho conviene. En particular, indica que solicitó el acceso a las imágenes de videovigilancia de los días 2 a 5 de noviembre el mismo día 5 de noviembre de

1. La contestación cinco días más tarde fue lo que produjo la eliminación de las imágenes, ya que la parte reclamada las mantenía durante 24/48 horas. Por ello, considera que existió una vulneración de sus derechos por obstrucción. Asimismo, considera no ajustada a derecho la actuación de la AEPD al no darle traslado de la respuesta de la parte reclamada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 SEXTO: El día 17 de julio de 2023, se remitió el recurso interpuesto por la parte reclamante al HOTEL TURIA en el marco de lo establecido en el artículo 118.1 de la LPACAP, a los efectos de que formulase las alegaciones y presentase los documentos y justificantes que estimase procedentes, lo que se ha verificado mediante escrito de respuesta de fecha 28 de julio de
2. En su escrito, la parte reclamada reitera las alegaciones aducidas con anterioridad e informa de que se ha procedido a la adopción de medidas de eficiencia en supuestos similares al reclamado, como la ampliación del plazo de conservación de las imágenes de videovigilancia a 10 días así como a la actualización del protocolo de respuesta ante el ejercicio de derechos de los interesados, y a la contratación de servicios de formación en protección de datos personales para formar debidamente a los empleados de la entidad SÉPTIMO: El día 4 de septiembre de 2023, la Directora de la Agencia Española de Protección de Datos resuelve estimar el recurso de reposición interpuesto por el reclamante contra la resolución de esta Agencia de 7 de marzo de 2023 por la que se acordaba el archivo de la reclamación referida a HOTEL TURIA, a fin de que prosiga su tramitación OCTAVO: Con fecha 10 de mayo de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a la parte reclamada, por la presunta infracción del artículos 15 y 18 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), tipificadas en el artículo 83.5 del RGPD. NOVENO: La notificación del citado acuerdo de iniciación, que se practicó conforme a las normas establecidas en la LPACAP, fue recogida en fecha 13/05/2024 como consta en el acuse de recibo que obra en el expediente. DÉCIMO: En fecha 20 de mayo de 2024 se recibe escrito de alegaciones de la parte reclamada en el que, en síntesis, se recogen las siguientes consideraciones: Comienza reiterándose en lo alegado con anterioridad respecto a la atención de los derechos del reclamante en el plazo establecido aun cuando en su respuesta se diera a entender que se procedía a la conservación de las imágenes al indicarle que, en ocasiones, se ponían a disposición de los juzgados. Explica nuevamente que les resultó imposible atender el derecho de acceso por cuanto las imágenes ya habían sido eliminadas cuando se solicitó el mismo puesto que, según afirma ahora, se conservan durante un plazo de 72 horas desde su obtención, salvo que fueran requeridas por las Fuerzas y Cuerpos de Seguridad del Estado o Tribunales o Juzgados. A continuación, alude al hecho de que se produjo un error humano en la respuesta, pues la persona que gestionó el derecho de acceso no era la designada al efecto y ésta no fue acorde con las exigencias de la normativa de protección de datos. Manifiesta igualmente que se ha procedido a ampliar el plazo de conservación de las imágenes para garantizar la protección de las libertades públicas y derechos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 fundamentales de las personas y el cumplimiento de la normativa de protección de datos. En su tercera alegación, afirma que contaba con medidas para garantizar la seguridad de la información con anterioridad a los hechos reclamados puesto que a principios del año 2019 contrató los servicios de una consultoría de protección de datos que facilitó una serie de documentación y protocolos que fueron debidamente implementados por la parte reclamada. Asimismo, se formó al personal en materia de protección de datos. Por último, incide en su compromiso con la protección de datos personales y afirma que ha seguido un proceso de actualización continua de protocolos y políticas de respuesta ante el ejercicio de derechos, respuesta ante violaciones de seguridad, medidas de seguridad, textos legales de la página web, retención de datos personales, documentos de confidencialidad (trabajadores, proveedores…), así como todo tipo de cláusulas legales, autorizaciones, carteles informativos, etc. Concluye su escrito solicitando la estimación de sus alegaciones y el consiguiente archivo del presente procedimiento. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: El 5 de noviembre de 2022 el reclamante ejercitó, mediante correo electrónico, derecho de acceso y de limitación respecto a las imágenes grabadas por una cámara de videovigilancia situada en un parking de la reclamada. SEGUNDO: El 10 de noviembre de 2022, en contestación a la mencionada solicitud, la reclamante asegura no poder atender lo solicitado al haberse eliminado las imágenes. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.3 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 II Contestación las Alegaciones En respuesta al escrito de alegaciones de la parte reclamada se procede, en primer lugar, a dar contestación a las mismas. En relación con su primera alegación relativa a las alegaciones presentadas durante el traslado de la reclamación, no queda sino reiterarse en lo ya señalado respecto a la imposibilidad de considerar que ello implica la no vulneración de los derechos de acceso y limitación ejercidos. Y es que la normativa es clara al respecto: al recibir una solicitud de ejercicio de derechos, la entidad responsable debe evaluarla de forma individual para determinar su contenido específico, teniendo en cuenta para ello que la obligación de facilitar el ejercicio de los derechos de los interesados prevista en el artículo 12.2 del RGPD conlleva que el responsable otorgue el efecto más amplio posible al derecho ejercitado. Esa evaluación debe fijar en primer término los datos personales a que se refiere la solicitud. Como regla, deberá entenderse que la solicitud se refiere a todos los datos, salvo que el interesado especifique claramente otra cosa y esta limitación, recogida en la solicitud, no plantee dudas sobre la verdadera voluntad del interesado que obliguen al responsable a interpretarla. En la determinación del objeto al que se refiere la solicitud puede considerarse el contexto en el que se produce, las circunstancias específicas del caso y cualquier información que el interesado incluya en la misma. Se trata de que la evaluación que realice el responsable sobre el contenido de la solicitud de ejercicio de derechos sea clara e inequívoca, teniendo siempre presente que un ciudadano medio no conoce con detalle la normativa ni puede valorarla adecuadamente, dada su complejidad Si la solicitud se expresa en términos muy generales o no pudiera determinarse su objeto, por la razón que fuere, el responsable no podrá aplicar límites o restricciones al derecho ejercitado y vendrá obligado, antes de responder, a solicitar al interesado información adicional para que especifique la información o los tratamientos a que se refiere la solicitud. La evaluación que realice la entidad responsable debe reflejar siempre la situación en el momento en que recibió la solicitud, garantizando así que la respuesta se ajuste a la información disponible en dicho momento. En cuanto al tiempo de respuesta, el responsable viene obligado también a establecer procedimientos que posibiliten atender las solicitudes sin dilación indebida, adaptando dichos procedimientos a las circunstancias del tratamiento. Cuando los datos se conserven durante un período corto de tiempo, la atención de los derechos tiene que producirse antes de la supresión de los datos, evitando que esta supresión tenga lugar durante la tramitación de la solicitud. En estos casos, si fuera necesario solicitar información adicional al interesado sobre el objeto de su reclamación, deberá tenerse en cuenta la supresión de los datos programada y adoptar las medidas oportunas para que no se produzca sin antes atender el derecho. Así, si no fuera posible enviar la preceptiva respuesta al interesado antes de la supresión de los datos personales prevista, los datos deberán conservarse por más C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 tiempo del establecido o deberá haberse previsto su recuperación, con la sola finalidad en ambos casos de atender el derecho. Es decir, puesto que el reclamante había ejercido sus derechos de acceso y limitación respecto a las imágenes de las cámaras del parking, las imágenes deberían haberse, cuando menos, conservado con el fin de dirimir si procedía o no la atención a dichas solicitudes durante el tiempo que fuera necesario para ello. Cuestión que, en el presente caso, no se produjo y que dio lugar a que no fuera posible atender la solicitud planteada. En definitiva, no puede considerarse, por tanto, que la parte reclamada atendiera el derecho a la limitación del tratamiento ejercido por la parte reclamante, por cuanto no se contestó adecuadamente a la petición de conservación de las grabaciones en cuestión, las cuales, además, debieron ser conservadas en atención a lo solicitado. Lo mismo puede decirse del derecho de acceso, que tampoco fue atendido, siendo borradas las imágenes de las cámaras. Asimismo, llama la atención de esta parte el hecho de que se hayan comunicado hasta tres plazos distintos de conservación de las imágenes por parte del reclamado. Y es que, aun cuando inicialmente se le indicó al reclamante que no se conservaban las imágenes, posteriormente se indicó a esta agencia que se conservaban durante un plazo de 24/48 horas para finalmente, en su escrito de alegaciones aducir que el plazo de conservación de 72 horas ha sido elevado a 10 días. En este sentido, se recuerda lo establecido en el artículo 22 de la LOPDGDD, en particular, su apartado tercero, conforme al cual “Los datos serán suprimidos en el plazo máximo de un mes desde su captación, salvo cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En tal caso, las imágenes deberán ser puestas a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación”. Es decir, la normativa de aplicación establece la obligación de eliminar las imágenes de videovigilancia en el plazo máximo de un mes, sin perjuicio de las excepciones en ella determinadas. Por otro lado, y en relación con la información facilitada por la parte reclamada respecto a las medidas que ha implantado con el fin de observar la normativa de protección de datos y la especial relevancia que le otorga a garantizar la protección de los datos personales, se considera que no procede emitir consideración alguna. III Derecho de acceso del interesado Los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD, así como en los artículos 13 a 18 de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 Respecto al derecho de acceso de los interesados a obtener los datos personales “que les conciernen” del responsable del tratamiento de los mismos, son de especial aplicación los artículos 12 y 15 del RGPD, así como los artículos 12 y 13 de la LOPDGDD, todo lo cual deberá interpretarse dentro del marco fijado en los Considerandos 59 a 64 del RGPD. El artículo 15 del RGPD, que regula el derecho de acceso del interesado, establece lo siguiente: "
3. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información: a. los fines del tratamiento; b. las categorías de datos personales de que se trate; c. los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales; d. de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo; e. la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento; f. el derecho a presentar una reclamación ante una autoridad de control; g. cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen; h. la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado.
4. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia.
5. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común.
6. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros." Por su parte, el artículo 13 de la LOPDGDD establece determinadas pautas para considerar atendido dicho derecho por el responsable del tratamiento de los datos personales en determinados supuestos, precisando lo siguiente: “
7. El derecho de acceso del afectado se ejercitará de acuerdo con lo establecido en el artículo 15 del Reglamento (UE) 2016/
8. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 Cuando el responsable trate una gran cantidad de datos relativos al afectado y este ejercite su derecho de acceso sin especificar si se refiere a todos o a una parte de los datos, el responsable podrá solicitarle, antes de facilitar la información, que el afectado especifique los datos o actividades de tratamiento a los que se refiere la solicitud.
9. El derecho de acceso se entenderá otorgado si el responsable del tratamiento facilitara al afectado un sistema de acceso remoto, directo y seguro a los datos personales que garantice, de modo permanente, el acceso a su totalidad. A tales efectos, la comunicación por el responsable al afectado del modo en que este podrá acceder a dicho sistema bastará para tener por atendida la solicitud de ejercicio del derecho. No obstante, el interesado podrá solicitar del responsable la información referida a los extremos previstos en el artículo 15.1 del Reglamento (UE) 2016/679 que no se incluyese en el sistema de acceso remoto.
10. A los efectos establecidos en el artículo 12.5 del Reglamento (UE) 2016/679 se podrá considerar repetitivo el ejercicio del derecho de acceso en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello.
11. Cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, la solicitud será considerada excesiva, por lo que dicho afectado asumirá el exceso de costes que su elección comporte. En este caso, solo será exigible al responsable del tratamiento la satisfacción del derecho de acceso sin dilaciones indebidas.” Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD, siendo de especial relevancia para el presente procedimiento lo establecido en el artículo 12 del RGPD sobre transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado, que dispone lo siguiente (el subrayado es nuestro): “
12. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios.
13. El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos en virtud de los artículos 15 a
14. En los casos a que se refiere el artículo 11, apartado 2, el responsable no se negará a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no está en condiciones de identificar al interesado.
15. El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, sin dilación indebida y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo.
16. Si el responsable del tratamiento no da curso a la solicitud del interesado, le informará sin dilación, y a más tardar transcurrido un mes de la recepción de la solicitud, de las razones de su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales.
17. La información facilitada en virtud de los artículos 13 y 14 así como toda comunicación y cualquier actuación realizada en virtud de los artículos 15 a 22 y 34 serán a título gratuito. Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo, el responsable del tratamiento podrá: a. cobrar un canon razonable en función de los costes administrativos afrontados para facilitar la información o la comunicación o realizar la actuación solicitada, o b. negarse a actuar respecto de la solicitud. El responsable del tratamiento soportará la carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud.
18. Sin perjuicio de lo dispuesto en el artículo 11, cuando el responsable del tratamiento tenga dudas razonables en relación con la identidad de la persona física que cursa la solicitud a que se refieren los artículos 15 a 21, podrá solicitar que se facilite la información adicional necesaria para confirmar la identidad del interesado.
19. La información que deberá facilitarse a los interesados en virtud de los artículos 13 y 14 podrá transmitirse en combinación con iconos normalizados que permitan proporcionar de forma fácilmente visible, inteligible y claramente legible una adecuada visión de conjunto del tratamiento previsto. Los iconos que se presenten en formato electrónico serán legibles mecánicamente.
20. La Comisión estará facultada para adoptar actos delegados de conformidad con el artículo 92 a fin de especificar la información que se ha de presentar a través de iconos y los procedimientos para proporcionar iconos normalizados”. Por último, el artículo 12 de la LOPDGDD, establece las disposiciones generales sobre ejercicio de los derechos, en los siguientes términos: “
21. Los derechos reconocidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, podrán ejercerse directamente o por medio de representante legal o voluntario.
22. El responsable del tratamiento estará obligado a informar al afectado sobre los medios a su disposición para ejercer los derechos que le corresponden. Los medios deberán ser fácilmente accesibles para el afectado. El ejercicio del derecho no podrá ser denegado por el solo motivo de optar el afectado por otro medio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14
23. El encargado podrá tramitar, por cuenta del responsable, las solicitudes de ejercicio formuladas por los afectados de sus derechos si así se estableciere en el contrato o acto jurídico que les vincule.
24. La prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulado por el afectado recaerá sobre el responsable.
25. Cuando las leyes aplicables a determinados tratamientos establezcan un régimen especial que afecte al ejercicio de los derechos previstos en el Capítulo III del Reglamento (UE) 2016/679, se estará a lo dispuesto en aquellas.
26. En cualquier caso, los titulares de la patria potestad podrán ejercitar en nombre y representación de los menores de catorce años los derechos de acceso, rectificación, cancelación, oposición o cualesquiera otros que pudieran corresponderles en el contexto de la presente ley orgánica.
27. Serán gratuitas las actuaciones llevadas a cabo por el responsable del tratamiento para atender las solicitudes de ejercicio de estos derechos, sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del Reglamento (UE) 2016/679 y en los apartados 3 y 4 del artículo 13 de esta ley orgánica” IV Derecho a la limitación del tratamiento El artículo 18 del RGPD regula el derecho a la limitación del tratamiento, estableciendo lo siguiente: "
28. El interesado tendrá derecho a obtener del responsable del tratamiento la limitación del tratamiento de los datos cuando se cumpla alguna de las condiciones siguientes: a. el interesado impugne la exactitud de los datos personales en un plazo que permita al responsable verificar la exactitud de los mismos; b. el tratamiento sea ilícito y el interesado se oponga a la supresión de los datos personales y solicite en su lugar la limitación de su uso; c. el responsable ya no necesite los datos personales para los fines del tratamiento, pero el interesado los necesite para la formulación, el ejercicio o la defensa de reclamaciones; d. el interesado se haya opuesto al tratamiento en virtud del artículo 21, apartado 1, mientras se verifica si los motivos legítimos del responsable prevalecen sobre los del interesado.
29. Cuando el tratamiento de datos personales se haya limitado en virtud del apartado 1, dichos datos solo podrán ser objeto de tratamiento, con excepción de su conservación, con el consentimiento del interesado o para la formulación, el ejercicio o la defensa de reclamaciones, o con miras a la protección de los derechos de otra persona física o jurídica o por razones de interés público importante de la Unión o de un determinado Estado miembro. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14
30. Todo interesado que haya obtenido la limitación del tratamiento con arreglo al apartado 1 será informado por el responsable antes del levantamiento de dicha limitación." V Obligación incumplida. Atención de solicitudes de ejercicio de derechos En el presente caso, la parte reclamante ejercitó ante la parte reclamada el derecho a limitación del tratamiento y el derecho de acceso a sus datos personales, en relación con las imágenes captadas por su sistema de videovigilancia desde el día 2 de noviembre de 2022 a las 08:30 h, hasta el día 5 de noviembre de 2022, el mismo día 5 de noviembre, debiendo haberse evitado el borrado de estas y conservándolas hasta la resolución de la reclamación amistosa o judicial. Sin embargo, conforme a la documentación obrante en el expediente, ya en la primera respuesta dada al reclamante se aduce que dichas imágenes no se han conservado. De conformidad con las evidencias de las que se dispone se considera los hechos conocidos son constitutivos de dos infracciones, imputables a la parte reclamada, por vulneración de lo dispuesto en los artículos 15 y 18 del RGPD transcritos en los fundamentos anteriores. VI Tipificación y calificación de la infracción De confirmarse, las citadas infracciones de los artículos 15 y 18 del RGPD, estas podrían suponer la comisión de la infracción tipificada en el artículo 83.5.b) del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: que considera infracción las infracciones de las disposiciones de los derechos de los interesados a tenor de los artículos 12 a 22 (art. 83.5.b RGPD). Los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada, según lo dispuesto en los artículos 15 y 18 del RGPD transcritos en los fundamentos anteriores. A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72.k). de la LOPDGDD, que califica de muy grave la siguiente conducta: “k) El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679”. VII Apercibimiento Sin perjuicio de lo dispuesto en el apartado artículo 83 del RGPD, esta Agencia, actuando como autoridad de control, dispone de la potestad de apercibimiento, de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 acuerdo con lo previsto en el citado Reglamento, que dispone en el apartado 2.b) del artículo 58 “Poderes” lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…) b) dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)” (...) d) ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; Asimismo, el artículo 64 de la LOPDGDD que regula la “Forma de iniciación del procedimiento y duración”, en su apartado tercero dispone que: “
31. Cuando así proceda en atención a la naturaleza de los hechos y teniendo debidamente en cuenta los criterios establecidos en el artículo 83.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, la Agencia Española de Protección de Datos, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento, así como ordenar al responsable o encargado del tratamiento que adopten las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos de una determinada manera y dentro del plazo especificado. El procedimiento tendrá una duración máxima de seis meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones. Será de aplicación en este caso lo dispuesto en los párrafos segundo y tercero del apartado 2 de este artículo.” Atendidas las circunstancias que concurren en el presente caso, se estima que por las infracciones de los artículos infringidos procede dirigir un apercibimiento. VIII Imposición de medidas Las infracciones en la materia que nos ocupan pueden dar lugar a la imposición al responsable de la obligación de adoptar medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2.d) del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. En el presente acto se establecen las infracciones cometidas y los hechos que dan lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14 procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, procede requerir a la parte reclamada para que, en el plazo de 60 días contado desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, establezca mecanismos para asegurar que las solicitudes de ejercicio de derechos sean respondidas en todo caso, considerando el plazo de conservación de las imágenes, si este es inferior a un mes; y evitar, en caso de solicitudes de conservación y de acceso a las imágenes captadas por sus sistemas de videovigilancia, que las imágenes a las que se refieran estas solicitudes sean borradas antes de la atención del derecho y antes de que los órganos competentes puedan revisar, en su caso, las decisiones que la parte reclamada adopte al respecto. La citada entidad deberá informar a esta Agencia, en el mismo plazo, sobre las medidas adoptadas en cumplimiento de la presente resolución. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR UN APERCIBIMIENTO a HOTEL TURIA, S.A., con NIF A46388245, por las siguientes infracciones: - infracción del artículo 15 del RGPD, tipificada en el artículo 83.5.b) del mismo Reglamento, y calificada como muy grave a efectos de prescripción en el artículo 72.1.k) de la LOPDGDD. - infracción del artículo 18 del RGPD, tipificada en el artículo 83.5.b) del mismo Reglamento, y calificada como muy grave a efectos de prescripción en el artículo 72.1.k) de la LOPDGDD. SEGUNDO: ORDENAR a HOTEL TURIA, S.A., con NIF A46388245, que en virtud del artículo 58.2.d) del RGPD, en el plazo de 60 días contados desde que la presente resolución sea firme y ejecutiva, acredite haber procedido a la adopción de las medidas necesarias para adecuar su actuación a la normativa de protección de datos personales, con el alcance expresado en el Fundamento de Derecho VIII de esta resolución; y acredite ante esta Agencia, en el mismo plazo, las medidas adoptadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 TERCERO: NOTIFICAR la presente resolución a HOTEL TURIA, S.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1403-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es