1/14 Expediente N.º: EXP202515551 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 25 de julio de 2025 ante esta Agencia y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: Con fecha 25 julio de 2025 tuvo entrada en esta Agencia reclamación presentada por A.A.A. (en adelante, la parte reclamante) contra SERVICIO EXTREMEÑO DE SALUD (SES) (en adelante, la parte reclamada) por no haber sido debidamente atendido el derecho de acceso a su historia clínica y a imágenes de videovigilancia de su padre fallecido. La parte reclamante expone que mediante escrito de fecha 17 de junio de 2025, solicitó acceso a varios datos médicos, a datos del personal sanitario, y acceso a las "Grabaciones de videovigilancia (si existen) en la zona de urgencias, observación y pasillos desde las (…) horas hasta las (…) horas el día ***FECHA.1, para verificar la atención y los traslados realizados, en especial la planta donde se encontraba ingresado, hasta consulta ORL. O en su defecto cronología detallada de su traslado y recorrido"; y que a través de escrito de fecha 17 de junio de 2025, la parte reclamada le comunica que "Las grabaciones de videovigilancia no forman parte de la historia clínica están sujetas a un régimen jurídico distinto. Estas imágenes están protegidas por derecho a la intimidad y a la protección de datos personales (artículo 18.1 de Constitución Española y Reglamento General de Protección de Datos - RGPD). Solo pueden ser facilitadas en casos muy concretos, como requerimientos judiciales investigaciones oficiales, y siempre con las debidas garantías legales. Por tanto, no es posible entregar dichas grabaciones a particulares, incluso siendo familiares del fallecido, salvo orden judicial expresa" y "Lamentamos comunicarle que no es posible atender su solicitud de acceso a las imágenes de videovigilancia ni a la identificación del personal médico ni a los registros operativos internos, por estar fuera del ámbito del derecho de acceso a la historia clínica y protegidos por normativa específica de protección de datos y confidencialidad profesional". Una vez recibida la citada respuesta, la parte reclamante remitió una nueva solicitud con fecha 26 de junio de 2025, de la emisión de un certificado oficial y detallado del visionado de las mismas, indicando: "• Fecha y hora de las grabaciones revisadas. • Estancias hospitalarias implicadas. • Traslados, ingresos o movimientos relevantes de mi padre. Todo ello limitado a la figura del paciente fallecido y sin vulnerar la privacidad de terceros, conforme a lo previsto en la normativa vigente." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/14 Y que recibió respuesta mediante escrito de fecha 23 de julio de 2025, comunicando que "Tal y como ya se le comunicó en respuesta anterior, y conforme a la información proporcionada por nuestra Asesoría Jurídica, el acceso, entrega o certificación de este tipo de grabaciones se encuentra legalmente restringido. En concreto, solo puede autorizarse dicho acceso cuando exista una petición formal de una autoridad judicial o de las fuerzas y cuerpos de seguridad del Estado, en el marco de una investigación o procedimiento judicial en curso. La normativa vigente en materia de protección de datos personales y videovigilancia, tanto a nivel nacional como europeo, establece limitaciones estrictas para garantizar la protección de la privacidad de terceros y evitar cualquier uso indebido de las imágenes registradas. En consecuencia, y pese a comprender plenamente la situación personal que motiva su solicitud, no es posible emitir el certificado solicitado ni acceder a las grabaciones sin dicha autorización judicial." La parte reclamante presentó su reclamación ante esta Agencia porque considera que se ha denegado indebidamente su solicitud de acceso a las imágenes de videovigilancia y solicita que se requiera a la reclamada para que certifique la visualización sobre los movimientos y traslados realizados por su fallecido padre el día ***FECHA.1, únicamente con datos sobre su figura, sin vulnerar el derecho de terceros y se le sea entregado. La parte reclamante remitió a la parte reclamada copia del DNI, Certificación literal de inscripción de defunción y Libro de familia del fallecido. Aporta copia de las solicitudes y de las respuestas recibidas, que en lo que interesa al objeto de este procedimiento de derechos señalan lo siguiente: - Primera solicitud de fecha 17 de junio de 2025 “SOLICITO (…)
- Grabaciones de videovigilancia (si existen) en la zona de urgencias, observación y pasillos desde las (…) horas hasta las (…) horas el día ***FECHA.1, para verificar la atención y los traslados realizados, en especial la planta donde se encontraba ingresado, hasta consulta ORL. O en su defecto cronología detallada de su traslado y recorrido. Ruego conservación de estas. (…)” - Respuesta de fecha 17 de junio de 2025: “(…)
- Solicitud de imágenes de videovigilancia Las grabaciones de videovigilancia no forman parte de la historia clínica y están sujetas a un régimen jurídico distinto. Estas imágenes están protegidas por el derecho a la intimidad y a la protección de datos personales (artículo 18.1 de la Constitución Española y Reglamento General de Protección de Datos - RGPD). Solo pueden ser facilitadas en casos muy concretos, como requerimientos judiciales o investigaciones oficiales, y siempre con las debidas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/14 garantías legales. Por tanto, no es posible entregar dichas grabaciones a particulares, incluso siendo familiares del fallecido, salvo orden judicial expresa. (…) Lamentamos comunicarle que no es posible atender su solicitud de acceso a las imágenes de videovigilancia (…) por estar fuera del ámbito del derecho de acceso a la historia clínica y protegidos por normativa específica de protección de datos y confidencialidad profesional (…)” - Segunda solicitud de 26/07/2025 “(…) Que entiendo que dichas grabaciones no forman parte estrictamente de la historia clínica, pero, conforme al artículo 3 y 2.6 de la Ley Orgánica 3/2018, (…), tengo derecho como familiar directo y con interés legítimo a acceder a los datos personales del fallecido que pudieran constar en registros gestionados por su entidad. (…) Que el acceso a las grabaciones ha sido denegado en base al derecho a la intimidad y protección de datos, conforme al artículo 18.1 de la Constitución Española y el RGPD, lo cual es comprensible en lo que respecta a la entrega directa de las imágenes. No obstante, la propia LOPDGDD contempla una vía alternativa, que es la emisión de un certificado descriptivo del contenido de las grabaciones, sin necesidad de facilitar directamente las imágenes, siempre que se respete la privacidad de terceras personas. Por todo ello, SOLICITO: Que, en caso de mantenerse la negativa a facilitar las grabaciones de videovigilancia, se expida un certificado oficial y detallado del visionado de las mismas, indicando: • Fecha y hora de las grabaciones revisadas. • Estancias hospitalarias implicadas. • Traslados, ingresos o movimientos relevantes de mi padre. - Respuesta de fecha 23 de julio de 2025 remitida por la Gerencia del Área de Salud de (…): “(…) Tal y como ya se le comunicó en respuesta anterior, y conforme a la información proporcionada por nuestra Asesoría Jurídica, el acceso, entrega o certificación de este tipo de grabaciones se encuentra legalmente restringido. En concreto, solo puede autorizarse dicho acceso cuando exista una petición formal de una autoridad judicial o de las fuerzas y cuerpos de seguridad del Estado, en el marco de una investigación o procedimiento judicial en curso. La normativa vigente en materia de protección de datos personales y videovigilancia, tanto a nivel nacional como europeo, establece limitaciones estrictas para garantizar la protección de la privacidad de terceros y evitar cualquier uso indebido de las imágenes registradas. En consecuencia, y pese a comprender plenamente la situación personal que motiva su solicitud, no es posible emitir el certificado solicitado ni acceder a las grabaciones sin dicha autorización judicial.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/14 SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 29 de septiembre de 2025 como consta en el acuse de recibo que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. TERCERO: El resultado del trámite de traslado indicado en el Hecho anterior no permitió entender satisfechas las pretensiones de la parte reclamante. Con fecha 25 de octubre de 2025, se produjo la admisión a trámite de la reclamación presentada. Mediante acuerdo de la Presidencia de la Agencia Española de Protección de Datos de fecha 4 de febrero de 2026, se concedió a la parte reclamada trámite de audiencia, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes. La parte reclamada presentó un escrito ante esta Agencia con fecha 25 de febrero de 2026 indicando que: “Como se ha indicado anteriormente, ante la solicitud del reclamante, el SES proporcionó una respuesta motivada en la que se denegaba el acceso a dichas imágenes: "Lamentamos comunicarle que no es posible atender su solicitud de acceso a las imágenes de videovigilancia ni a la identificación del personal médico ni a los registros operativos internos, por estar fuera del ámbito del derecho de acceso a la historia clínica y protegidos por normativa específica de protección de datos y confidencialidad profesional". Este criterio coincide con el mostrado por la sala de lo administrativo de la Audiencia Nacional en el recurso 223/2022, en Sentencia de 10 de enero de 2024, en la que confirma una Resolución, precisamente de la Agencia Española de Protección de Datos, en la que establece que “el derecho de acceso no se configura en una vía para obtener información en torno a la identidad de tercero que, dentro de la organización del responsable del fichero, pudiera haber accedido a la historia clínica. Tampoco se configura en un medio arpa valorar si los accesos estaban adecuadamente justificados, competencia que debe ser desarrollada no por esta Agencia, sino por los órganos de gestión del Servicio de Salud, correspondiente, a quienes pueden dirigirse los afectados.” Son múltiples las ocasiones en las que esta propia Agencia de Protección de Datos, como la Audiencia Nacional e incluso otras instancias como el Tribunal Constitucional, han establecido que los derechos de protección de datos, al igual que otros, no son C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/14 derechos absolutos y que uno de los límites que deben establecerse al ejercicio de los mismos radica en el derecho de terceros. Esta cuestión es clara cuando se trata del derecho de acceso a imágenes de videovigilancia puesto que éstas toman imágenes de zonas por las que transitan varias personas y, por tanto, el ejercicio del derecho de acceso por parte de una de ellas puede entrar en conflicto con los del resto de personas que aparecen en dichas imágenes. Este motivo le fue también trasladado al reclamante como causa para no proporcionarle dichas imágenes.” La parte reclamada añade que “(…) se respondió motivadamente al reclamante justificando la negativa, ni de la incapacidad del SES para poder ejecutarlo, puesto que cuando las reclamaciones de imágenes se hacen en el marco de una investigación policial, judicial o análoga, el SES proporciona dichas imágenes en aras de cumplir con su deber de colaboración. El SES, en su condición de responsable del tratamiento de las imágenes, no sólo tiene que velar por el correcto cumplimiento de los derechos de quienes reclaman acceso a las imágenes sino también en la correcta protección de los datos de otros terceros que puedan aparecer en las mismas. Desconociendo el motivo por el que el reclamante solicitó copia de las imágenes, deben hacerse dos presunciones: - Si el motivo está relacionado con la seguridad, debiera haberse dirigido a las fuerzas y cuerpos de seguridad a quienes se le hubieran podido proporcionar. - Si el motivo está relacionado con el tratamiento de salud, ésta no forma parte del historial y su demanda no puede imponerse a los derechos de los terceros que también aparecen en las imágenes. En cualquier caso, de la solicitud inicial que hizo el reclamante, las imágenes son sólo una parte más de una reclamación que, como se puede comprobar es desproporcionada y en la que se solicita información que excede el propio derecho a la protección de datos y, es en ese marco donde debe valorarse esta solicitud; es decir, no se trata de una reclamación única de copia de unas imágenes sino que está en el marco de una solicitud mayor en la que se exige del SES información que claramente tiene restricciones de confidencialidad. CUARTA. DE LA IMPOSIBILIDAD DE ATENDER LA SOLICITUD Ocurre, además que habiendo pasado tiempo desde la solicitud, en este momento el SES no puede atender la solicitud, dado que las imágenes ya fueron borradas en cumplimiento de las obligaciones del SES como Responsable del Tratamiento de las mismas.” CUARTO: Examinado el escrito presentado por la parte reclamada, se trasladó a la parte reclamante, para que, en el plazo de diez días hábiles formulase las alegaciones que considerase oportunas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/14 La parte reclamante presentó un escrito ante esta Agencia con fecha 05 de marzo de 2026, en el que indica, en síntesis, y por lo que al presente procedimiento interesa, que: “(…) El SES no solo no facilitó dicho ejercicio, sino que vulneró materialmente mi derecho de acceso al ignorar por completo el verdadero objeto de mi solicitud del 26 de junio de
- Como consta en el expediente, mi segunda petición no exigía la entrega física de las imágenes, sino una alternativa legal y proporcional: la emisión de un certificado o transcripción escrita de los movimientos de mi padre fallecido, omitiendo datos de terceros. (…) el SES actúa como si la única forma de garantizar el derecho de acceso fuera la entrega de las grabaciones de vídeo en bruto. Esta parte entiende plenamente que los derechos de terceros deben protegerse; precisamente por ello, mi solicitud planteó la alternativa legal idónea y proporcional: un certificado descriptivo o transcripción escrita. Un documento emitido por el hospital que certifique, por ejemplo, que "el paciente D. B.B.B. ingresó en la sala X a las (…) y fue trasladado a la sala Y a las (…) según el visionado de las cámaras", tiene un impacto CERO sobre la intimidad y la imagen del resto de pacientes o del personal (…)” La parte reclamante añade que “El derecho de acceso no requiere motivación: Como bien sabe esta Agencia, el ejercicio del derecho de acceso (Art. 15 RGPD) es un derecho fundamental y de control. El interesado no tiene que justificar ni motivar para qué quiere sus datos (o los de su familiar fallecido). Que el SES se excuse en que "desconoce el motivo" demuestra que están aplicando obstáculos al ejercicio de un derecho fundamental.” QUINTA. - De la contravención del deber legal de bloqueo de datos (art. 32 LOPDGDD), la destrucción indebida de material probatorio y la inobservancia de los requerimientos formales de conservación. En su alegación CUARTA, el SES reconoce de forma explícita y documental que "las imágenes ya fueron borradas", fundamentando dicha supresión en la previa denegación del derecho de acceso, lo que, a su juicio, extinguía la "causa que legitimase su mantenimiento". Esta afirmación supone el reconocimiento notorio de una infracción tipificada en la normativa de protección de datos, derivada de una interpretación contra legem del régimen de conservación y supresión por parte del Responsable del Tratamiento.” (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/14 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, siguiendo el trámite previsto en el artículo 65.4 de la LOPDGDD, con carácter previo a la admisión a trámite de la reclamación de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, que da lugar al presente procedimiento, se dio traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida. El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 25 de octubre de 2025, a los efectos previstos en su artículo 64.1 y 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. Dicha admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/14 “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento”. III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/14 IV Derecho de acceso Conforme a lo establecido en el artículo 15 del RGPD y artículo 13 de la LOPDGDD, "el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales". Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los "datos o actividades de tratamiento a los que se refiere la solicitud". El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo 15 del RGPD). El ejercicio de este derecho se podrá considerar repetitivo si se ejerce en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos personales de que se trate, los destinatarios o categorías de destinatarios a los que podrán comunicarse los datos, el plazo previsto o criterios de conservación, la posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la autoridad de control, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular), la existencia de decisiones automatizadas, incluida la elaboración de perfiles, e información sobre transferencias de datos personales a un tercer país o a una organización internacional. La posibilidad de obtener copia de los datos personales objeto de tratamiento no afectará negativamente a los derechos y libertades de otros. V Conclusión La LOPDGDD establece en su artículo 12.
- que “
- Esta ley orgánica no será de aplicación: a) (…). b) A los tratamientos de datos de personas fallecidas, sin perjuicio de lo establecido en el artículo
- (…)” Y el artículo 3 del mismo texto legal regula que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/14 “
- Las personas vinculadas al fallecido por razones familiares o de hecho así como sus herederos podrán dirigirse al responsable o encargado del tratamiento al objeto de solicitar el acceso a los datos personales de aquella y, en su caso, su rectificación o supresión. Como excepción, las personas a las que se refiere el párrafo anterior no podrán acceder a los datos del causante, ni solicitar su rectificación o supresión, cuando la persona fallecida lo hubiese prohibido expresamente o así lo establezca una ley. Dicha prohibición no afectará al derecho de los herederos a acceder a los datos de carácter patrimonial del causante. (…)” El Tribunal Supremo, en su sentencia de 04/03/2024 (Rec. 7418/2022), interpreta esta normativa considerando que “el art. 2.2 LOPDGGD viene a reiterar la regla contenida en el Considerando 27, negando la aplicación de la Ley al tratamiento de datos de personas fallecidas, "sin perjuicio de lo establecido en el artículo 3". Por su parte, el art. 3.1 LOPD faculta al heredero para que pueda dirigirse al responsable o encargado del tratamiento y solicitar "el acceso a los datos personales del fallecido" y "en su caso, su rectificación o supresión". En virtud de esa remisión a las leyes de los Estados miembros es perfectamente posible que las normas del RGPD se apliquen al tratamiento de datos de las personas fallecidas, pues el Considerando 27 no lo prohíbe. Dicho de otro modo, en virtud de lo dispuesto en el Considerando 27 RGPD, las normas del Reglamento se aplican a la protección de datos personales de las personas vivas, pero un Estado de la UE puede dictar normas sobre el tratamiento de datos de las personas fallecidas, y ese tratamiento puede quedar sometido a las mismas reglas que se aplican a las personas vivas, entre las que se encuentra el RGPD. Avanzando en esta línea, hemos visto que el art. 2.2 LOPDGGD viene a reiterar la regla contenida en el Considerando 27, negando la aplicación de la Ley al tratamiento de datos de personas fallecidas, "sin perjuicio de lo establecido en el artículo 3". Siguiendo esta línea jurisprudencial cabe concluir que el régimen aplicable al derecho de acceso mencionado en el artículo 3.1 LOPDGGD es el mismo que con carácter general se contiene para los datos de las personas físicas en la mencionada ley. Por tanto, el artículo 3 de la LOPDGDD legitima a las personas vinculadas al fallecido por razones familiares o de hecho y de sus herederos para solicitar al responsable del tratamiento el acceso a los datos personales del fallecido, en los términos previstos en los artículos 13 de la LOPDGDD y 15 del RGPD y, en consecuencia, con la amplitud y límites que pueden oponerse al ejercicio de este derecho. Por lo tanto, la parte reclamante está legitimada para solicitar los datos de su padre fallecido. En el presente caso, la parte reclamante, aunque se dirigió a la parte reclamada solicitando acceso a la historia clínica de su padre fallecido y a las imágenes de videovigilancia, sólo reclama ante esta Agencia por no haber sido debidamente atendido su derecho a las imágenes de videovigilancia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/14 Por ello, este procedimiento sólo analizará y valorará las cuestiones relativas a esas imágenes de videovigilancia solicitadas. Tal y como señalan las Directrices 01/2022 sobre los derechos de los interesadosderecho de acceso del Comité Europeo de Protección de Datos, el derecho de acceso abarca tres componentes: i) la confirmación de si se tratan datos personales del interesado ii) el acceso a estos datos y iii) el acceso a la información sobre el tratamiento: fines, categorías de datos, duración. En el presente caso, la parte reclamante ejercitó el derecho de acceso, solicitando a la parte reclamada copia del vídeo de grabación de una cámara en un período de tiempo. En contestación a dicha solicitud, la parte reclamada le negó el acceso señalando que “Las grabaciones de videovigilancia no forman parte de la historia clínica y están sujetas a un régimen jurídico distinto. Estas imágenes están protegidas por el derecho a la intimidad y a la protección de datos personales (artículo 18.1 de la Constitución Española y Reglamento General de Protección de Datos - RGPD). Solo pueden ser facilitadas en casos muy concretos, como requerimientos judiciales o investigaciones oficiales, y siempre con las debidas garantías legales. Por tanto, no es posible entregar dichas grabaciones a particulares, incluso siendo familiares del fallecido, salvo orden judicial expresa.” Por las mismas razones, se negaba a la expedición de un certificado el que se describieran las imágenes, señalando que era necesario contar con “autorización judicial”. En este sentido, conviene señalar que si bien el artículo 120 del Real Decreto 2364/1994, de 9 de diciembre, por el que se aprueba el Reglamento de Seguridad Privada señala que las imágenes grabadas estarán “exclusivamente a disposición de las autoridades judiciales y de las dependencias de las Fuerzas y Cuerpos de Seguridad”, no excluye el derecho de acceso, cuya limitación requiere, conforme al artículo 23 del RGPD, de una medida legislativa que expresamente lo señale. Por otra parte, en esa misma respuesta de 23 de julio de 2025 la parte reclamada indicaba a la parte reclamante la imposibilidad de facilitar el acceso a las imágenes “para garantizar la privacidad de terceros”. Al respecto, se subraya que si bien el artículo 15.4 del RGPD determina que “El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros”, la parte reclamante tiene derecho a que se le facilite su imagen captada por el sistema de videovigilancia, toda vez que la imagen es un dato personal. Además, no puede obviarse que la solicitud acotaba la franja temporal solicitada a una hora y media. Así, aun cuando no hubiese sido posible aislar únicamente su imagen, la parte reclamada puede describir la escena, para no afectar a los derechos de terceros o, también, podría haber adoptado medidas técnicas destinadas a la supresión o anonimización de imágenes de terceros. Durante las alegaciones, la parte reclamada asegura que, en cualquier caso, la respuesta a la solicitud de la parte reclamante habría de ser negativa, en la medida en que las imágenes han sido suprimidas en cumplimiento de la normativa. A este respecto se señala que el artículo 120 del Real Decreto 2364/1994, de 9 de diciembre, establece un plazo de conservación de las imágenes de “quince días al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/14 menos desde la fecha de la grabación”. A esto debe añadirse que el artículo 22 de la LOPDGDD regula, desde la perspectiva de protección de datos, los tratamientos con fines de videovigilancia, estableciendo en su apartado 3 el plazo máximo de conservación de un mes. En consecuencia, en el caso que nos ocupa, previsiblemente, el plazo de conservación de las imágenes habrá de situarse, necesariamente, entre 15 y 30 días desde que tuviera lugar la grabación. Dado que la primera solicitud de acceso a las imágenes de la parte reclamante data de 17 de junio de 2025 y se refiere a grabaciones de ***FECHA.1, en el momento en el que la parte reclamante ejerció el derecho de acceso, el responsable no había procedido a la supresión de las imágenes, por lo que sí le podrían haber sido facilitadas. No obstante, debe hacerse mención en relación con las afirmaciones realizadas por la parte reclamante a que el mencionado artículo 22 de la LOPDGDD consagra que: “No será de aplicación a estos tratamientos la obligación de bloqueo prevista en el artículo 32 de esta ley orgánica”. En cuanto a las manifestaciones de la parte reclamada sobre el hecho de que no conoce los motivos por los que la parte reclamante solicitó el acceso a las imágenes, las precitadas directrices 1/2022 indican que no ha de existir (ni ser valorada por el responsable) una motivación para el ejercicio del derecho de acceso: “
- Habida cuenta del amplio objetivo del derecho de acceso, dicho objetivo del derecho de acceso no es adecuado para ser analizado como condición previa para el ejercicio del derecho de acceso por parte del responsable del tratamiento en el marco de su evaluación de las solicitudes de acceso. Así pues, los responsables del tratamiento no deben evaluar «por qué» el interesado solicita acceso, sino únicamente «qué» solicita el interesado (véase la sección 3 sobre el análisis de la solicitud) y si se tienen datos personales referentes a esa persona (véase la sección 4). Por lo tanto, por ejemplo, el responsable del tratamiento no debería denegar el acceso por que sepa o sospeche que el interesado puede utilizar los datos solicitados para defenderse ante los tribunales en caso de despido o controversia comercial con el citado responsable” Por otra parte, respecto a las manifestaciones relativas a que la solicitud de la parte reclamante era “desproporcionada”, cabe recordar que el RGPD establece la posibilidad de catalogar las solicitudes como “manifiestamente infundadas” o “excesivas”. Ahora bien, tales categorías deben interpretarse en sentido estricto y requieren, en cualquier caso, la demostración por parte del responsable, lo que no se ha producido en el presente caso. En este sentido, el CEPD señala: “
- El artículo 12, apartado 5, del RGPD permite a los responsables del tratamiento ignorar las solicitudes de derecho de acceso que sean manifiestamente infundadas o excesivas. Estos conceptos deben interpretarse en sentido estricto, ya que no deben socavarse los principios de transparencia y los derechos gratuitos de los interesados.
- Los responsables del tratamiento deben poder demostrar a la persona por qué consideran que la solicitud es manifiestamente infundada o excesiva y, si se les solicita, explicar los motivos a la autoridad de control competente. Cada solicitud debe examinarse caso por caso en el contexto en el que se presenta para decidir si es manifiestamente infundada o excesiva”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/14 En el presente caso, examinada la documentación aportada por las partes durante la instrucción del presente procedimiento, cabe concluir que la parte reclamante solicitó acceso a las imágenes de videovigilancia de su padre fallecido, y que la parte reclamada denegó el acceso solicitado de forma injustificada, debiendo haber procedido a facilitar las imágenes solicitadas, o, en su defecto, un certificado en el que se describiesen las escenas en las que este apareciese sin que esa descripción afectase a terceros. En consecuencia, procede estimar la reclamación presentada. No obstante, dado que las imágenes ya han sido suprimidas, dicho acceso no resulta posible. Sin embargo, procede que la parte reclamada conteste expresamente a la parte reclamante denegando el acceso solicitado de conformidad con la normativa en materia de protección de datos en atención a lo dispuesto en esta resolución. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por A.A.A. al considerar que se ha infringido lo dispuesto en el artículo 15 del RGPD e instar a SERVICIO EXTREMEÑO DE SALUD (SES) con NIF Q0600413I, para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita a la parte reclamante certificación en la que se atienda el derecho solicitado o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de una infracción del art. 83.6 del RGPD, calificada como muy grave a los efectos de prescripción en el artículo 72.1.m) de la LOPDGDD, que se sancionará de acuerdo con el art. 58.2 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a SERVICIO EXTREMEÑO DE SALUD (SES). De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/14 Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1381-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es