1/12 Expediente N.º: EXP202514775 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 28 de julio de 2025 ante esta Agencia y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) ejerció el derecho de Acceso frente a MERCADONA, S.A. (en adelante, la parte reclamada) sin que su solicitud haya recibido la contestación legalmente establecida. La parte reclamante manifiesta que en fecha 19 de mayo de 2025 remitió al delegado de protección de datos de la parte reclamada a través de correo electrónico solicitud de acceso a las grabaciones de la entrada con su vehículo a un establecimiento de la parte reclamada en el Mercado de ***LOCALIDAD.1 (Alicante). Señala que recibió contestación en fecha 29 de mayo de 2025 donde únicamente le comunicaban que habían procedido a bloquear dichas grabaciones, sin facilitarle el acceso, ni facilitarle ninguna otra explicación al respecto. Considera que la respuesta obtenida supone una obstrucción a su derecho de acceso. Aporta copia de su documento de identidad, documento acreditativo de la propiedad del vehículo con el que accedió al establecimiento de la parte reclamada cuyo sistema de videovigilancia grabó a dicho vehículo, solicitud de acceso, correo de remisión de su solicitud y respuesta obtenida. La respuesta de 29 de mayo de 2025 señala literalmente: “(…) se ha procedido a bloquear las imágenes del tramo indicado tal y como se ha solicitado (…)”. El 13 de enero de 2026 la parte reclamante vuelve a remitir toda la documentación ya aportada en la reclamación de 28 de julio de 2025 que presentó ante esta Agencia. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. En su escrito de respuesta a las actuaciones de traslado de 18 de septiembre 2025, la parte reclamada señala: “En fecha 19 de mayo de 2025, la parte reclamante remitió nueva solicitud de acceso a las grabaciones relativas a la entrada de su vehículo (aportando la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/12 titularidad de éste) en el establecimiento de Mercadona, sito en ***LOCALIDAD.1 (Alicante), mediante correo electrónico. En dicha solicitud, el reclamante aporta datos coincidentes en cuanto a su solicitud del día 12/5 (mismo día, y misma franja horaria). Una vez verificado y confirmado el bloqueo de las imágenes con la división de Seguridad, en fecha 29 de mayo de 2025 se da respuesta al reclamante por correo electrónico de forma concisa, informándole que las imágenes permanecían bloqueadas de los accesos de entrada/salida de vehículos, únicas cámaras de las que dispone el aparcamiento. Se informa a esta Agencia que Mercadona, S.A. ha dado respuesta al reclamante con motivo del traslado de su reclamación efectuado por la AEPD. En concreto, en fecha 3 de octubre, se remitió comunicación al reclamante a través del mismo canal utilizado en sus anteriores solicitudes, confirmando que las imágenes correspondientes a los accesos del establecimiento de ***LOCALIDAD.1 (Alicante) permanecen bloqueadas y reiterando la información ya facilitada en las comunicaciones anteriores. Con dicha respuesta, Mercadona ha atendido la reclamación trasladada, proporcionando al interesado una contestación clara, completa. Se adjunta como DOCUMENTO UNO, copia de la comunicación remitida al reclamante, a efectos de acreditar la respuesta ofrecida en cumplimiento del requerimiento de esta Agencia”. Adjunta correo electrónico de 3 de octubre de 2025 dirigido a la parte reclamante en la que se indica: “(…) de conformidad con la normativa de protección de datos, el derecho de acceso es el derecho del afectado a obtener información sobre si éstos están siendo objeto de tratamiento, así como otras cuestiones sobre ellos, pero no de información de terceros. Atendiendo de que las cámaras de videovigilancia están configuradas de manera que únicamente registran la zona específica de las barreras de acceso y, en su caso, la parte delantera/posterior del vehículo necesaria para la identificación de la matrícula, consultados nuestros ficheros, le informamos que de conformidad con el art. 5.2 de la Instrucción 1/2006, de 19 de enero, sobre tratamiento de datos personales con fines de video vigilancia a través de sistemas de cámaras o videocámaras de la Agencia Española de Protección de datos, no podemos facilitarle la copia de las imágenes solicitadas tras comprobar que afectan en las grabaciones aparecen terceros. No obstante, tal y como se informó en el email de fecha 29 de mayo de este año, se procedió al bloqueo de las grabaciones (…)”. TERCERO: El resultado del trámite de traslado indicado en el Hecho anterior no permitió entender satisfechas las pretensiones de la parte reclamante. Con fecha 28 de octubre de 2025, se produjo la admisión a trámite de la reclamación presentada. Mediante acuerdo de la Presidencia de la Agencia Española de Protección de Datos de fecha 4 de febrero de 2026, se concedió a la parte reclamada trámite de audiencia, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/12 para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes, formulando, en síntesis, las siguientes alegaciones: “Se informa a esta Agencia que Mercadona, S.A. en fecha 3 de octubre, se remitió comunicación al reclamante a través del mismo canal utilizado en sus anteriores solicitudes, confirmando que las imágenes correspondientes a los accesos del establecimiento de ***LOCALIDAD.1 (Alicante) permanecen bloqueadas y reiterando la información ya facilitada en las comunicaciones anteriores. Con dicha respuesta, Mercadona ha atendido la reclamación trasladada, proporcionando al interesado una contestación clara, completa. Se adjunta como DOCUMENTO UNO, copia de la comunicación remitida al reclamante, a efectos de acreditar la respuesta ofrecida en cumplimiento del requerimiento de esta Agencia. No obstante, lo anterior, y con la única finalidad de ofrecer una redacción más clara, precisa y comprensible al interesado, así como de reforzar el principio de transparencia, esta parte ha procedido a remitir una nueva comunicación al reclamante, complementaria de las anteriores, sin que ello suponga alteración alguna del fondo ni reconocimiento de incumplimiento previo. En dicha comunicación complementaria se ha indicado expresamente al reclamante: • La hora exacta de entrada y la hora exacta de salida del vehículo de su titularidad en el aparcamiento del establecimiento de Mercadona sito en ***LOCALIDAD.1 (Alicante), conforme a los registros disponibles. • Que las únicas cámaras existentes en el aparcamiento son cámaras de accesos de vehículos, destinadas exclusivamente a la lectura de matrículas. • Que dichas cámaras no captan imágenes del interior del aparcamiento, no graban zonas peatonales y no permiten identificar a los ocupantes de los vehículos, ni directa ni indirectamente. En consecuencia, el tratamiento realizado se limita estrictamente a datos relativos al vehículo (matrícula y registro horario de acceso y salida), sin que exista tratamiento de imágenes de personas físicas identificadas o identificables, resultando de aplicación los principios de minimización de datos y limitación de la finalidad previstos en el artículo 5.1.
- c)y
- b)del Reglamento (UE) 2016/679. Se adjunta como DOCUMENTO DOS, la comunicación remitida al reclamante en fecha 12/02/2026.” Además de aportar copia del correo electrónico remitido el 3 de octubre de 2025, transcrito anteriormente, se adjuntó copia de un nuevo correo electrónico remitido a la parte reclamante de 12 de febrero de 2026 que coincide con los aspectos señalados por la parte reclamada en su escrito a esta Agencia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/12 CUARTO: Examinado el escrito presentado por la parte reclamada, se traslada a la parte reclamante, para que, en el plazo de diez días hábiles formule las alegaciones que considere oportunas, formulando, en síntesis, las siguientes alegaciones: “PRIMERA. - CLARIDAD Y REITERACIÓN INEQUÍVOCA DEL EJERCICIO DEL DERECHO DE ACCESO El día 19 de mayo de 2025 este compareciente ejercitó el derecho de acceso respecto de las grabaciones que pudieran captar imágenes del vehículo de su titularidad (matrícula, modelo y demás elementos identificativos), así como su propia imagen personal, en el establecimiento de Mercadona S.A. sito en ***LOCALIDAD.1 el día 9 de mayo de 2025 en torno a las 12:00 horas. Mercadona S.A. pretende ahora confundir el alcance de dicha solicitud mezclándola con otra petición distinta formulada el 9 de mayo de 2025 en nombre de mi representada, B.B.B., quien otorgó apoderamiento a este compareciente. Aquella solicitud fue realizada en representación de tercera persona y con objeto diferente. La reclamación presentada ante esta Agencia se refiere exclusivamente al derecho de acceso ejercitado por este compareciente a título individual con fecha 19 de mayo de 2025 respecto de sus datos personales. Resulta improcedente la confusión interesada de ambas solicitudes, pues se trata de dos peticiones autónomas. Mercadona S.A. conoce perfectamente esta circunstancia, habida cuenta de que en la solicitud de 19 de mayo de 2025 se interesó expresamente el acceso a los datos personales de este compareciente, acreditándose incluso mediante certificación del Registro de Bienes Muebles la titularidad del vehículo, propiedad de este compareciente, con el que se accedió al establecimiento. Aprovecha Mercadona S.A. la reclamación formulada en nombre de mi representada para negar el derecho de acceso ejercido a título individual. Asimismo, consta en la documentación aportada por Mercadona S.A. la comunicación de fecha 3 de octubre de 2025 en la que este compareciente reiteró el ejercicio del derecho de acceso, concretando nuevamente la petición. Del mismo modo, mediante correo electrónico de fecha 7 de octubre de 2025, este compareciente manifestó expresamente que no existía inconveniente alguno en que se procediera al pixelado o enmascaramiento de cualesquiera datos de terceros que pudieran aparecer en la grabación, eliminando así cualquier eventual obstáculo técnico para la satisfacción del derecho. Se acompaña como DOCUMENTO NÚMERO UNO captura del referido mensaje, que intencionadamente ha sido omitido por Mercadona S.A. Igualmente, el correo remitido por el Delegado de Protección de Datos de Mercadona S.A. el día 12 de febrero de 2026 fue contestado el mismo día por este compareciente, reiterando nuevamente el ejercicio del derecho de acceso y solicitando la entrega efectiva de las imágenes, sin que se haya obtenido respuesta ulterior. Se acompaña como DOCUMENTO NÚMERO DOS copia de dicho mensaje, que tampoco ha sido aportado por Mercadona S.A., pese a responderse el mismo día. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/12 En consecuencia, este compareciente ha ejercitado de forma expresa, reiterada, clara y técnicamente correcta el derecho de acceso previsto legalmente, solicitando copia de las imágenes en las que aparece su vehículo y su propia imagen en el acceso al aparcamiento del establecimiento de ***LOCALIDAD.1, sin que dicho derecho haya sido atendido en los términos legalmente exigidos. La solicitud fue formulada en tiempo y forma y clarificada y reiterada en varias ocasiones, sin ambigüedad alguna respecto de su objeto. Se desconoce la razón para obrar de manera tan contumaz, negando el derecho de acceso a este compareciente sin causa alguna. Mercadona S.A. afirma que dispone de dichas imágenes y puede precisar con detalle la hora de acceso y salida de este compareciente y su vehículo. Por tanto, ningún impedimento material ni jurídico impide que se permita el ejercicio de este derecho. SEGUNDA. – VULNERACIÓN DIRECTA DEL ARTÍCULO 15 RGPD El artículo 15.3 RGPD reconoce expresamente el derecho del interesado a obtener copia de los datos personales objeto de tratamiento. En el presente caso la matrícula del vehículo constituye dato personal, la imagen del vehículo de este compareciente constituye un dato personal y la imagen del conductor constituye dato personal. MERCADONA S.A. reconoce la existencia de tratamiento (registro de matrícula y franja horaria). Sin embargo, ha denegado la entrega de copia de la grabación, limitándose a informar del bloqueo de las imágenes. El bloqueo conforme al artículo 32 LOPDGDD no sustituye ni extingue el derecho de acceso. Es una medida de conservación, no una forma de satisfacción del derecho del interesado. La negativa reiterada a facilitar copia constituye una vulneración material del artículo 15 RGPD.” TERCERA. – APLICACIÓN INCORRECTA DEL ARTÍCULO 15.4 RGPD Y DOCTRINA CONSOLIDADA MERCADONA S.A. fundamenta su negativa en la posible aparición de terceros en las grabaciones, siendo ello jurídica y materialmente insostenible. El artículo 15.4 RGPD no permite la denegación automática del acceso por la mera presencia de terceros puesto que exige ponderación y, en su caso, la adopción de medidas técnicas de ocultación o anonimización. La doctrina constante de esa Agencia establece que la presencia de terceros obliga a aplicar técnicas de pixelado o recorte de imágenes, no siendo razón suficiente para denegar el derecho de acceso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/12 Resulta además contradictorio que, por un lado, se afirme que las cámaras únicamente captan matrícula y, por otro, se invoque la presencia de terceros como motivo impeditivo. Si no captan personas, no existen terceros. Si existen terceros, es técnicamente viable su disociación. En ninguno de los dos escenarios queda justificada la negativa absoluta que viene manteniendo Mercadona S.A. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, siguiendo el trámite previsto en el artículo 65.4 de la LOPDGDD, con carácter previo a la admisión a trámite de la reclamación de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, que da lugar al presente procedimiento, se dio traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/12 El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 28 de octubre de 2025, a los efectos previstos en su artículo 64.1 y 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. Dicha admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento. III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/12 La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. IV Derecho de acceso Conforme a lo establecido en el artículo 15 del RGPD y artículo 13 de la LOPDGDD, "el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales". Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los "datos o actividades de tratamiento a los que se refiere la solicitud". El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo 15 del RGPD). El ejercicio de este derecho se podrá considerar repetitivo si se ejerce en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos personales de que se trate, los destinatarios o categorías de destinatarios a los que podrán comunicarse los datos, el plazo previsto o criterios de conservación, la posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la autoridad de control, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular), la existencia de decisiones automatizadas, incluida la elaboración de perfiles, e información sobre transferencias de datos personales a un tercer país o a una organización internacional. La posibilidad de obtener copia de los datos personales objeto de tratamiento no afectará negativamente a los derechos y libertades de otros. V Conclusión En el supuesto aquí analizado, la parte reclamante ejerció su derecho de acceso, obteniendo respuesta el 29 de mayo de 2025 por la que, de manera implícita se denegaba el derecho solicitado, al informar de que se había procedido al bloqueo de las imágenes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/12 Posteriormente, una vez la parte reclamante había presentado reclamación ante la AEPD, el 3 de octubre de 2025 la parte reclamada remitió nueva comunicación a la parte reclamante en la que, además de insistir en que las imágenes habían sido bloqueadas, señalaba que no procedía conceder el acceso “tras comprobar que afectan en las grabaciones aparecen terceros” (sic). Finalmente, en una nueva respuesta dirigida a la parte reclamante de 12 de febrero de 2026 se facilitaba la hora de entrada y salida de esta en el parking y se aseguraba que no se produce “un tratamiento de personas físicas identificadas o identificables” puesto que las cámaras únicamente captan las matrículas de los vehículos. Sin perjuicio de las evidentes contradicciones existentes en las diferentes manifestaciones efectuadas, resulta conveniente realizar una serie de precisiones respecto al alcance y otros aspectos del derecho de acceso. En primer lugar, cabe decir que el bloqueo no elimina el derecho del reclamante a solicitar el acceso a sus imágenes, así como el deber de proporcionárselo. En este sentido se ha pronunciado, entre otras, la SAN de 13 de febrero de 2025, rec. 2255/2021, que determina lo siguiente: “Pues bien, la Sala considera acertada la interpretación que se hace por parte de la Agencia Española de Protección de Datos, en el sentido de que los datos personales sometidos a la modalidad del bloqueo no permiten su tratamiento, pero no implica que no se puedan poner a disposición del afectado los datos que el responsable dispuso y trató mientras perduró la relación contractual, por si de ello, puedan surgir responsabilidades derivadas de su tratamiento o por considerar que es más garantista poder facilitar los datos personales que se encuentran bloqueados para conocimiento del interesado. El titular de los datos de carácter personal debe tener derecho de acceso a los mismos, aunque se encuentren bloqueados, salvo las circunstancias que impliquen automáticamente su borrado físico, cosa que no es el caso, como lo demuestra el hecho de que la parte actora en las alegaciones de fecha 27 de mayo de 2021 que presentó en la Agencia Española de Protección de Datos, aportó los datos que solicitaba el reclamante (folios 117 y siguientes del expediente administrativo). Hay que tener en cuenta que en los supuestos del art. 32 de la LOPDGDD, los datos bloqueados quedan a disposición de los Tribunales, el Ministerio Fiscal u otras Administraciones públicas competentes, en particular las autoridades de protección de datos, para las exigencias de posibles responsabilidades derivadas del tratamiento y por el plazo de prescripción de estas. Pero, dicha situación no implica que dichas autoridades puedan llevar a cabo un tratamiento de datos, sino que en el caso de una controversia o cualquier acción que se necesite llevar a cabo por las autoridades competentes en la materia, puedan conocer que datos disponían y el tratamiento que se llevó a cabo. Lo mismo acontece cuando el titular de los datos tiene derecho a conocer el tratamiento que se llevó a cabo mientras perduro el mantenimiento de aquellos en el fichero del recurrente, no encontrándonos en un supuesto de tratamiento de datos, como aduce la parte actora. Hay que tener en cuenta que no se solicita que se desbloquen los datos, sino que se facilite al reclamante el derecho de acceso, no conllevando ello un tratamiento de los datos”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/12 Por otra parte, el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos (LOPDGDD), otorgan el derecho a la parte reclamante a acceder a las imágenes en las que aparece. El hecho de que aparezcan terceros no es motivo suficiente para denegar el acceso, debiendo la parte reclamada proceder a pixelar o difuminar a otras personas cuyos datos personales se vean afectados o, incluso, permitir el visionado in situ sin facilitar copia si no es técnicamente posible editar. En este sentido, las Directrices 01/2022 sobre los derechos de los interesados — Derecho de acceso se pronuncian al respecto en los siguientes términos: “173. Por lo que se refiere al considerando 4 del RGPD y a la justificación del artículo 52, apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea, el derecho a la protección de los datos personales no es un derecho absoluto98. Por lo tanto, el ejercicio del derecho de acceso también debe ponderarse con respecto a otros derechos fundamentales de conformidad con el principio de proporcionalidad. Cuando la evaluación del artículo 15, apartado 4, del RGPD demuestre que el cumplimiento de la solicitud tiene efectos negativos en los derechos y libertades de otros participantes (fase 1), deben sopesarse los intereses de todos los participantes teniendo en cuenta las circunstancias específicas del caso y, en particular, la probabilidad y gravedad de los riesgos presentes en la comunicación de los datos. El responsable del tratamiento debe intentar conciliar los derechos en conflicto (fase 2), por ejemplo, mediante la aplicación de medidas adecuadas que mitiguen el riesgo para los derechos y libertades de otros. Como se subraya en el considerando 63, la protección de los derechos y libertades de otros en virtud del artículo 15, apartado 4, del RGPD, no debe tener como resultado la negativa a facilitar toda la información al interesado. Esto significa, por ejemplo, cuando se aplica la limitación, que la información relativa a otras personas debe hacerse ilegible en la medida de lo posible en lugar de negarse a facilitar una copia de los datos personales. Sin embargo, si es imposible encontrar una solución de conciliación de los derechos pertinentes, el responsable del tratamiento debe decidir en un siguiente paso cuál de los derechos y libertades en conflicto prevalece (fase 3)”. Por último, en relación con la tercera respuesta por la que se señala que no se captan imágenes de personas físicas, por lo que no se estaría produciendo un tratamiento de datos personales, no puede sino resaltarse que lo anterior resultaría incongruente con el bloqueo de los datos a los que había hecho anteriormente la parte reclamante en sus respuestas anteriores. Asimismo, no puede ignorarse que el concepto de dato de carácter personal ha de interpretarse en un sentido amplio. Sea como fuere, aun cuando no se estuviese produciendo un tratamiento de datos personales, una adecuada respuesta al derecho de acceso exigiría que, por parte del responsable, se remitiera una contestación por la que se confirmara que no se está produciendo un tratamiento de datos personales, lo que tampoco ha quedado claro en el presente supuesto. Las mencionadas Directrices se pronuncian de la siguiente manera: “17. El artículo 15, apartados 1 y 2, contiene los tres aspectos siguientes: en primer lugar, la confirmación de si se están tratando datos personales del solicitante, en caso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/12 afirmativo, en segundo lugar, el acceso a dichos datos y, en tercer lugar, la información sobre el tratamiento. Pueden considerarse tres componentes diferentes que, juntos, construyen el derecho de acceso. 18. Al presentar una solicitud de acceso a datos personales, lo primero que deben saber los interesados es si el responsable del tratamiento trata o no datos que les conciernen. Por consiguiente, esta información constituye el primer componente del derecho de acceso en virtud del artículo 15, apartado 1. Cuando el responsable del tratamiento no trate datos personales que conciernan al interesado que solicita el acceso, la información que debe facilitarse se limitará a confirmar que no se están tratando datos personales que le conciernen. (…)” Sin olvidar que, en caso de que sí se estuviera produciendo un tratamiento de datos personales una adecuada contestación al derecho de acceso ejercitado requeriría la confirmación de que se están tratando los datos, el acceso a los datos propiamente dicho y el acceso a la información prevista en los artículos 15.1
- a)a
- h)y 15.2 del RGPD. Sin perjuicio de que existan supuestos en los que quepa denegar la solicitud de forma motivada. Estos elementos no se encuentran presentes en ninguna de las respuestas de la parte reclamada, ni siquiera en aquellas en las que sí reconocía la existencia de un tratamiento de datos personales. Por tanto, en el presente caso, analizado el contenido de las diferentes respuestas facilitadas por la parte reclamada al derecho de acceso ejercitado por la parte reclamante, se subraya que ninguna de ellas puede entenderse como un adecuado cumplimiento del deber de contestación al derecho de acceso ejercitado, ni formalmente ni en cuanto al fondo, por las razones anteriormente señaladas. En consecuencia, procede estimar la reclamación formulada. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por A.A.A. al considerar que se ha infringido lo dispuesto en el Artículo 15 del RGPD e instar a MERCADONA, S.A. con NIF A46103834, para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita a la parte reclamante certificación en la que se atienda el derecho solicitado o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de una infracción del art. 83.6 del RGPD, calificada como muy grave a los efectos de prescripción en el artículo 72.1.
- m)de la LOPDGDD, que se sancionará de acuerdo con el art. 58.2 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a MERCADONA, S.A. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/12 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1381-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es