1/13 Expediente N.º: EXP202504501 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 25 de febrero de 2025 ante esta Agencia y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: Con fecha 25 de febrero de 2025 tuvo entrada en esta Agencia reclamación presentada por A.A.A. (en adelante, la parte reclamante) contra FECOSAUTO, S.L. (en adelante, la parte reclamada) por no haber sido debidamente atendido el derecho de acceso. La parte reclamante, en fecha 10 de noviembre de 2024, remitió un correo electrónico a la parte reclamada solicitando acceso a datos de grabaciones del sistema de videovigilancia en las que aparecería un establecimiento de la parte reclamada situado en la localidad de ***LOCALIDAD.1, así como copia de documento de protección de datos firmado por la parte reclamante, sin que conste que haya recibido debida contestación una vez transcurrido el plazo que, a tal efecto, establece la normativa de protección de datos. - Aporta copia de la solicitud firmada y del correo electrónico con su petición, de fecha 10/11/2024 remitido por la parte reclamante a atención.cliente@fecosauto.com indicando: “El día 8 de noviembre de 2024 desde el correo electrónico del Director de Postventa de Fecosauto se envió a mi marido un documento de orden de devolución (relativo a la orden de reparación número ***REFERENCIA.1), en el que aparece mi firma en la página 3 encima del nombre de mi marido. Estoy bastante sorprendida por varias razones:
- No recuerdo haber recibido ningún ejemplar de dicho documento ni antes, ni durante, ni después de que firmase en una tablet de su establecimiento. Sólo recibí la factura de otra orden de reparación, la ***REFERENCIA.
- El único fin de mi firma en la tablet (la cual estaba en blanco antes de firmar), según se me informó verbalmente por la empleada que me atendió (…), era única y exclusivamente justificar la devolución del coche. Pero en ningún momento me informó nadie del resto del contenido del documento, el cual no se veía en la tablet (…).
- Se ha compartido mi firma con un tercero sin mi consentimiento, independientemente de que sea mi marido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/13 Para comprobar si estoy o no en lo cierto, ya que la memoria puede fallar, solicito formalmente a FECOSAUTO SL en el escrito que adjunto, firmado por mí, lo siguiente: - Que se me permita el acceso a las grabaciones de vídeo donde aparezca yo dentro del establecimiento de FECOSAUTO SL situado en ***LOCALIDAD.1, el día ***FECHA.1, entre las ***HORA.1 y las ***HORA.2, de forma que se incluya toda la información prevista en el artículo 15.1 del Reglamento de la UE 2016/679, de conformidad también con el artículo 13 de la Ley Orgánica de Protección de Datos Personales 3/2018, antes de que transcurra el plazo legal en que las mismas se borren. - Una copia del documento de protección de datos firmado por mí donde consienta el tratamiento de mis datos (que entiendo que debe existir).” SEGUNDO: De conformidad con el artículo 65.4 de la LOPDGDD, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La parte reclamada, con fecha 25 de marzo de 2025, presentó un escrito ante esta Agencia indicando que la grabación de las cámaras sólo se guarda 5 días y que no dispone de datos ni imágenes de la reclamante. TERCERO: Una vez examinada la documentación remitida por la parte reclamada, desde esta Agencia, con fecha 25/03/2025, se le envió un nuevo escrito indicando que había determinados aspectos que era necesario aclarar, y por ello, se le otorgaba un plazo para que complementara la documentación inicialmente remitida, en particular, acreditar haber cumplido con el deber de responder a la solicitud de la parte reclamante. CUARTO: Con fecha 28/03/2025 la parte reclamada contestó a esta Agencia indicando que: “Nuestra compañía, Fecosauto, S.L. dispone de un canal habilitado exclusivamente (dpd@fecosauto.com) para que los usuarios puedan realizar este tipo de comunicaciones y separarlo así del volumen habitual de correos electrónicos del día a día de otros buzones corporativos. Este canal se informa en todos los tratamientos de datos de carácter personal publicados en la política de privacidad de nuestra página web, así como también en los carteles informativos sobre la existencia de sistemas de videovigilancia en nuestras instalaciones (se adjunta captura de pantalla de nuestra política de privacidad y también del cartel informativo sobre la existencia del tratamiento de videovigilancia ubicado en una zona visible, en concreto donde se realizó la gestión con A.A.A.). Podemos garantizar que en caso de que el ejercicio de derechos se hubiera enviado a este canal, habría sido atendido dentro del plazo establecido. A.A.A. envió su solicitud de ejercicio de derechos a un buzón genérico, en concreto al de atención.cliente@fecosauto.com, por lo que al no recibirse en el canal habilitado no llegó a la persona encargada de estas competencias en la compañía. Al enviarse al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/13 buzón de atención al cliente, conllevó a que la persona que gestiona este buzón comercial, con otras competencias diferentes asignadas, al ver que se trataba del conflicto que se mantenía con un cliente, el marido de A.A.A., derivó el asunto hacia la persona que estaba manteniendo las comunicaciones con su marido en relación con el vehículo y la reparación que se menciona, con quien se comentó la situación, pero por error no se dio respuesta al ejercicio de derechos solicitado por A.A.A.. En Fecosauto, SL, cumplimos con las normativas en materia de protección de datos y nos mostramos transparentes ante los interesados, informando siempre tanto en nuestra política de privacidad como mediante cláusulas de información de 1ª capa en documentos, correo electrónico, etc. También formamos a todos nuestros empleados al respecto, comunicándoles la existencia de un referente en esta materia dentro de la organización, pero lamentamos no haber trasladado correctamente esta solicitud al gestionar el objeto que la motiva por otro lado.” QUINTO: El resultado del trámite de traslado indicado en el Hecho anterior no permitió entender satisfechas las pretensiones de la parte reclamante por no haber quedado acreditado que la parte reclamada haya contestado expresamente a la parte reclamante, conforme lo dispuesto en el artículo 12.4 de la LOPDGDD. Con fecha 25 de mayo de 2025, se produjo la admisión a trámite de la reclamación presentada. Mediante acuerdo de la Presidencia de la Agencia Española de Protección de Datos de fecha 2 de julio de 2025, se concedió a la parte reclamada trámite de audiencia, para que en el plazo de quince días hábiles presentase las alegaciones que estimara convenientes. La parte reclamada contestó a esta Agencia con fecha 11/07/2025 señalando que: “Como explicábamos en nuestro escrito de alegaciones anterior, comprobamos que, por error, no se dio respuesta a la solicitud de acceso recibida por A.A.A. el pasado 10 de noviembre de
- Como alegamos anteriormente, este ejercicio de derechos no llegó al canal asignado para ello y la persona que lo recibió no supo atenderlo ni trasladarlo en el tiempo ni forma correcta, ya que además el asunto se estaba tratando por otro lado intercambiando correos con B.B.B., marido de A.A.A. y cliente de nuestro concesionario y ella misma, en copia en los correos. (…) En el mismo escrito de su solicitud, “se adhiere en todos sus términos” a la reclamación realizada por su marido, B.B.B. y por ello, se siguió tratando el asunto con B.B.B., con quien se habló sobre el asunto de la firma de su mujer y quien la añade en sus correos. Una vez expuestas nuestras alegaciones y dando detalles sobre el conflicto real que motiva esta denuncia ante esta Autoridad de Control, queremos dejar constancia de que no se dio respuesta a un ejercicio de derechos tratado desde la perspectiva de la Protección de datos como se debería haber hecho, pero que en ningún momento nos desentendimos del asunto y seguimos manteniendo conversaciones con nuestro cliente y A.A.A., quienes como indican en su correo, habrían retirado esta reclamación de haberles devuelto los importes económicos solicitados por la reparación realizada en su vehículo.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/13 La parte reclamada aporta diversos correos electrónicos intercambiados entre las partes relativas a la reparación de un vehículo. SEXTO: Examinado el escrito presentado por la parte reclamada, se trasladó a la parte reclamante, para que, en el plazo de quince días hábiles formulase las alegaciones que considerase oportunas. La parte reclamante presentó un escrito ante esta Agencia con fecha 14/07/2025 en el que, en síntesis, y por lo que al presente procedimiento, indica: “La solicitud de ejercicio de mi derecho de acceso se hizo correctamente al canal indicado por la propia empresa en su documentación "atencion.cliente@fecosauto.com". Anexo presupuesto de la empresa donde en la página 2 y 4 aparece dicho canal. Por otro lado, en cuanto a los motivos de mi reclamación son principalmente ejercitar mis derechos de protección de datos ya que tenía el convencimiento de que se habían vulnerado al no haber consentido en ningún momento ni el tratamiento, ni la conservación ni la difusión de mi firma. Además de ello, solicité el acceso a mis datos ya que me sentí utilizada al comprobar con posterioridad que mi firma aparecía en un documento cuyo contenido nunca había tenido a la vista y había firmado en nombre de mi marido a pesar de que no se me había informado de ello. Además, la vulneración del acceso a las grabaciones solicitadas en mi escrito inicial, impide disponer de una prueba esencial para interponer la correspondiente reclamación a la agencia de consumo competente por parte tanto de mi marido, que fue quien encargó el servicio, como por mi parte, como propietaria del vehículo objeto de la prestación del servicio. La propia empresa en sus alegaciones reconoce que mi marido, B.B.B., informó de que alguien de su entorno únicamente “pasaría a recoger el vehículo”. Pero en ningún caso mi marido consintió que se firmasen documentos relativos a una orden de reparación en conflicto. La empresa en ningún momento me informó de que estuviera firmando en nombre de mi marido un documento. Sólo me dijo que se trataba de un mero recibí. Considero negligente que la empresa “entendiese” que yo podía firmar documentos en nombre de mi marido sin informarme de ello ni solicitar la correspondiente autorización o poder.” SÉPTIMO: Otorgada audiencia a la parte reclamada, ésta contestó, con fecha 24/07/2025, que: “En respuesta a las alegaciones de A.A.A., si bien es cierto que hemos detectado que en esta hoja de presupuesto aparece un correo electrónico incorrecto, y manteniendo que reconocemos que la persona que gestiona ese buzón no supo derivarlo ni gestionarlo como se debía porque el asunto ya se estaba tratando también con su marido, damos respuesta a sus alegaciones. (…) Por otro lado, lamentamos no disponer ya de las imágenes de las cámaras de videovigilancia, pero consideramos que esas imágenes no podrían ser “prueba esencial” más que para demostrar que estuvo en nuestro concesionario, ya que el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/13 enfoque de la cámara no tiene por finalidad captar que se hace en una mesa o en un mostrador del concesionario ni vigilar a nadie de cerca, sino que su enfoque es más abierto dado que la finalidad es otra.” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, siguiendo el trámite previsto en el artículo 65.4 de la LOPDGDD, con carácter previo a la admisión a trámite de la reclamación de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, que da lugar al presente procedimiento, se dio traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida. El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 25 de mayo de 2025, a los efectos previstos en su artículo 64.1 y 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. Dicha admisión a trámite determina la apertura del presente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/13 procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento.” III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/13 IV Derecho de acceso Conforme a lo establecido en el artículo 15 del RGPD y artículo 13 de la LOPDGDD, "el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales". Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los "datos o actividades de tratamiento a los que se refiere la solicitud". El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo 15 del RGPD). El ejercicio de este derecho se podrá considerar repetitivo si se ejerce en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos personales de que se trate, los destinatarios o categorías de destinatarios a los que podrán comunicarse los datos, el plazo previsto o criterios de conservación, la posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la autoridad de control, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular), la existencia de decisiones automatizadas, incluida la elaboración de perfiles, e información sobre transferencias de datos personales a un tercer país o a una organización internacional. La posibilidad de obtener copia de los datos personales objeto de tratamiento no afectará negativamente a los derechos y libertades de otros. V Conclusión El procedimiento de derechos se instruye como consecuencia de la falta de atención de alguno de los derechos regulados en la normativa de protección de datos. Por ello, en el presente caso sólo se analizarán y valorarán los hechos relativos al ejercicio de estos derechos, quedando fuera el resto de cuestiones planteadas por las partes. En este caso, y por lo que al presente procedimiento interesa, ha quedado acreditado que la parte reclamante solicitó a la parte reclamada el acceso a las grabaciones de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/13 videovigilancia en un período concreto de tiempo, así como copia del documento firmado de consentimiento para el tratamiento de sus datos. Durante la instrucción del presente procedimiento, la parte reclamada manifestó que no contestó a la parte reclamante porque no ejercitó su derecho a través del canal que tienen establecido para ello, y que “la grabación solo se guarda 5 días” y “No disponemos de datos para eliminar de la persona que lo solicita ni de imágenes.” Aún en el caso de que el ejercicio de los derechos no se presentase mediante el canal facilitado o en la oficina correspondiente, el órgano receptor debe transmitir la solicitud recibida al Delegado de Protección de Datos asignado o al departamento encargado de la gestión de este tipo de solicitudes. Asimismo, aunque es adecuado que dicha solicitud se dirija a la dirección declarada por el responsable a efectos del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 o, a la oficina central, se considera que la recepción de la solicitud por cualquier departamento o sucursal del responsable es destino válido de la misma, conforme con el artículo 12 de LODPGDD, que dispone: “El responsable del tratamiento estará obligado a informar al afectado sobre los medios a su disposición para ejercer los derechos que le corresponden. Los medios deberán ser fácilmente accesibles para el afectado. El ejercicio del derecho no podrá ser denegado por el solo motivo de optar el afectado por otro medio.” Por parte de esta Agencia Española de Protección de Datos se ha comprobado que la dirección web a la que la parte reclamante remitió su solicitud de acceso es una de las direcciones que la parte reclamada tiene especificadas para ponerse en contacto con ella. Y aunque no era el correo establecido en la política de privacidad específicamente para el ejercicio de derechos, no impidió que dicho ejercicio de derechos fuera recepcionado por la parte reclamada tal y como reconoce cuando indica que "A.A.A. envió su solicitud de ejercicio de derechos a un buzón genérico, en concreto al de atención.cliente@fecosauto.com, por lo que al no recibirse en el canal habilitado no llegó a la persona encargada de estas competencias en la compañía. Al enviarse al buzón de atención al cliente, conllevó a que la persona que gestiona este buzón comercial, con otras competencias diferentes asignadas, al ver que se trataba del conflicto que se mantenía con un cliente, el marido de A.A.A., derivó el asunto hacia la persona que estaba manteniendo las comunicaciones con su marido en relación con el vehículo y la reparación que se menciona, con quien se comentó la situación, pero por error no se dio respuesta al ejercicio de derechos solicitado por A.A.A." Por ello, hay que considerar que el derecho fue válidamente ejercitado. Las normas antes citadas no permiten que pueda obviarse la solicitud como si no se hubiera planteado, dejándola sin la respuesta que obligatoriamente deberán emitir los responsables, aún en el supuesto de que no existan datos en los ficheros o incluso en aquellos supuestos en los que no reuniera los requisitos previstos, en cuyo caso el destinatario de dicha solicitud viene igualmente obligado a requerir la subsanación de las deficiencias observadas o, en su caso, denegar la solicitud motivadamente indicando las causas por las que no procede considerar el derecho de que se trate. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/13 Por tanto, la solicitud que se formule obliga al responsable a dar respuesta expresa en todo caso, empleando para ello cualquier medio que justifique la recepción de la contestación. Las Directrices 01/2022 sobre los derechos de los interesados —Derecho de acceso, del Comité Europeo de Protección de Datos señalan: “2.2.1 Definición del contenido del derecho de acceso
- El artículo 15, apartados 1 y 2, contiene los tres aspectos siguientes: en primer lugar, la confirmación de si se están tratando datos personales del solicitante, en caso afirmativo, en segundo lugar, el acceso a dichos datos y, en tercer lugar, la información sobre el tratamiento. Pueden considerarse tres componentes diferentes que, juntos, construyen el derecho de acceso. 2.2.1.1 Confirmación de si se están tratando o no datos personales
- Al presentar una solicitud de acceso a datos personales, lo primero que deben saber los interesados es si el responsable del tratamiento trata o no datos que les conciernen. Por consiguiente, esta información constituye el primer componente del derecho de acceso en virtud del artículo 15, apartado
- Cuando el responsable del tratamiento no trate datos personales que conciernan al interesado que solicita el acceso, la información que debe facilitarse se limitará a confirmar que no se están tratando datos personales que le conciernen. Cuando el responsable del tratamiento trate datos que conciernen a la persona solicitante, deberá confirmarlo a dicha persona. Esta confirmación podrá comunicarse por separado o incluirse como parte de la información sobre los datos personales objeto de tratamiento (véase más adelante). 2.2.1.2 Acceso a los datos personales que se están tratando
- El acceso a los datos personales es el segundo componente del derecho de acceso en virtud del artículo 15, apartado 1, y constituye el núcleo de este derecho. Se refiere al concepto de datos personales tal como se define en el artículo 4, apartado 1, del RGPD. Aparte de los datos personales básicos, como el nombre y la dirección, en esta definición puede entrar una variedad ilimitada de datos, siempre que entren en el ámbito de aplicación material del RGPD, en particular en lo que se refiere al modo en que se realiza el tratamiento (artículo 2 del RGPD). Por «acceso a datos personales» se entiende el acceso a los propios datos personales, no solo una descripción general de los datos ni una mera referencia a las categorías de datos personales tratados por el responsable del tratamiento. Si no se aplican límites o restricciones12, los interesados tendrán derecho a acceder a todos los datos tratados que les conciernan, o a partes de los datos, en función del alcance de la solicitud (véase la sección 2.3.1). La obligación de facilitar el acceso a los datos no depende del tipo o la fuente de dichos datos. Se aplica en su totalidad incluso en los casos en que la persona solicitante haya facilitado inicialmente los datos al responsable del tratamiento, ya que su objetivo es informar al interesado sobre el tratamiento efectivo de dichos datos por parte del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/13 responsable del tratamiento. El alcance de los datos personales con arreglo al artículo 15 se explica detalladamente en las secciones 4.1 y 4.
- (…)
- Por regla general, una solicitud solo puede referirse a los datos de la persona que la presenta. El acceso a los datos de otras personas solo puede solicitarse previa autorización adecuada. Ejemplo 7: El interesado X trabaja como jefe de departamento de una empresa que ofrece plazas de aparcamiento para sus directivos en un aparcamiento de empresa. Aunque el interesado X dispone de una plaza de aparcamiento permanente, cuando el interesado llega a la oficina para su segundo turno, a menudo este espacio suele estar ya ocupado por otro vehículo. Dado que esta situación es repetitiva, para identificar al conductor que ocupa su plaza sin autorización, el interesado solicita al responsable del tratamiento del sistema de videovigilancia que cubre la zona de estacionamiento de la oficina el acceso a los datos personales de este conductor. En tal caso, la solicitud del interesado X no será una solicitud de acceso a sus datos personales, ya que la solicitud no se refiere a los datos de la persona solicitante, sino a los datos de otra persona, por lo que no debe considerarse una solicitud con arreglo al artículo 15 del RGPD.” El artículo 15 del RGPD, apartados 3 y 4, dispone: “
- El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. (…)
- El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros.” La parte reclamante tiene derecho a que se le facilite su imagen captada por el sistema de videovigilancia, toda vez que la imagen es un dato personal. En el caso de que no fuese posible aislar únicamente su imagen, la parte reclamada puede describir la escena, para no afectar a los derechos de terceros. Durante las alegaciones, la parte reclamada asegura que la grabación solo se guarda 5 días. El artículo 22 de la LOPDGDD, Tratamientos con fines de videovigilancia, establece que “
- Los datos serán suprimidos en el plazo máximo de un mes desde su captación, salvo cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En tal caso, las imágenes deberán ser puestas a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/13 No será de aplicación a estos tratamientos la obligación de bloqueo prevista en el artículo 32 de esta ley orgánica.” El artículo 12.4 de la LOPDGDD, dispone que “La prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulado por el afectado recaerá sobre el responsable.” En el presente caso, examinada la documentación obrante en el expediente, no consta prueba documental alguna que permita considerar que la parte reclamada haya denegado motivadamente indicando las causas por las que no procede considerar el derecho. Así, no cabe aceptar que la respuesta que corresponda dar pueda manifestarse con ocasión de un mero trámite administrativo, como es la formulación de alegaciones con motivo del presente procedimiento, iniciado precisamente por no atender debidamente la solicitud en cuestión. Por tanto, la solicitud que se formule obliga al responsable a dar respuesta expresa en todo caso, empleando para ello cualquier medio que justifique la recepción de la contestación. Por otro lado, en relación con el derecho a obtener copia, la Sentencia del Tribunal de Justicia de la Unión Europea (Sala Primera) de 4 de mayo de 2023 declara: “1) El artículo 15, apartado 3, primera frase, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), debe interpretarse en el sentido de que el derecho a obtener del responsable del tratamiento una copia de los datos personales objeto de tratamiento implica que se entregue al interesado una reproducción auténtica e inteligible de todos esos datos. Este derecho incluye el de obtener copia de extractos de documentos, o incluso de documentos enteros, o de extractos de bases de datos, que contengan, entre otros, dichos datos, si la entrega de tal copia es indispensable para permitir al interesado ejercer efectivamente los derechos que le confiere ese Reglamento. Debe subrayarse asimismo la necesidad de que se tengan en cuenta, a este respecto, los derechos y libertades de los terceros. 2) El artículo 15, apartado 3, tercera frase, del Reglamento 2016/679 debe interpretarse en el sentido de que el concepto de «información» que contempla se refiere exclusivamente a los datos personales de los que el responsable del tratamiento debe facilitar una copia con arreglo a la primera frase de dicho apartado.” Conforme al artículo 15 del RGPD y a las Directrices 01/2022 del CEPD, el derecho de acceso exige proporcionar al interesado una respuesta clara y completa sobre si se están tratando los datos personales que le conciernen, el acceso a los datos personales, en su caso, así como suministrar información sobre el tratamiento de datos personales. Ello incluye la entrega de una copia de los datos personales reales, incluso, en determinadas ocasiones, documentos o extractos de documentos. En este sentido, según la STJUE de 4 de mayo de 2023, el derecho de acceso implica una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/13 reproducción auténtica de los datos solicitados, no una mera referencia genérica; además indica que el “derecho incluye el de obtener copia de extractos de documentos, o incluso de documentos enteros, o de extractos de bases de datos, que contengan, entre otros, dichos datos, si la entrega de tal copia es indispensable para permitir al interesado ejercer efectivamente los derechos que le confiere ese Reglamento”. En consecuencia de todo lo anteriormente expuesto, ha quedado acreditado que la parte reclamante ejercitó su derecho de acceso ante la parte reclamada a través de uno de los medios establecidos para ello, y que la parte reclamada no ha atendido dicho derecho. Las normas antes citadas no permiten que pueda obviarse la solicitud como si no se hubiera planteado, dejándola sin la respuesta que obligatoriamente deberán emitir los responsables, aún en el supuesto de que no existan datos en los ficheros o incluso en aquellos supuestos en los que no reuniera los requisitos previstos, en cuyo caso el destinatario de dicha solicitud viene igualmente obligado a requerir la subsanación de las deficiencias observadas o, en su caso, denegar la solicitud motivadamente indicando las causas por las que no procede considerar el derecho de que se trate. Por tanto, la solicitud que se formule obliga al responsable a dar respuesta expresa en todo caso, empleando para ello cualquier medio que justifique la recepción de la contestación. En consecuencia, dado que no se acompaña la necesaria justificación de la recepción de la respuesta por parte de la parte reclamante informándole sobre la decisión que haya adoptado a propósito de la solicitud de ejercicio de derechos, procede estimar la reclamación que originó el presente procedimiento. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por A.A.A. al considerar que se ha infringido lo dispuesto en el Artículo 15 del RGPD e instar a FECOSAUTO, S.L. con NIF B61059259, para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita a la parte reclamante certificación en la que se atienda el derecho solicitado o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de una infracción del artículo 83.6 del RGPD, calificada como muy grave a los efectos de prescripción en el artículo 72.1.m) de la LOPDGDD, que se sancionará de acuerdo con el artículo 58.2 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a FECOSAUTO, S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/13 Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1381-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es