PD-00277-2025

1/9  Expediente N.º: EXP202510146 (PD/00277/2025) RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 9 de mayo de 2025, ante esta Agencia y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) ejerció el derecho de acceso frente a la entidad EURO AUTOMATIC CASH, ENTIDAD DE PAGO, S.L. con CIF.: B86828845 (en adelante la parte reclamada). La parte reclamante manifiesta que solicitó a la entidad reclamada el acceso a las grabaciones de videovigilancia correspondientes al uso de un cajero automático el día 30/03/2025, en el que se produjo un incidente con su tarjeta bancaria que podría estar relacionado con un posible fallo técnico o fraude. Indica que la grabación solicitada tiene como único fin poder demostrar lo ocurrido, dado que el cajero no entregó el efectivo correspondiente a una operación, pese a que el importe fue cargado en su cuenta. Señala que la denegación del acceso le impide ejercer su derecho de defensa y verificar los hechos, máxime cuando la información es esencial para determinar la existencia de una operación fallida. La entidad reclamada denegó la solicitud de acceso mediante comunicación electrónica, alegando que “En cuanto a las grabaciones que solicita, explicarle que no se las podemos facilitar. Las grabaciones están disponibles solo bajo petición policial.” Junto al escrito de reclamación presenta, entre otra, la siguiente documentación: - Fechado el 15/04/25, correo electrónico enviado por el reclamante al Delegado de Protección de Datos de la entidad “Euro Automatic Cash”, en el que solicita acceso a sus datos personales conforme al RGPD y a la LOPDGDD, en los siguientes términos: “(…) solicito formalmente el acceso a todos los datos personales que hayan sido recopilados por el cajero automático (…) ubicado en (…) durante el 30 de marzo de 2025 entre las (…) horas y las (…) horas (…). En consecuencia, solicito especialmente el acceso a: Las grabaciones de vídeo tomadas por el cajero durante dicho intervalo de tiempo (…)” - Con fecha 21/04/25, intercambio de correos electrónicos entre la parte reclamante y la entidad reclamada donde la entidad informa que las grabaciones de videovigilancia solo se facilitan a requerimiento policial y no directamente a los clientes y la parte reclamante reitera su solicitud de acceso a las grabaciones, invocando expresamente el artículo 15 RGPD, indicando que tiene derecho a acceder a sus datos personales, incluidos los de videovigilancia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/9 SEGUNDO: En fecha 3 de julio de 2025, de conformidad con el artículo 65.4 de la LOPDGDD, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), mediante notificación electrónica el 03/07/2025 que tuvo como resultado: “sido expirada por caducidad, al superarse el plazo establecido para la comparecencia, a fecha de 14/07/25”, como consta en el justificante de recibo que figura en el expediente. Reiterándose el proceso mediante notificación electrónica con fecha 14/07/2025 que tuvo como resultado: “Fecha de acceso al contenido de la notificación: 28/07/2025”, como consta en el justificante de recibo que figura en el expediente, No consta que se haya presentado ninguna respuesta al citado traslado de la reclamación en esta Agencia. TERCERO: En fecha 9 de agosto de 2025, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: En fecha 19 septiembre se concedió a la parte reclamada trámite de audiencia, para que en el plazo de quince días hábiles presentase las alegaciones que estimara convenientes. La notificación del trámite de audiencia se practicó conforme a las normas establecidas en la LPACAP, mediante notificación electrónica el 19/09/2025 que tuvo como resultado: “Fecha de acceso al contenido de la notificación: 22/09/2025”, como consta en el justificante de recibo que figura en el expediente, QUINTO: En fecha 17 de octubre de 2025, por parte del reclamada presenta escrito de alegaciones en el que manifiesta lo siguiente: El reclamante solicitó la grabación de las cámaras de seguridad del cajero automático el 15 de abril de 2025, solicitando unas imágenes grabadas el día 30 de marzo de 2025, es decir 16 días después de la grabación cuando el Art. 120 del Reglamento de Seguridad Privada establece que el plazo máximo de mantenimiento de la grabación de las imágenes si no se ha recibido ningún tipo de requerimiento es de 15 días. El sistema de grabación de seguridad automáticamente borra las imágenes a los 15 días de su grabación y la solicitud efectuada por el reclamante se lleva a cabo 16 días después de la grabación. Euro Automatic Cash, Entidad de Pago, S.L., remitió respuesta denegatoria de la solicitud efectuada en tiempo y forma. A mayor abundamiento incluso en el supuesto de que la reclamación de las imágenes se hubiese efectuado en tiempo y forma, Euro Automatic Cash Entidad de Pago, S.L., no puede entregar copia de las mismas al reclamante sin acreditar previamente que la persona C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/9 que consta en la grabación es personalmente el reclamante y no un tercero y esto para no violar en ningún caso la normativa de Protección de Datos, dado que el reclamante puede solicitar las imágenes con unos fines distintos de los que indica y de acceder a su petición se le podía entregar la grabación de persona o personas distintas del reclamante. Las cámaras de videovigilancia de los cajeros solo pueden ser utilizadas como medio de identificación de los autores de delitos contra las personas y contra la propiedad, debiendo ser inutilizado el contenido de los soportes y las imágenes una vez transcurridos 15 días desde la grabación, salvo que las Fuerzas y Cuerpos de Seguridad competentes o en su caso las autoridades competentes dispongan lo contrario. El reclamante al parecer lo que quiere son imágenes de una persona que dice ser él para comprobar un error en el funcionamiento del cajero automático y esto es absolutamente improcedente mientras no se pueda adverar que la persona que consta en la grabación es la misma que formula la reclamación. En razón de todo lo expuesto no procede tramitar la reclamación formulada por el Sr. A.A.A. dado que resumiendo: 1.- Las imágenes de seguridad grabadas se borran de forma automática a los 15 días de su grabación salvo que se reciba algún tipo de reclamación justificada o requerimiento Judicial o Policial durante ese plazo lo cual no ocurre en el caso que nos ocupa. 2.- Incluso aunque la reclamación hubiese sido procedente y formulada en tiempo -Euro Automatic Cash, Entidad de Pago, S.L.- habría estado en la obligación de comprobar que la persona reclamante es la que consta en las imágenes grabadas sin que aparezcan terceros o terceras personas en la grabación, en cuyo caso no se habrían podido entregar ni exhibir FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, (en adelante, RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/9 II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, siguiendo el trámite previsto en el artículo 65.4 de la LOPDGDD, con carácter previo a la admisión a trámite de la reclamación de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, que da lugar al presente procedimiento, se dio traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida. El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 9 de agosto de 2025, a los efectos previstos en su artículo 64.1 y 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. Dicha admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del RGPD. III Derechos de las personas en materia de protección de datos personales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/9 Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y ss. del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. IV Derecho de acceso Conforme a lo establecido en el artículo 15 del RGPD y artículo 13 de la LOPDGDD, "el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales". Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los "datos o actividades de tratamiento a los que se refiere la solicitud". El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo 15 del RGPD). El ejercicio de este derecho se podrá considerar repetitivo si se ejerce en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/9 personales de que se trate, los destinatarios o categorías de destinatarios a los que podrán comunicarse los datos, el plazo previsto o criterios de conservación, la posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la autoridad de control, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular), la existencia de decisiones automatizadas, incluida la elaboración de perfiles, e información sobre transferencias de datos personales a un tercer país o a una organización internacional. La posibilidad de obtener copia de los datos personales objeto de tratamiento no afectará negativamente a los derechos y libertades de otros. IV Conclusión En el supuesto aquí analizado, el reclamante ejerció el derecho de acceso previsto en el artículo 15 del RGPD frente a la entidad EURO AUTOMATIC CASH, ENTIDAD DE PAGO, S.L., solicitando el acceso a las grabaciones de videovigilancia de un cajero automático en el que se produjo una incidencia en la dispensación de efectivo. La entidad reclamada denegó la solicitud, indicando que las grabaciones solo se facilitan a requerimiento policial. El reclamante reiteró su petición alegando que dichas imágenes son datos personales y resultan esenciales para esclarecer un posible fallo técnico o un posible fraude. El motivo en el que la parte reclamada basó su denegación (aun cuando luego presentara otros argumentos a esta Agencia, sin que conste que estos fueran traslados a la parte reclamante), se limitó a hacer referencia a la imposibilidad de facilitar las imágenes si no eran solicitadas por las Fuerzas y Cuerpos de Seguridad. En este sentido, si bien el artículo 120 del Real Decreto 2364/1994, de 9 de diciembre, por el que se aprueba el Reglamento de Seguridad Privada señala que las imágenes grabadas estarán “exclusivamente a disposición de las autoridades judiciales y de las dependencias de las Fuerzas y Cuerpos de Seguridad”, no excluye el derecho de acceso, cuya limitación requiere, conforme al artículo 23 del RGPD, de una medida legislativa que expresamente lo señale. En sus alegaciones, en el trámite de audiencia, la parte reclamada sostuvo que la solicitud de acceso fue presentada dieciséis días después de la grabación de las imágenes, cuando el artículo 120 del Reglamento de Seguridad Privada establece un plazo máximo de conservación de quince días, salvo requerimiento judicial o policial. Añade que el sistema de videovigilancia borra automáticamente las grabaciones transcurrido dicho plazo. Asimismo, la entidad argumenta que, aun en el supuesto de haber recibido la solicitud dentro del plazo, no podría entregar las imágenes directamente al interesado sin acreditar su identidad en la grabación, por el riesgo de revelar datos de terceros. En consecuencia, considera que la solicitud no era procedente ni temporal ni materialmente, y que la única vía legítima de acceso a las imágenes sería mediante requerimiento de las Fuerzas y Cuerpos de Seguridad o autoridad judicial competente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/9 No obstante, conviene precisar, en primer lugar, que, contrariamente a lo señalado por la parte reclamada, el artículo 120 del Real Decreto 2364/1994, de 9 de diciembre, establece un plazo de conservación de las imágenes de “quince días al menos desde la fecha de la grabación”. Es decir, de un mínimo de 15 días, no de 15 días, como señala la parte reclamada. A esto debe añadirse que el artículo 22 de la LOPDGDD regula, desde la perspectiva de protección de datos, los tratamientos con fines de videovigilancia, estableciendo en su apartado 3 el plazo máximo de conservación de un mes. En consecuencia, en el caso que nos ocupa, el plazo de conservación de las imágenes habrá de situarse, necesariamente, entre 15 y 30 días desde que tuviera lugar la grabación. Así las cosas, si bien la parte reclamada afirma que el plazo que tenía establecido para la conservación de las imágenes era de 15 días, no ha acreditado tal afirmación, lo que resulta especialmente relevante a la vista de que, en respuesta a esta Agencia (no al interesado), asegura que la solicitud de derecho de acceso se planteó una vez que las imágenes ya habían sido suprimidas. En segundo lugar, la negativa de una solicitud de acceso no puede ampararse, tampoco exclusivamente en la mera necesidad de corroborar la identidad del interesado. En este sentido se pronuncia el artículo 12.6 del RGPD que señala cuando el responsable del tratamiento tenga dudas razonables en relación con la identidad de la persona física que cursa la solicitud de ejercicio de derechos, podrá solicitar que se facilite la información adicional necesaria para confirmar la identidad del interesado. En la misma línea se pronuncian las Directrices 01/2022 sobre los derechos de los interesados — Derecho de acceso del Comité Europeo de Protección de Datos: “70. Como ya se ha indicado, si el responsable del tratamiento tiene motivos razonables para dudar de la identidad de la persona solicitante, podrá solicitar información adicional para confirmar la identidad del interesado”. Sin perjuicio de lo anterior, en situaciones como esta en el que el tratamiento consiste en la videovigilancia en la que el fin del tratamiento no requiere, con carácter general, la identificación del interesado, para poder basar la negativa en esta circunstancia, se requiere que el responsable demuestre que no está en condiciones de identificarlo. En tal caso, el interesado puede decidir facilitar información adicional para tal fin, por lo cual, el responsable deberá informar al interesado en consecuencia. En este sentido se pronuncian las Directrices 01/2022: “60. El artículo 12, apartado 2, del RGPD establece que el responsable del tratamiento no se negará a actuar a petición del interesado con el fin de ejercer sus derechos, a menos que trate datos personales para un fin que no requiera la identificación del interesado y demuestre que no está en condiciones de identificarlo. En tales circunstancias, el interesado puede, no obstante, decidir facilitar información adicional que permita esta identificación (artículo 11, apartado 2, del RGPD) (…) 61. En caso de imposibilidad demostrada de identificar al interesado (artículo 11 del RGPD), el responsable del tratamiento debe informar al interesado en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/9 consecuencia, de ser posible, ya que responderá a las solicitudes del interesado sin demora injustificada y expondrá los motivos por los que se propone no atender dichas solicitudes. Esta información solo debe facilitarse «de ser posible», ya que el responsable del tratamiento puede no estar en condiciones de informar a los interesados si su identificación resulta imposible”. En el presente caso, sin embargo, la parte reclamante acota desde el inicio su solicitud de acceso haciendo referencia no solo al día concreto, sino al tramo horario en cuestión (“durante el 30 de marzo de 2025 entre las 20:20 horas y las 20:59 horas”). Además, no puede olvidarse que la negativa facilitada por la parte reclamada el 21 de abril de 2025 no hacía referencia alguna ni a la imposibilidad de identificación, ni al borrado de las mismas en el plazo de 15, como tampoco hacía referencia a la afectación de derechos de terceros. En relación con las afirmaciones relativas a la imposibilidad de facilitar el acceso puesto que podrían existir datos de terceros afectados, en la medida en que el tiempo solicitado por el reclamante es acotado en el tiempo, es posible que no existiera esa limitación, que ni siquiera fue comprobada por la parte reclamante. Sin olvidar que, en caso de existir, el reclamante podría haber adoptado medidas técnicas destinadas a la supresión o anonimización de imágenes de terceros. En consecuencia, procede estimar la reclamación presentada al no haberse atendido adecuadamente el derecho de acceso solicitado. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por A.A.A., al considerar que se ha infringido lo dispuesto en el Artículo 15 del RGPD e instar a la entidad EURO AUTOMATIC CASH, ENTIDAD DE PAGO, S.L. con CIF.:B86828845, para que, en el plazo de diez días hábiles desde que la presente resolución sea firme y ejecutiva, remita a la parte reclamante certificación por la que se atienda el derecho de Acceso ejercido o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de una infracción del artículo 83.6 del RGPD, calificada como muy grave a los efectos de prescripción en el artículo 72.1.m) de la LOPDGDD, que se sancionará, de acuerdo con el art. 58.2 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a la entidad EURO AUTOMATIC CASH, ENTIDAD DE PAGO, S.L De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez se haya notificado a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/9 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es