1/46 Expediente N.º: EXP202303658 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A., y en su nombre su padre B.B.B. (en adelante, la parte reclamante) con fecha 06/06/2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra EL CORTE INGLÉS, S.A., con NIF A28017895 (en adelante, la parte reclamada o ECI). La parte reclamante pone de manifiesto los hechos siguientes: Su hija, menor de edad, sufrió una caída el viernes 08/10/2021, sobre las 20:00 horas, en el centro comercial de ECI ubicado en ***LOCALIDAD.1, como consecuencia de resbalar, golpeándose contra una plataforma cortante y con esquinas en pico, motivo por el que fue asistida en el botiquín del establecimiento y en un centro hospitalario. Con la finalidad de encontrar una solución por la vía amistosa, el día 13/10/2021, la parte reclamante remitió un primer correo electrónico a la dirección facilitada por el Servicio de Atención al Cliente de ECI de ***LOCALIDAD.1 (“***EMAIL.1”), en el que solicitó expresamente la conservación de las imágenes grabadas por las cámaras de seguridad de la caída de su hija, por si fuera necesario aportarlas como documentación en el supuesto de verse obligado a acudir a la vía judicial, además de una indemnización por los daños ocasionados, adjuntando fotografías de las heridas de su hija, informe médico y fotografías de la zona del suceso. Ante la falta de respuesta, el 01/11/2021 contactó de nuevo por teléfono con ECI de ***LOCALIDAD.1, que le informa sobre el próximo envío de una carta por el Departamento de Seguros. Ese mismo día, la parte reclamante envió otro correo electrónico a la parte reclamada advirtiendo sobre la falta de respuesta a su petición y solicitando expresamente “la conservación y envío” de la “grabación de las cámaras de seguridad de la caída de mi hija”. Añade que el 05/11/2021 la compañía de seguros le envió una carta por correo electrónico desestimando la petición de indemnización y que, ese mismo día, remitió varios correos electrónicos en los que solicita expresamente que le sea enviada la grabación de las cámaras de seguridad de la caída de su hija. En la misma fecha, la compañía de seguros de ECI responde que no puede facilitar ninguna copia de las grabaciones “en cumplimiento de la Ley de Protección de datos” y, el 12/11/2021, ECI contesta que en la zona en la que se produjeron los hechos, no existe ninguna cámara de videovigilancia, “por lo que no existen imágenes del incidente que usted nos relata”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/46 Posteriormente, según indica la parte reclamante, en fecha 18/11/2021, ECI responde a una solicitud de la parte reclamante para que le sean facilitadas las “grabaciones cercanas” indicándole que las imágenes se conservan durante 7/15 días, por los que las solicitadas fueron borradas automáticamente. La parte reclamante adjunta a su reclamación, además de fotografías de las heridas sufridas por la menor y el Informe Clínico de Urgencias, un documento en el que recopila la correspondencia mantenida por correo electrónico con ECI y la compañía aseguradora de esta entidad (el contenido de estos correos electrónicos consta reseñado en los Hechos Probados números 3, 6, 7, 8, 9, 10, 11, 12, 13, 14, 15, 16, 17 y 18). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 15/06/2022 como consta en el acuse de recibo que obra en el expediente. Con fecha 21/07/2022 se recibe en esta Agencia escrito de respuesta de la entidad ECI, en el que ésta confirma haber recibido los correos remitidos por la parte reclamante en fechas 13/10 y 05/11//2021, por los que solicitó la conservación y copia de las imágenes que se hubieran podido captar de los hechos ocurridos el 08/10/2021, y el correo posterior de 18/11/202, en el que solicitó las grabaciones del 08/10/2021 de aquellas cámaras que se encontraran cercanas al lugar donde se produjo el incidente. Informa, asimismo, sobre los correos remitidos en respuesta a aquellas peticiones, reseñando específicamente las respuestas de 01/11/2021, por la que informó a la parte reclamante sobre el envío de documentación a la compañía aseguradora; correo de 12/11/2021, informando que no existen cámaras que enfoquen la zona en la que se produjo la caída sufrida por la hija de la parte reclamante, por cuanto la cámara instalada en esa zona “no enfoca hacia la ubicación donde la menor sufrió la caída”, por lo que no existen imágenes del incidente; y la respuesta de 22/11/2021, también remitida mediante correo electrónico, sobre la inexistencia de imágenes de las cámaras cercanas al lugar de la caída, por cuanto las que pudieran haber podido captar fueron eliminadas en cumplimiento de la normativa vigente en la materia. En este último correo, se informa que el sistema de grabación instalado tiene una capacidad limitada, por lo que las imágenes captadas se conservan durante un plazo de 7/15 días y tras dicho período son eliminadas de forma automática. En definitiva, ECI, entiende que dio respuesta en tiempo y forma a las peticiones efectuadas por la parte reclamante, y que justificó la imposibilidad de atenderlas. Según dicha entidad, cumplió la obligación de atender las peticiones, aunque el resultado no fuese el esperado al no existir grabaciones de lo ocurrido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/46 Con su respuesta, ECI aportó copia de los correos electrónicos reseñados en los Hechos Probados 3, 7, 10, 15, 16 y 18. TERCERO: Con fecha 26/07/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Admitida a trámite la reclamación, en esta Agencia se siguió un procedimiento de derechos, señalado con el número PD/00187/2022, para determinar si por parte de la entidad ECI se atendieron debidamente las solicitudes de ejercicio de los derechos de acceso y limitación del tratamiento. Con este motivo, se concedió a la parte reclamada plazo para formular las alegaciones que estimara convenientes, recibiéndose escrito a través de su Delegado de Protección de Datos en el que expone la cronología de los hechos haciendo referencia al contenido de los correos electrónicos señalados en el Antecedente Primero con los números 1, 2, 3, 4, 8, 9, 11, 12 y 14. Añade que, con fecha 27/10/2021 se informó del siniestro a la compañía de seguros, acompañando las fotografías y documentos aportados por la parte reclamante, incluidas las fotografías de la zona donde tuvo lugar el incidente, en las que no se aprecia ninguna cámara. En relación con la respuesta enviada por la compañía de seguros a la parte reclamante señalando que no es posible facilitarle ninguna grabación debido a la normativa de protección de datos, ECI aclara que esta respuesta puede dar a entender que la propia compañía aseguradora dispone de imágenes, “hecho que es del todo incorrecto pues el responsable del tratamiento de las imágenes es El Corte Inglés, y en ningún momento las mismas se facilitan a un tercero, puesto que como ya hemos puesto de manifiesto reiteradamente, no existen tales imágenes ya que en la zona de “cortinas de Baño del ***CENTRO.1 de ***LOCALIDAD.1 no existe ninguna cámara enfocando a dicha zona. Por otro lado, la propia Aseguradora ***ASEGURADORA.1, confirma y certifica en un escrito de fecha 29 de julio de 2022, que no dispone de grabación alguna relacionada con el siniestro ocasionado, y que por error se dio traslado al cliente utilizando una respuesta genérica que habitualmente emplean con aquellos que solicitan este tipo de grabaciones”. Asimismo, sobre la cuestión relativa al plazo máximo de conservación, establecido en un mes, recuerda la parte reclamada que “salvo en aquellos supuestos en los que se deban conservar las imágenes para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. No siendo el caso que nos ocupa, en esta ocasión, ya que las cámaras colindantes no recogieron ninguna imagen o situación en la que se produjese algún incidente que afectase a personas, bienes o a la propia instalación. En este sentido, y al corresponder las imágenes de los hechos del día 8 de octubre, han transcurrido más de 30 días desde que se pudieron captar las mismas, por lo que en cumplimiento del artículo 22.3 de la LOPDGDD en relación a la conservación de las imágenes captadas por sistemas de videovigilancia, las mismas fueron suprimidas”. La citada entidad concluye que dio respuesta a los “derechos de limitación y acceso” con fecha 12/11/2021, informando que no existe imagen alguna en la zona donde tuvo lugar el siniestro, en la que no hay ninguna cámara, por lo que se evidencia el cumplimiento de lo dispuesto en los artículos 15 y 18 del RGPD, y 12.3 del mismo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/46 Reglamento, al haber contestado al interesado en tiempo y forma. Con su respuesta, ECI aportó copia de correos electrónicos y escrito aportado por la compañía aseguradora de ECI, de fecha 29/07/2022, reseñados en los Hechos Probados 4, 5 y 19. Aporta, asimismo, plano de situación de las cámaras instaladas en el establecimiento en cuestión, donde puede verse, según ECI, que no existe ninguna cámara en la ubicación donde se produjeron los hechos ni dentro del rango de enfoque de las cámaras aledañas. En este plano aparece marcada la “zona incidente”, así como las cámaras de videovigilancia próximas y su “zona de visualización habitual”. Según este plano, no existe ninguna cámara en la zona del siniestro y ninguna de las cámaras próximas enfoca dicha zona. Y copia de pantalla relativa a la configuración del plazo de conservación de las imágenes, en la que aparece seleccionada la opción de “Borrado automático. 15 días” y “Modo fin de disco. Sobrescribir”. Estas alegaciones fueron trasladadas a la parte reclamante, que remitió escrito de alegaciones poniendo en duda la narración de los hechos remitida por ECI, negando que se contestase su derecho de acceso. En este escrito la parte reclamante advierte que presentó otro procedimiento para reclamar los daños causados por la falta de mantenimiento en unas buenas condiciones de uso del suelo del establecimiento, motivo por el que pretendía acceder a las imágenes; e insiste en la existencia de cámaras que podrían haber captado el accidente y que se cedieron esas imágenes a la compañía aseguradora; así como en las contradicciones existentes en las alegaciones de aquella entidad, particularmente entre lo referido por la aseguradora sobre la imposibilidad de facilitar las imágenes de las grabaciones de seguridad y lo afirmado posteriormente por ECI sobre inexistencia de imágenes. Termina señalando que en el plano de situación de las cámaras faltan algunas y aporta “fotografías de las cámaras situadas justo en la zona donde se produjo el incidente”. Las imágenes aportadas no corresponden a la zona de cortinas de baño en la que se produjo la caída de la menor, sino a zonas aledañas. La misma parte reclamante señala, respecto de dichas cámaras, lo siguiente: “cámara a 8 metros pasillo central”, “cámara desde el club gourmet las cortinas de baño están detrás de la columna” y “cámara a 10 12 metros izq del siniestro”. Vistas las alegaciones formuladas por las partes, con fecha 23/12/2022, se dicta resolución en el procedimiento de derechos señalado (PD/00187/2022), en la que se acuerda estimar la reclamación formulada en relación con los derechos de acceso y a la limitación del tratamiento ejercitados por la parte reclamante e instar a la entidad ECI para que remitiese a dicha parte reclamante certificación en la se atiendan los derechos citados o se denieguen motivadamente, indicando las causas por las que no procede atender la petición. QUINTO: Con fecha 11/01/2023, dentro del plazo que le fue concedido para el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/46 cumplimiento de la resolución dictada en el procedimiento de derechos reseñado en el Antecedente Cuarto, la entidad ECI aportó a esta AEPD copia de la respuesta y documentación remitida a la parte reclamante en relación con los derechos de acceso y a la limitación del tratamiento ejercitados por la misma, así como justificante de la entrega del correo electrónico al que acompañó dicha respuesta. En esa respuesta, ECI expresa “las causas por las que no se le han podido facilitar las imágenes solicitadas en el ejercicio de sus derechos de limitación y acceso”. Del contenido de la respuesta mencionada, cabe destacar lo siguiente: Sobre el derecho a la limitación del tratamiento ejercido con fecha 13/10/2021, la parte reclamada señala que no existen grabaciones, según se comunicó en la respuesta facilitada a la parte reclamante en fecha 12/11/2021. Según la entidad ECI, la solicitud se refería literalmente a la conservación de la grabación de las cámaras de seguridad de la caída de la hija de la parte reclamante, que no fue grabada por ninguna cámara del centro, al no existir cámara alguna habilitada en la zona donde se produjo la caída. Añade que la documentación remitida a la compañía aseguradora no contenía grabaciones de imágenes y que la respuesta de esta compañía se realizó de una forma genérica dando lugar a una mala interpretación, ya que dicha contestación da a entender que tienen en su poder unas imágenes, cuestión que es errónea. En este escrito dicen acompañar una certificación de la compañía aseguradora confirmando lo indicado anteriormente y las comunicaciones que la parte reclamante mantuvo con dicha aseguradora. Termina indicando que la aseguradora no desestima la indemnización basándose en unas grabaciones. En cuanto al derecho de acceso, ejercitado para solicitar las grabaciones de las cámaras cercanas al lugar donde se produjo el incidente, informa la parte reclamada que las grabaciones se eliminaron de forma automática al pasar el plazo configurado (entre 7 y 15 días), puesto que la solicitud se plantea cuando habían transcurrido 42 días SEXTO: Con fecha 20/04/2023, por la Subdirección General de Inspección de Datos se accede a la información relativa a la parte reclamada en “Axesor” (“Informe monitoriza”). (…). SÉPTIMO: Con fecha 17/07/2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por las presuntas infracciones siguientes: . por la presunta infracción del artículo 18 del RGPD, tipificada en el artículo 83.5.
- b)del miso Reglamento, y calificada como muy grave a efectos de prescripción en el artículo 72.1.
- k)de la LOPDGDD. . por la presunta infracción del artículo 15 del RGPD, tipificada en el artículo 83.5.
- b)del mismo Reglamento, y calificada como muy grave a efectos de prescripción en el artículo 72.1.
- k)de la LOPDGDD. En el acuerdo de apertura se determinó que la sanción que pudiera corresponder, sin perjuicio de lo que resulte de la instrucción, sería de 70.000 euros (setenta mil euros) por cada una de las infracciones indicadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/46 Asimismo, se advertía que las infracciones imputadas, de confirmarse, podrán conllevar la imposición de medidas, según el citado artículo 58.2
- d)del RGPD. OCTAVO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones en el que solicita el archivo de las actuaciones en base a las consideraciones siguientes: 1. Inicia su escrito reproduciendo los correos electrónicos que constan reseñados en el Antecedente Primero, señalados en dicho antecedente con los números 1, 2, 3, 6 (sobre estos correos destaca que la solicitud de la parte reclamante se refería a las imágenes de la “caída de su hija”), 11 (que da respuesta al correo señalado con el número de apartado 6), 12 (remitido más de un mes después de ocurrir el suceso) y 14 (que da respuesta al correo señalado con el número de apartado 6). Señala al respecto que atendió las comunicaciones del cliente. Respecto de las imágenes captadas por las cámaras aledañas al lugar en el que se produjeron los hechos, solicitadas más de un mes después del acaecimiento del siniestro, indica que fueron eliminadas en cumplimiento de la normativa aplicable, al no existir ninguna razón jurídica que justificase su excepcional conservación, toda vez que no había imágenes ni de la caída ni de sus consecuencias que fueran susceptibles de tal conservación en defensa de los intereses y derechos del cliente. 2. Infracción del derecho a la presunción de inocencia Al no existir las imágenes, no se pudo incumplir obligación alguna en materia de limitación del tratamiento o de acceso a las mismas. La AEPD considera que sí existen esas imágenes sobre la base, primero, de una suposición y, segundo, de una interpretación extensiva de la solicitud de la parte reclamante, ambas jurídicamente incorrectas. Por un lado, el acuerdo de inicio del expediente, para sostener que las imágenes de la caída de la niña existieron, se basa en que “la parte reclamada y su compañía aseguradora contestaron en todo momento como si las grabaciones existieran” (el subrayado es nuestro). Esta suposición se sustenta en que, en correo de fecha 01/11/2021, “Se indicó a la parte reclamante que se había pasado la documentación a la aseguradora” y que también mediante correo electrónico, de fecha 5/11/2021, la compañía aseguradora remitió a la parte reclamante un correo manifestándole que las imágenes no podían ser facilitadas “en cumplimiento de la Ley de Protección de Datos”. Pues bien, entre esos hechos base y la suposición que se obtiene, no existe un enlace preciso, directo y concluyente. En efecto, que la entidad manifestara que había remitido a la compañía aseguradora “la documentación” no quiere decir que esa documentación incluyera imágenes. Esa suposición se revela todavía más improcedente desde el momento en el que se acompañaron los correos remitidos por ECI a la aseguradora el 27/10/2021 dando C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/46 parte del siniestro (obran transcritos en la página 8 del acuerdo) y, en ellos, consta claramente que lo que se remite a la aseguradora es la documentación remitida a la entidad por la parte reclamante y otras dos fotos hechas por personal de la entidad “para aclarar la zona de la caída”, fotos de aclaración que hubieran sido innecesarias si, de verdad, se hubiera remitido una grabación hecha por las cámaras como supone indebidamente el acuerdo de inicio de este expediente. Tampoco puede obtenerse ninguna conclusión de la contestación realizada por la aseguradora relativa a que las imágenes no podían ser facilitadas “en cumplimiento de la Ley de Protección de Datos”, que se trató de una expresión tipo y equivocada, según ha reconocido la propia aseguradora, que es, además, un tercero distinto de la entidad cuyas manifestaciones no pueden vincular a la parte reclamada. Además, se aportó un plano de situación de las cámaras, demostrando que no existía ninguna cámara emplazada en un lugar desde el que se pudiera haber grabado la caída de la niña en la zona de cortinas de baño del establecimiento. Por otro lado, la AEPD hace una interpretación extensiva de la solicitud de la parte reclamante, referida inicialmente a las imágenes de “la caída de mi hija”. Así lo solicitó en el correo inicial de 13/10/2021, en el posterior de 1/11/2021 y en los dos remitidos en fecha 5/11/2021. Cuando se le informa que no existían cámaras grabando en el lugar donde ocurrió la caída, entonces la parte reclamante solicitó -en fecha 18/11/2021- las imágenes grabadas por cámaras “cercanas a la zona del suceso” en las que pudiera verse como la niña era atendida por un guarda de seguridad o las imágenes saliendo del centro comercial, 42 días después de la fecha del siniestro (8/10/2021), por lo que esas imágenes habían sido ya borradas de forma automática. El acuerdo de inicio del expediente hace una interpretación extensiva de la solicitud de la parte reclamante, considerando que, donde solicitaba la limitación del tratamiento y acceso a las imágenes “de la caída de su hija” debió entenderse que se solicitada esa limitación y acceso a cualquier imagen que se hubiera podido captar de su hija aquel día desde cualquier cámara del establecimiento. Esa interpretación extensiva que realiza el acuerdo de inicio es claramente contraria a la dicción literal de los correos de la parte reclamante. Esta última reconoce que no había solicitado esas imágenes desde el inicio cuando, en su correo de 18/11/2021, cambia su solicitud y pide entonces las imágenes grabadas por cámaras “cercanas a la zona del suceso”. Por otro lado, el acuerdo de inicio hace también una interpretación extensiva al tratar del plazo máximo de conservación de las imágenes, interpretando que la entidad reclamada debió hacer caso omiso al plazo máximo establecido en la Ley en aras de la protección del derecho a la tutela judicial efectiva. En definitiva, no existe prueba alguna de que las imágenes de la caída de la niña hayan existido, por lo que no puede reprocharse a la entidad ningún comportamiento infractor. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/46 Según la entidad ECI, afirmar la existencia de esas imágenes sobre la base de una suposición infundada o alterar el objeto de la solicitud por la vía de una interpretación extensiva de la misma, resulta contrario a la presunción de inocencia que debe respetarse en todo procedimiento sancionador. 3. La normativa de protección de datos está dirigida a asegurar la legalidad del tratamiento de los datos personales y no la tutela judicial efectiva. El Tribunal de Justicia de la Unión Europea (Sala Primera), en Sentencia de 04/05/2023, Asunto 487/21, ha declarado que “Los interesados deben tener derecho a acceder a los datos personales recogidos que le[s] conciernan y a ejercer dicho derecho con facilidad y a intervalos razonables, con el fin de conocer y verificar la licitud del tratamiento”. Tanto la normativa como la actuación de la AEPD deben ir orientadas a asegurar el lícito tratamiento de los datos personales. Según ECI, la parte reclamante no ejerció sus derechos para verificar que se estaba realizando un tratamiento lícito y ajustado a la ley de sus datos personales, sino que la finalidad pretendida era la obtención de una supuesta prueba que pudiera utilizar en un procedimiento judicial de reclamación de daños por lesiones sufridas por una caída. El propio acuerdo lo reconoce abiertamente en su pagina 16: “En relación con esta cuestión, debe considerarse que la finalidad última perseguida con la no eliminación de las imágenes requeridas por la reclamante, titular de los datos en cuestión, es la de obtener una prueba de la causación de daños en la persona de su hija, como consecuencia de un accidente acaecido en un centro de la parte reclamada en el que la misma resultó perjudicada por una posible negligencia de dicha entidad”. Sin negar la importancia que tiene el derecho a la tutela judicial como derecho fundamental reconocido por el artículo 24, esta parte entiende que velar por la efectividad de ese derecho corresponde a los jueces y tribunales, pero no a la AEPD. Por ello, si una persona negara a otra la posibilidad de obtener una prueba utilizable en un posterior proceso judicial, ese comportamiento obstativo deberá ser valorado en el sentido que proceda, pero habrá de ser valorado en sede judicial, sin que corresponda a una autoridad administrativa sancionar por la eventual eliminación previa de una prueba. Desde luego, tampoco es invocable ese derecho a la tutela judicial hasta el punto de pretender sancionar a una entidad por no incumplir la normativa legal que regula el plazo máximo de conservación. Según entiende el acuerdo iniciador del procedimiento, la entidad debió incumplir la normativa de protección de datos en su vertiente del plazo máximo de conservación de imágenes para procurar la tutela judicial efectiva de la parte reclamante: “atender ambas iniciativas de la parte reclamante […] conllevaba la conservación de las imágenes, aunque eso hubiese supuesto rebasar el plazo legal” dice literalmente el acuerdo. En todo caso, al no existir imágenes de la caída no pudo haber ninguna afectación al derecho a la tutela judicial; ni se puede determinar la responsabilidad de ECI por la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/46 grabación de cámaras en las que no se captó el siniestro en cuestión; ni hay afectación alguna por el borrado automático de unas imágenes solicitadas de forma extemporánea. Ante la ausencia de imágenes del lugar en que se produjo el siniestro que hubieran grabado la caída, no existen razones que justifiquen la conservación de las cámaras de seguridad colindantes por la sola defensa de la tutela judicial efectiva cuando, la realidad es que esas imágenes de las cámaras colindantes en modo alguno podrían permitir determinar ni el hecho de la caída ni las circunstancias en las que ésta se produjo por lo que ninguna utilidad hubieran tenido para comprobar el alcance de los daños (para lo cual ya está el informe médico de urgencias), ni las posibles responsabilidades que de los daños sufridos se pudieran derivar (para lo cual estarán, en su caso, los testigos y los informes del tramitador del siniestro por cuenta de la compañía de seguros). Por otra parte, no se entiende que la Agencia considere que las imágenes captadas por las cámaras de videovigilancia colindantes constituyen una prueba válida y adecuada para la defensa de los intereses de la parte reclamante, cuando la realidad es que no existían cámaras en el lugar en el que se produjo el incidente y respecto a las cámaras colindantes, como ya se ha dicho, sus grabaciones, para el caso de haberse mantenido (a pesar de no existir razones jurídicas que lo justifiquen), no habrían permitido ni la determinación de los daños sufridos por la menor, ni la depuración de las responsabilidades a que hubiere lugar, sin perjuicio de la vulneración que la puesta a disposición de esas imágenes a la parte reclamante podría haber supuesto para los derechos de terceros. En definitiva, las imágenes de cámaras que no hubieran grabado de forma directa la caída no tenían ninguna utilidad a efectos de la tutela judicial efectiva y, desde luego, no podían justificar que la entidad incumpliera los plazos máximos de conservación de las imágenes, afectando con ello, al derecho a la protección de datos de otros muchos interesados. 4. El contenido del derecho de acceso en ausencia de tratamiento. El derecho de acceso en protección de datos es el derecho del individuo a dirigirse al responsable del tratamiento para saber si se están tratando sus datos personales y, solo en caso afirmativo, obtener información relativa al tipo del tratamiento que se está realizando. En este contexto, la realidad de los hechos es que, una vez recibida la solicitud de acceso y de limitación del tratamiento de las imágenes de la caída de la menor por parte de su tutor legal (parte reclamante), se revisó el material de videovigilancia correspondiente al día y hora del incidente indicado por éste. Sin embargo, no se encontraron imágenes ni grabaciones que capturasen el incidente en cuestión por el que se preguntaba. Por tanto, la razón por la que ECI no ha proporcionado dichas imágenes es, sencillamente, porque no existen, tal y como se informó a la parte reclamante en debido tiempo y forma y como ya se ha probado ante la AEPD. En consecuencia, la realidad de los hechos es que la parte reclamante ejerció su derecho de acceso y de limitación del tratamiento frente a la parte reclamada con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/46 fecha 13 de octubre de 2021, y ésta, en debido tiempo y forma (concretamente el 12 de noviembre de 2021), dio respuesta a los derechos ejercidos por el interesado, mediante comunicación escrita remitida por correo electrónico en la que informó al interesado que no existían imágenes de los hechos que dieron lugar al siniestro. Al no haberse llevado a cabo ningún tipo de tratamiento, ningún acceso a datos personales del afectado se puede procurar a favor del titular, como tampoco ninguna limitación de la finalidad de un tratamiento que nunca se ha producido. No ha habido, por tanto, ánimo alguno de ocultación de información, como tampoco puede siquiera sugerirse perjuicio alguno para la tutela judicial efectiva del afectado. El sistema de videovigilancia de ECI está diseñado y configurado para cubrir áreas específicas y no graba todos los emplazamientos de las tiendas, por lo que puede haber circunstancias o emplazamientos concretos en los que no se grabe un incidente en particular, como ha sucedido en esta ocasión. Si no hubiera sido así, ningún inconveniente hubiera existido en facilitar el acceso a las imágenes como ha hecho ECI de forma continuada, aplicando la normativa vigente y procedimientos internos establecidos en cada momento. 5. Extemporánea solicitud de acceso a las imágenes de las cámaras de seguridad colindantes. Con fecha 18/11/2021, es decir, una vez recibida la comunicación en la que se informaba a la parte reclamante que no existían grabaciones del incidente por el que había preguntado y transcurrido más de un mes desde que se produjera el siniestro que dio lugar a la reclamación, se solicitó el acceso a las imágenes de las cámaras de seguridad colindantes, a los efectos de que, citamos textualmente, “se pueda ver a un guarda de seguridad llevando a mi mujer un botiquín para realizar la primera atención a la niña y a mi hija saliendo del centro comercial sangrando junto con su madre y su hermano, hacia las urgencias del hospital.” Tras la recepción de esta nueva solicitud de derecho de acceso, ECI, en cumplimiento de la normativa vigente en materia de protección de datos, dio respuesta al interesado dentro del plazo legalmente previsto, indicando en esta ocasión que las imágenes que se hubieran podido captar a través de las cámaras próximas al departamento donde ocurrió el incidente (cámaras nº 99, 107 y 135) habían sido ya eliminadas con anterioridad a recibirse su solicitud de acceso, toda vez que, el almacenaje de dicho sistema de grabación dispone de una capacidad de almacenamiento de entre 7 y 15 días como máximo. En la medida en que las cámaras colindantes, por las que más de un mes después del siniestro preguntaba la parte reclamante, no recogieron ninguna imagen o situación en la que se produjese algún incidente que afectase a personas, bienes o a la propia instalación, fueron eliminadas conforme a los procedimientos legalmente establecidos (en este sentido es pertinente recordar que el plazo de conservación de las grabaciones de los sistemas de videovigilancia, tal y como se indica en la instrucción 1/2006, es de un mes como máximo, salvo en aquellos supuestos en los que se deban conservar las imágenes para acreditar la comisión de actos que atenten contra la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/46 integridad de personas, bienes o instalaciones). En cumplimiento del artículo 22.3 de la LOPDGDD en relación con la conservación de las imágenes captadas por sistemas de videovigilancia, las mismas habían sido ya suprimidas en debido tiempo y forma, por no haber razones que justificasen en modo alguno su conservación. Se han aportado evidencias de la configuración del plazo de conservación del videograbador, donde se puede apreciar que el período de tiempo por el que se archivan las imágenes captadas es de máximo de 15 días, puesto que dicho sistema graba durante las 24 horas del día de forma ininterrumpida, lo cual motiva que las imágenes ocupen mucho espacio y se haga necesario eliminarlas en el lapso indicado, todo ello teniendo en cuenta que si en dichas grabaciones no se aprecia ningún tipo de incidente, dichos sistemas están configurados para suprimir el contenido de manera automática. Se debe por tanto tener en cuenta que la parte reclamante únicamente pide el acceso a las cámaras de seguridad colindantes al emplazamiento en el que se produjo el incidente, cuando se le informa de que no había grabaciones de las cámaras de seguridad que hubiesen captado la caída en cuestión. Esta circunstancia se debe a que el derecho a la limitación del tratamiento inicialmente ejercitado se reducía exclusivamente a las grabaciones del lugar en que se produjo la caída. Lo que desde luego no puede hacerse ni pretenderse es que, en ausencia de grabación del incidente en cuestión, mi representada almacene y, en consecuencia, limite el tratamiento de las grabaciones de todas las cámaras de seguridad del edificio ante la posibilidad de que la parte reclamante pudiera pedirle otras grabaciones de emplazamientos distintos a aquellos en los que se produjo el siniestro (sobre todo cuando lo que se solicitó en su momento era la conservación de las grabaciones de la caída de su hija). Esta no puede ser una obligación que resulte exigible a ECI, que no puede prever las solicitudes concretas de derechos que de manera extemporánea le puedan hacer en el futuro cualquiera de sus miles de clientes diarios. Pretender que, con sujeción a un ejercicio de derecho a la limitación del tratamiento reducido a las grabaciones captadas por cámaras de seguridad donde se produjo el incidente (grabaciones “de la caída de mi hija”) se conserven cautelarmente todas las imágenes de las cámaras de seguridad del edificio captadas en esa fecha es una exigencia carente de toda razón, absolutamente desproporcionada y que, desde luego, no tiene justificación ni puede tenerla en la defensa de la tutela judicial efectiva de la parte reclamante o de su hija. 6. Respecto de la exigencia de una doble respuesta individualizada a cada uno de los derechos ejercitados. La AEPD reprocha injustificadamente que no se haya aclarado a qué solicitud se estaba refiriendo en la contestación, puesto que la única solicitud realizada por la parte reclamante había sido expresamente la de la conservación de las imágenes de la caída sufrida por la menor, cuestión a la que en todo momento se dio respuesta. La parte reclamante fue informada en todo momento de la situación y de las gestiones realizadas por ECI, que atendió las peticiones efectuadas por el cliente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/46 Es por ello por lo que con fecha 27/10/2021 se informa a la compañía de seguros del siniestro ocurrido en el centro, a fin de que se realice una valoración sobre la posible indemnización por daños y perjuicios, conforme a la solicitud del cliente. De igual manera, y en una segunda ocasión, con fecha 12/11/2021, se da contestación al derecho de acceso ejercido por el cliente, y se le informa sobre la inexistencia de las imágenes solicitadas en relación con el día en que se produjo el incidente. Esta contestación es perfectamente válida para dar respuesta a los derechos ejercitados, tanto de limitación del tratamiento, como acceso, al ser la misma causa (inexistencia de grabaciones) la resolutiva de ambos, y adecuada al contenido de la última solicitud de la parte reclamante, de fecha 01/11/2021, en la que ella misma unifica las dos peticiones, y que denomina como “conservación y envío de la grabación”. Por tanto, el hecho de que la respuesta sea única a las dos solicitudes, evidentemente relacionadas, no es contraria a que sea específica a lo solicitado. 7. Respecto de la injustificada aplicación de agravantes. En el caso que nos ocupa, la primera agravante aplicada ha sido la relativa a la “naturaleza y gravedad de la infracción y el nivel de daños sufridos”. En este extremo, el acuerdo de inicio entiende que el borrado definitivo de las imágenes limitó la posibilidad de reparar la falta de atención del derecho y perjudicó la capacidad de defensa de la parte reclamante. Sobre este extremo hay que señalar que el supuesto borrado indebido de las imágenes constituye el hecho infractor por lo que el desvalor del tipo infractor no puede ser considerado, además, como circunstancia agravante. La segunda circunstancia considerada en el acuerdo como agravante es la relativa a la “intencionalidad o negligencia en la infracción”. En este caso, el acuerdo entiende que no ha existido intencionalidad sino “negligencia” (“estas circunstancias ponen de manifiesto la actuación negligente…” dice la página 21/26) pero, sin embargo, la valora negativamente como agravante al entender que “una empresa que realiza tratamientos de datos de manera sistemática y continua debe extremar el cuidado en el cumplimiento de sus obligaciones en materia de protección de datos”. Entiende esta parte que resulta un contrasentido que se valore como circunstancia agravante la concurrencia de negligencia cuando el elemento subjetivo (negligencia o intencionalidad) es algo que debe estar presente, por definición, en toda infracción. Por ello, esa circunstancia podrá valorarse para graduar la infracción para agravarla cuando haya existido “intencionalidad” que es la conducta más grave o para atenuarla cuando lo que haya concurrido haya sido “negligencia” que es la conducta menos grave. En el caso que nos ocupa el acuerdo considera que la entidad es una empresa que realiza tratamientos de datos de manera sistemática y continua, por lo que el grado de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/46 diligencia exigible es mayor. Pues bien, esa condición de gran empresa no puede ser nunca una condición per se agravante de la infracción. Podrá ser considerada como una circunstancia adecuada para medir la diligencia exigible. Ahora bien, una vez que valorada esa circunstancia se concluye que la conducta ha sido negligente y no intencional, esa negligencia (grado más bajo del elemento subjetivo) no puede ser considerada como una circunstancia que agrava la infracción en lugar de atenuarla. Esta misma conclusión cabe hacerla respecto de la circunstancia relativa a “la vinculación de la actividad del infractor con la realización de tratamiento de datos personales”. El acuerdo de inicio está identificando la misma circunstancia antes expuesta (el tratamiento de datos de manera sistemática y continua) pero utilizando otra expresión (la vinculación de la actividad con la realización de tratamiento de datos personales) y tratándolas como si fueran dos agravantes diferentes. Como se ha expuesto con anterioridad, la mayor o menor vinculación con el tratamiento de datos podrá ser un parámetro para medir la diligencia exigible pero no puede ser considerada como una agravante en sí misma. De otra manera, una entidad como ECI llevaría aparejada esta circunstancia agravante cualquiera que fuera la infracción cometida, cualquiera que fuera la diligencia puesta en el caso concreto y cualquiera que fuera la diligencia puesta con carácter general en su modo de operar. No se olvide que, este tipo de entidades, precisamente por su mayor vinculación con el tratamiento de datos, tiene medidas de seguridad específicas, normativas internas, políticas y protocolos de actuación con las que no cuentan otras entidades. Finalmente, se valora como circunstancia negativa “las categorías de los datos de carácter personal afectados por la infracción”. El acuerdo de inicio, pese a reconocer que los datos afectados no están dentro de las categorías especiales de datos, entiende que, en este caso, los datos afectados eran “especialmente sensibles” “por cuanto permite la pronta identificación de los interesados y aumenta los riesgos sobre su privacidad”. Pues bien, este riesgo (que el dato permite la pronta identificación de los interesados aumentando el riesgo sobre su privacidad) podría tener sentido si la infracción hubiera consistido en una cesión indebida de datos, pero nunca en una infracción consistente, precisamente, en el borrado de imágenes que impide, por definición, el riesgo de identificación y la posible afectación a la privacidad. NOVENO: Con fecha 15/03/2024, durante la fase de prueba, se dieron por reproducidas a efectos probatorios la reclamación interpuesta y su documentación, así como los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación; y se tuvieron por presentadas las alegaciones al acuerdo de inicio del procedimiento sancionador formuladas por la entidad ECI y la documentación que a ellas acompaña. Por otra parte, se acordó incorporar al presente procedimiento sancionador el escrito de alegaciones aportado por la entidad ECI durante la tramitación del procedimiento de derechos señalado con el número PD/00187/2022, en fecha 03/08/2022, que incluye, además de copia de correos electrónicos reseñados en los hechos probados 4 y 5 y el escrito aportado por la compañía aseguradora de ECI, de fecha 29/07/2022, reseñado en el Hecho Probado 19, la documentación siguiente: . Plano de situación de las cámaras instaladas en el establecimiento de ECI de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/46 ***LOCALIDAD.1, en el que aparece marcada la “zona incidente” (caída de la reclamante en fecha 08/10/2021), así como las cámaras de videovigilancia próximas y su “zona de visualización habitual”. . Copia de pantalla relativa a la configuración del plazo de conservación de las imágenes, en la que aparece seleccionada la opción de “Borrado automático. 15 días” y “Modo fin de disco. Sobrescribir”. Asimismo, se acordó requerir a la entidad ECI para que aportase la información y/o documentación siguiente, en relación con su centro ubicado en ***LOCALIDAD.1 y el sistema de videovigilancia instalado en el mismo: . Plano del centro, en el que deberá marcarse el lugar en que se produjo la caída sufrida por la reclamante en fecha 08/10/2021, así como la ubicación del botiquín del centro y las salidas, mostrando el recorrido que debió seguir la reclamante desde el lugar de la caída para acceder al botiquín y para salir del centro posteriormente. . Indique el número de cámaras que tiene el sistema de videovigilancia instalado en el centro de ECI de ***LOCALIDAD.1, aportando un plano en el que conste la ubicación y ángulo de visión de todas las cámaras ubicadas en la planta del centro en que se produjo la caída sufrida por la reclamante, todas las cámaras próximas al botiquín del centro, cámaras próximas a todas las salidas y las ubicadas en todos los posibles recorridos que pudo seguir la reclamante desde el lugar de la caída hasta acceder al botiquín y posteriormente a la salida. Deberá indicar el tipo, marca y modelo de las cámaras instaladas, aportando el detalle de sus características técnicas. Finalmente, se requirió a ECI que informase a esta Agencia si, al recibir la solicitud de ejercicio de derechos formulada por la parte reclamante comprobó la existencia de imágenes de su hija, acompañada por su madre y un vigilante de seguridad del centro, captadas por las cámaras de videovigilancia aledañas al lugar en el que se produjo la caída sufrida por la menor o cámaras próximas al botiquín y a las salidas; o por cualquier otra cámara del centro. Para el caso de que la respuesta fuese afirmativa, se solicitó informe sobre el resultado de esas comprobaciones. De lo manifestado por la entidad ECI en respuesta a estos requerimientos cabe destacar lo siguiente: . El centro no dispone de un servicio médico al que se desplazara la hija de la parte reclamante acompañada de su madre. (…). . Sobre la comprobación de imágenes captadas por cámaras aledañas al lugar del incidente, señala que la comunicación de la parte reclamante de fecha 13/10/2021 se refería a las imágenes de la caída sufrida por su hija, por lo que se comprobó la existencia o no de estas imágenes, determinándose que no existía imagen alguna del accidente. Aporta un plano del centro (planta baja), en el que aparece marcado el lugar en el que se produjo la caída, el trazado del recorrido hacia la puerta de salida, la ubicación de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/46 las cámaras con su correspondiente numeración y ángulo de visión. Observando el plano aportado, se comprueba que el recorrido desde el lugar del accidente hasta la salida del centro, bastante largo, tiene instaladas en sus proximidades al menos doce cámaras, alguna sobre el propio recorrido, si bien, según las indicaciones del plano, el ángulo de visión de la mayoría de ellas no permite asegurar que las cámaras hubieran podido captar las imágenes de la hija de la parte reclamante acompañada de su madre y un vigilante de seguridad del centro, excepto la cámara número 110, que está orientada hacia el recorrido trazado en el plano, y la instalada en la propia entrada/salida del establecimiento (cámara 55), situada justo de frente a la salida, que con toda certeza debió tomar imágenes de las afectadas al abandonar el lugar. En el mismo plano se aprecia que existen varios recorridos para alcanzar la salida desde el lugar en que se produjo el accidente, en los cuales existen otras cámaras que también pudieron captar a las personas mencionadas durante su marcha del establecimiento (las señaladas con los números 131, 14, 18 o 105). DÉCIMO: Con fecha 16/04/2024, se formuló propuesta de resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancione a la entidad ECI, con las multas siguientes: - por la infracción del artículo 18 del RGPD, tipificada en el artículo 83.5.
- b)del mismo Reglamento, y calificada como muy grave a efectos de prescripción en el artículo 72.1.
- k)de la LOPDGDD, una multa de 70.000 euros (setenta mil euros). - por la infracción del artículo 15 del RGPD, tipificada en el artículo 83.5.
- b)del mismo Reglamento, y calificada como muy grave a efectos de prescripción en el artículo 72.1.
- k)de la LOPDGDD, una multa de 70.000 euros (setenta mil euros). Asimismo, se propuso que se requiera a ECI para que, en el plazo de tres meses, adopte las medidas necesarias para adecuar su actuación a la normativa de protección de datos personales, con el alcance expresado en el Fundamento de Derecho VII de la propuesta de resolución, debiendo informar a la AEPD de las medidas adoptadas en el mismo plazo. La notificación de esta propuesta de resolución fue debidamente entregada a la parte reclamada en fecha 17/04/2024 mediante comparecencia electrónica en la Sede Electrónica de la AEPD, concediéndosele plazo para formular alegaciones. DÉCIMO PRIMERO: Con fecha 30/04/2024, se recibió escrito de alegaciones a la propuesta de resolución en el que ECI, básicamente, reitera sus alegaciones anteriores y solicita de nuevo el sobreseimiento del expediente. De lo expuesto en este escrito cabe destacar lo siguiente: 1. Inexistencia de imágenes cuya conservación se solicitaba por la parte reclamante. Ausencia de vulneración del derecho a la limitación del tratamiento. La Agencia ha considerado que la solicitud formulada por la parte reclamante para la conservación de las imágenes “de la caída de su hija” se refería a todas las imágenes en las que apareciera su hija ese día y que, en todo caso, de existir dudas sobre el alcance de la solicitud, ECI debió consultar al respecto a la parte reclamada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/46 En cambio, ECI considera que la solicitud era clara en cuanto a su objeto y que únicamente se solicitaron, literalmente, las imágenes de la caída en cuestión, la cual no fue grabada, de modo que no resultaba necesario dirigirse a la parte reclamante para definir el alcance real de la solicitud. Así lo solicitó en el correo inicial de 13/10/2021, en el posterior de 01/11/2021 y en los dos remitidos en fecha 05/11/2021. Solicita que la AEPD aclare por cuánto tiempo y con qué alcance y finalidad se deberían haber conservado las imágenes de ese día, así como la razón jurídica que lo justificaría, pues tales imágenes, en puridad, no están vinculadas a la caída en cuestión. ECI respondió la solicitud dentro del plazo establecido, confirmando a la parte reclamante que no había grabaciones de la caída al no haber cámaras enfocando la zona en la que se produjo. El hecho de que posteriormente la parte reclamante solicitase el acceso a las grabaciones de las cámaras de seguridad colindantes y de las entradas al establecimiento refuerza la interpretación expresada, que no varía por el hecho de que la parte reclamante utilizase el plural al referirse a las “cámaras de seguridad” que hubieran grabado la caída. Este plural no supone que la parte reclamante solicitara, sin decirlo, que se conservasen otras grabaciones que hubieran captado imágenes distintas de su hija aquel día. Únicamente cuando se informa a la parte reclamante que no existían cámaras grabando el lugar donde ocurrió la caída, es cuando solicita -en fecha 18/11/2021- las imágenes grabadas por cámaras “cercanas a la zona del suceso” en las que pudiera verse como la niña era atendida por un guarda de seguridad o las imágenes saliendo del centro comercial, las cuales habían sido borradas de forma automática a los 15 días, al estar así programado. La realidad, según ECI, es que no existe prueba alguna de que las imágenes de la caída de la niña hayan existido, por lo que no puede reprocharse ningún comportamiento infractor. Alterar el objeto de la solicitud por la vía de una interpretación extensiva, desproporcionada, resulta contrario a la presunción de inocencia. Por otra parte, señala que teniendo claro que la solicitud tiene por finalidad conservar las imágenes por si fuera necesario aportarlas en vía judicial y la ausencia de imágenes del lugar en que se produjo el siniestro, no existen razones que justifiquen la conservación de las imágenes grabadas por las cámaras de seguridad colindantes, las cuales no permitirían determinar el alcance de los daños (para lo cual ya está el informe médico de urgencias), ni las posibles responsabilidades que de los daños sufridos se pudieran derivar (para lo cual estarán, en su caso, los testigos y los informes del tramitador del siniestro por cuenta de la compañía de seguros). La propuesta de resolución parece pretender la conservación, más de un mes después del incidente, de las imágenes de las cámaras de seguridad, poco menos que de todo el edificio, por si de ellas se pudiera extraer alguna prueba que permitiera la defensa de los intereses y derechos de la parte reclamante en sede judicial, lo cual es contrario C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/46 a la ley y desproporcionado para la finalidad perseguida. Además, de haber sido esa la intención de la parte reclamante debería haber solicitado la conservación de todas las grabaciones de las cámaras de seguridad en las que apareciese su hija en algún momento ese día. Para determinar el contenido y alcance de la solicitud, es ilustrativa la definición que del término “caída” hace el Diccionario de la Real Academia de la Lengua Española “la acción y efecto de caer o caerse”. La solicitud se refería a las grabaciones de la acción, es decir, del momento en que se caía la hija. Es precisamente esa acción y sus efectos los únicos motivos de interés para la determinación de las causas y de las responsabilidades que de los daños se pudieran derivar. Parece obvio que cuando el reclamante está pidiendo la conservación y acceso a las grabaciones de la caída lo que pretendía era conservar y acceder a las grabaciones del momento en que su hija caía y no cualquier otro anterior ni posterior de otras tomas distintas al emplazamiento en el que el siniestro se produjo. Si la parte reclamante hubiera querido que se conservasen las grabaciones de las cámaras colindantes o de todas las que hubieran grabado a su hija en algún momento, no tenía que haber hecho más que pedirlo en el momento adecuado, esto es, antes de que se procediera a su supresión a los quince días. 2. Respecto a la sanción impuesta por no dar respuesta a la solicitud del derecho de acceso. Conculcación del principio de “non bis in idem”. Entiende ECI no se justifica imponer dos sanciones por una misma conducta y conforme a unos mismos hechos, cuando la realidad es que la razón que justifica la imposición de la primera (no conservación de las grabaciones), ya implica irremediablemente la imposición de la segunda (por la imposibilidad de dar acceso a las grabaciones de unas imágenes que habían sido borradas por el transcurso del término de quince días). Se impone una duplicidad de sanciones en un caso con identidad de sujeto, hecho y fundamento, vulnerando el principio “non bis in idem”. Este principio no permite imponer una doble sanción por los mismos hechos a un mismo sujeto, cuando estos hechos lesionan el mismo bien jurídico protegido, como sucede en este caso y, cuando, además, la comisión de la primera infracción lleva aparejada la comisión de la segunda. 3. Respecto al contenido del derecho de acceso en ausencia de tratamiento. Extemporánea solicitud de acceso a las imágenes de las cámaras de seguridad colindantes. Sobre esta cuestión, ECI reitera lo manifestado en sus escritos anteriores sobre la inexistencia de imágenes; la posible confusión al respecto que pudieron generar los correos electrónicos intercambiados por las partes y por la compañía aseguradora; o que el acceso a las imágenes de las cámaras colindantes (cámaras nº 99, 107 y 135) se solicitó más de un mes después del siniestro, cuando las imágenes que hubieran podido captar ya habían sido eliminadas conforme a los procedimientos legalmente establecidos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/46 A este respecto, reitera que consta acreditada la configuración del plazo de conservación del videograbador del centro, según la cual las imágenes se archivan durante un plazo máximo de 15 días, de modo que, si en dichas grabaciones no se aprecia ningún tipo de incidente, los sistemas están configurados para suprimir el contenido de manera automática. Destaca nuevamente que, en el momento mismo en que recibió la primera solicitud de conservación de las imágenes del accidente, se comprobó que esas imágenes no existían e informó sobre ello a la parte reclamante, dando respuesta al ejercicio de los derechos. Nada más se podía exigir a la entidad reclamada. No ha habido, por tanto, ni ánimo de ocultación de información por parte de mi representada, ni perjuicio alguno para la tutela judicial efectiva del afectado. 4. Respecto de la estimación de una de las pretensiones de ECI. Ausencia de reducción de la sanción propuesta. La propuesta de resolución elaborada, a pesar de estimar la alegación formulada por ECI sobre la no aplicación al presente caso de la circunstancia relativa a la categoría de datos personales afectados por la infracción, propone una multa por importe de 70.000 euros, similar al señalado en el acuerdo de apertura del procedimiento. Ello supone que esa estimación no ha sido valorada al determinar la sanción propuesta, conculcando los principios de seguridad jurídica y de interdicción de la arbitrariedad. Si en el curso del procedimiento sancionador se aprecia que una de las circunstancias agravantes inicialmente consideradas no debe ser tomada en consideración, parece razonable proponer una reducción del importe de la sanción. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Con fecha 08/10/2021, sobre las 20:00 horas, la hija de la parte reclamante, menor de edad, sufrió una caída en la planta baja del centro comercial de ECI ubicado en ***LOCALIDAD.1, golpeándose contra una plataforma, que le produjo heridas en la cara por las que fue asistida en un centro hospitalario. SEGUNDO: La entidad ECI es titular y responsable del sistema de videovigilancia instalado en su centro comercial ***CENTRO.1 ubicado en ***LOCALIDAD.1. La entidad ECI ha informado que el sistema cuenta con (…). En relación con el plazo de conservación de las imágenes captadas por las videocámaras, la configuración del sistema de grabaciones tiene seleccionada la opción de “(…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/46 Consta incorporado a las actuaciones, aportado por la entidad ECI, un plano del establecimiento en el que aparece marcado el lugar donde se produjeron los hechos reseñados en el Hecho Probado Primero (“zona incidente”), así como la ubicación de las cámaras de videovigilancia próximas y su “zona de visualización habitual”. Según este plano, no existe ninguna cámara en la zona del siniestro y ninguna de las cámaras próximas enfoca dicha zona. Aporta un plano del centro (planta baja), en el que aparece marcado el lugar en el que se produjo la caída, el trazado del recorrido hacia la puerta de salida, la ubicación de las cámaras con su correspondiente numeración y ángulo de visión. Según este plano, el recorrido desde el lugar del accidente hasta la salida del centro, tiene instaladas en sus proximidades al menos doce cámaras, siendo probable que las imágenes de la hija de la parte reclamante acompañada de su madre y un vigilante de seguridad del centro fueran captadas por la cámara número XXX, que está orientada hacia el recorrido trazado en el plano, y la instalada en la propia entrada/salida del establecimiento (cámara XX), situada justo de frente a la salida, que con toda certeza debió tomar imágenes de las afectadas al abandonar el lugar. En el mismo plano se aprecia que existen varios recorridos para alcanzar la salida desde el lugar en que se produjo el accidente, en los cuales existen otras cámaras que también pudieron captar a las personas mencionadas durante su marcha del establecimiento (las señaladas con los números XXX, XX, XX o XXX). TERCERO: Con fecha 13/10/2021, la parte reclamante remitió un correo electrónico a la entidad ECI, a la dirección “***EMAIL.1”, con el texto siguiente: “Mi hija… (nombre y apellidos), de X años, sufrió una caída el pasado viernes 8 de octubre de 2021 sobre las 20:00 horas en el centro comercial de El Corte Inglés ubicado en ***LOCALIDAD.1, como consecuencia de resbalar y golpearse contra una plataforma cortante y con esquinas en pico. El impacto le supuso heridas en el pómulo derecho muy cerca del ojo y un corte en la parte superior de la nariz, en principio sin consecuencias para la vista. Inicialmente un guarda de seguridad de El Corte Inglés se acercó con el botiquín y con posterioridad la niña fue llevada hasta el Servicio de Urgencias del Hospital Universitario de XXXXXXX en ***LOCALIDAD.1, para un reconocimiento por parte de un médico. Con la finalidad de encontrar una solución por la vía amistosa, según lo indicado presencialmente el lunes 11 de octubre de 2021 por el Servicio de Atención al Cliente de El Corte Inglés de ***LOCALIDAD.1, remito el presente correo electrónico solicitando la indemnización correspondiente por los daños físicos y psíquicos ocasionados a… (nombre y apellidos de la menor). Adjunto remito: . Fotografías de las heridas sufridas tras la limpieza inicial con el botiquín de la zona afectada. . Informe médico del Servicio de Urgencias. . Fotografía de la zona del suceso, cerca de la entrada del hipermercado. Solicito expresamente la conservación de la grabación de las cámaras de seguridad de la caída de mi hija, por si fuera necesario aportarlas como documentación en el supuesto de verme obligado a acudir a la vía judicial. Ruego acuse de recibo y plazo estimado de respuesta” . Este correo fue reenviado en la misma fecha a la misma dirección indicada, constando que fue leído unos minutos después de su envío. CUARTO: Con fecha 27/10/2021, el Centro de ECI de ***LOCALIDAD.1 remitió un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/46 correo electrónico a la “Gerencia de Riesgos y Seguros” de la propia entidad, con el texto siguiente: “Te remito correo de reclamación de cliente referido a caída sufrida por su hija en nuestro centro. La caída se produjo al golpearse contra la base/zócalo del expositor de cortinas de baño. En otro correo adjunto te remito otras dos fotos que hemos sacado nosotros para aclarar la zona de la caída. La caída ha sido fortuita, sin haber ningún elemento que produjese la caída, más allá de la base donde cayó”. QUINTO: Con fecha 27/10/2021, la entidad ECI remite un correo electrónico a su compañía aseguradora, con el texto siguiente: “A continuación le comunico siniestro ocurrido el pasado 08/10/2021 en el centro de ***LOCALIDAD.1. Se adjunta mail de reclamación del padre de la menor adjuntando parte médico y fotos de los daños sufridos. Según nos indica el centro en el mail adjunto la menor cae golpeándose con la tarima que se encuentra bajo el expositor de cortinas de baño de manera fortuita golpeándose con el pico de la misma. Rogamos envíen escrito de rehuse según lo indicado por el centro”. SEXTO: Con fecha 01/11/2021, la parte reclamante remitió un correo electrónico a la entidad ECI, a la dirección “***EMAIL.1”, con el texto siguiente: “Según conversación telefónica, después del tiempo transcurrido, todavía no he recibido respuesta de El Corte Inglés a mi petición. Por otro lado, reitero mi solicitud expresa de conservación y envío a esta parte de la grabación de las cámaras de seguridad de la caída de mi hija. Ruego acuse de recibo”. Consta que este correo fue leído en la misma fecha por el destinatario. SÉPTIMO: Con fecha 01/11/2021, ECI remitió a la parte reclamante un correo electrónico con el texto siguiente: “Según le hemos comentado telefónicamente, toda la documentación se ha remitido a nuestra compañía de seguros, quienes contactarán con usted a través de correo”. OCTAVO: Con fecha 05/11/2021, la compañía de seguros de ECI, desde la dirección “***EMAIL.2”, remitió un correo electrónico a la parte reclamante, al que se adjunta un escrito de respuesta elaborado en la misma fecha por el Centro Operativo de Siniestros de dicha compañía aseguradora, informando lo siguiente: “En nombre de la compañía aseguradora de El Corte Inglés y respecto al siniestro de referencia, lamentamos comunicarle que no podremos hacernos cargo de las consecuencias económicas del mismo al no existir responsabilidad por parte de nuestro asegurado”. NOVENO: Con 05/11/2021, la parte reclamante remitió un correo electrónico a la compañía aseguradora de ECI, a la dirección “***EMAIL.2”, con el texto siguiente: “Recibida su comunicación, ruego detalle los motivos por los cuales no existe responsabilidad por parte del asegurado”. DÉCIMO: Con fecha 05/11/2021, la parte reclamante remitió un correo electrónico a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/46 entidad ECI, a la dirección “***EMAIL.1”, con el texto siguiente: “Recibida respuesta de la compañía de seguros, una vez más, reitero mi solicitud expresa de envío a esta parte de la grabación de las cámaras de seguridad de la caída de mi hija”. DÉCIMO PRIMERO: Con fecha 05/11/2021, la compañía de seguros de ECI, desde la dirección “***EMAIL.2”, remitió un correo electrónico a la parte reclamante con el siguiente texto: “La caída se produce de forma fortuita, no existiendo negligencia por parte del asegurado y encontrándose las instalaciones en perfecto estado de conservación cumpliendo con la normativa legal aplicables”. DÉCIMO SEGUNDO: Con fecha 05/11/2021, la parte reclamante remitió un correo electrónico a la compañía aseguradora de ECI, con el texto siguiente: “Gracias por la información. Ruego envío a esta parte de la grabación de las cámaras de seguridad de la caída de mi hija”. DÉCIMO TERCERO: Con fecha 05/11/2021, la compañía de seguros de ECI remitió un correo electrónico a la parte reclamante con el siguiente texto: “Respecto a su solicitud, lamentamos comunicarles que, en cumplimiento de la Ley de Protección de datos, no podemos facilitarle ninguna copia de las grabaciones de las cámaras de seguridad”. DÉCIMO CUARTO: Con fecha 05/11/2021, la parte reclamante remitió un correo electrónico a la compañía aseguradora de ECI, con el texto siguiente: “Es la única forma de contrastar los motivos alegados por ***ASEGURADORA.1 y entiendo que se puede pixelar al resto de personas que aparecen en la grabación”. DÉCIMO QUINTO: Con fecha 12/11/2021, ECI remitió a la parte reclamante un correo electrónico con el texto siguiente: “Como respuesta a su solicitud, lamentamos comunicarle que, en la zona de Cortinas de Baño del Departamento Textil-hogar, de nuestro centro comercial de ***LOCALIDAD.1, no disponemos de ninguna cámara enfocando a dicha zona, por lo que no existen imágenes del incidente que usted nos relata”. DÉCIMO SEXTO: Con fecha 18/11/2021, la parte reclamante remitió un correo electrónico a la entidad ECI, a la dirección “***EMAIL.1”, con el texto siguiente: “Teniendo en cuenta su respuesta, reitero mi solicitud expresa de envío a esta parte de la grabación de las cámaras de seguridad del 8 de octubre de 2021 sobre las 20:00 horas en el centro comercial de El Corte Inglés ubicado en ***LOCALIDAD.1, cercanas a la zona del suceso, en las que se pueda ver: . A un guarda de seguridad llevando a mi mujer un botiquín para realizar la primera atención a la niña. . A mi hija saliendo del centro comercial sangrando junto con su madre y su hermano, hacia las urgencias del hospital”. DÉCIMO SÉPTIMO: Con fecha 18/11/2021, la parte reclamante remitió un correo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/46 electrónico a la compañía aseguradora de la entidad ECI, con el texto siguiente: “Después de solicitarlo en distintas ocasiones, ***ASEGURADORA.1 se ha negado a aportar la grabación de todas las cámaras de seguridad del 8 de octubre de 2021 sobre las 20:00 horas en el centro comercial de El Corte Inglés ubicado en ***LOCALIDAD.1, cercanas a la zona del suceso, en las que se puede ver: . La caída de mi hija. . A un guarda de seguridad llevando a mi mujer un botiquín para realizar la primera atención a la niña. . A mi hija saliendo del centro comercial sangrando junto con su madre y su hermano, hacia las urgencias del hospital. Esa falta de transparencia de la compañía de seguros, desde el punto de vista de esta parte, indica mala fe e interés por ocultar la existencia de una sustancia / líquido / humedad en el suelo en esa zona en el momento de la caída de mi hija, sin señalizar, lo que provocó que resbalara y se diera un fuerte golpe cerca del ojo derecho y en el tabique nasal, cuyas marcas todavía permanecen en su cara. Si en el plazo de 10 días hábiles no recibo una propuesta para resolver este asunto por la vía amistosa, lamentablemente me veré obligado a iniciar la reclamación por la vía judicial”. DÉCIMO OCTAVO: Con fecha 22/11/2021, ECI remitió a la parte reclamante un correo electrónico con el texto siguiente: “Respecto a su solicitud de envío las de grabaciones a las que se refieren su correo de 18.11.21, le comunico que, dependiendo de la capacidad de almacenamiento del disco duro del videograbador, las imágenes se almacenan durante 7/15 días, tras lo cual se borran de forma automática, por lo que dichas imágenes fueron borradas automáticamente”. DÉCIMO NOVENO: La compañía aseguradora de ECI, mediante escrito fechado el 29/07/2022, dirigido a la misma entidad ECI, informa lo siguiente: “En relación con el expediente de referencia, comunicarles que ***ASEGURADORA.1 no dispone de ninguna grabación relacionada con el siniestro, por error se ha trasladado al cliente una respuesta genérica que habitualmente se comunica a quienes solicitan estas grabaciones”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/46 II Respuestas a las alegaciones a la propuesta de resolución 1. Inexistencia de imágenes cuya conservación se solicitaba por la parte reclamante. Ausencia de vulneración del derecho a la limitación del tratamiento. En sus alegaciones a la propuesta de resolución, ECI reitera los razonamientos que ya expuso anteriormente, sin atender los motivos y argumentos valorados para determinar la existencia de infracción. Estos argumentos, reproducidos en los Fundamentos de Derecho que siguen, que describen la actuación que viene obligada a seguir la entidad responsable del tratamiento para evaluar convenientemente una solicitud de ejercicio de derechos, responden suficientemente las alegaciones formuladas. ECI cuestiona la decisión de la AEPD alegando que la misma resulta de una interpretación extensiva y desproporcionada de la solicitud de la parte reclamante. A este respecto, mantiene que la solicitud de limitación del tratamiento era clara en cuanto a su objeto según su expresión literal, entendiendo que la utilización del plural al referirse a las “cámaras de seguridad” que hubieran grabado la caída no supone que la parte reclamante solicitara, sin decirlo, que se conservasen otras grabaciones que hubieran captado imágenes distintas de su hija aquel día. Asimismo, considera que la intención de la parte reclamante no era la conservación de cualquier otra imagen, distinta a la propia caída, llegando a afirmar que esas otras imágenes no resultan de interés para determinar las responsabilidades por los daños. En definitiva, ECI basa todo su alegato, precisamente, en una interpretación de dicha solicitud que no le corresponde, menos aún en sentido restrictivo, como bien se explica más adelante. Se atreve incluso a valorar si las imágenes son pertinentes o no para los fines pretendidos por la parte reclamante, si permiten o no determinar el alcance de los daños. Llega a exigir que esta Agencia aclare por cuánto tiempo y con qué alcance y finalidad se deberían haber conservado las imágenes de ese día, así como la razón jurídica que lo justificaría, cuando todo ello es claro. Una vez conocido el interés de la parte reclamante, el tiempo de conservación alcanzará a todo el necesario para atender los derechos, debiendo permanecer las imágenes disponibles en caso de que las partes ejerciten posibles acciones, incluida la revisión de los hechos que corresponde a esta Agencia en caso de reclamación y la resolución de los recursos que puedan formularse contra las decisiones que se adopten en esta vía. La razón jurídica es precisamente esa. Lo mismo se diría en caso de que la propia entidad ECI hubiese decidido conservar las imágenes por más tiempo del establecido para su propia defensa, en caso de que la parte reclamante hubiese iniciado en otra vía alguna reclamación por daños o cualquier otra acción de responsabilidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/46 Y no se trata con ello, como afirma ECI, de mantener las imágenes de las cámaras de seguridad de todo el edificio, sino solo aquellas que conciernen a los interesados, todas ellas, y no únicamente las que la entidad responsable considere adecuadas o pertinentes según su propia valoración de los hechos. No le corresponde, como se ha dicho, interpretar si las imágenes sirven a los propósitos de los interesados o si son adecuadas o no para los fines manifestados. Respecto de todo lo anterior, cabe indicar que las circunstancias alegadas por ECI respecto al objeto y alcance de la solicitud de limitación del tratamiento no responden a las cuestiones valoradas en su respuesta al derecho ejercitado, pues su actuación se limitó a gestionar la reclamación por daños de la parte reclamante mediante el traslado de la petición a su compañía aseguradora. Por otra parte, aunque ya se indica en los siguientes Fundamentos de Derecho, interesa aquí responder a la alegación planteada por ECI en su respuesta a la propuesta de resolución, según la cual entiende dicha entidad que respondió en forma la solicitud y dentro del plazo establecido. Ninguna de estas afirmaciones es cierta. Examinando la actuación de las partes, puede decirse que si ECI respondió al derecho ejercitado fue por la insistencia de la parte reclamante, que en todo momento realizó un seguimiento puntual de su petición, y esa respuesta se limitó a indicar que no existían cámaras en la zona en que se produjo la caída de la menor, sin haber realizado una verdadera evaluación de la solicitud de ejercicio de derechos. El relato de hechos probados permite deducir, incluso, que el devenir de los acontecimientos hubiese sido bien distinto si ECI hubiese respondido en tiempo y forma. Además, considerando que la propia entidad ECI estableció el plazo de conservación de las imágenes en quince días, la respuesta al derecho a la limitación del tratamiento cuando ya había transcurrido un mes se entiende realizada fuera de plazo. Este solo hecho es suficiente, en sí mismo considerado, para concluir la existencia de infracción. Por último, interesa destacar, en respuesta a la alegación sobre la falta de prueba que acredite la existencia de imágenes, que ECI no ha realizado alusión alguna en sus alegaciones a las conclusiones obtenidas durante la fase de prueba del presente procedimiento sancionador. 2. Respecto a la sanción impuesta por no dar respuesta a la solicitud del derecho de acceso. Conculcación del principio de “non bis in idem”. ECI invoca el principio de “non bis in idem”, entendiendo que la imposición de dos sanciones por no haber dado respuesta a los derechos a la limitación del tratamiento y acceso a los datos personales es improcedente y contraria a derecho. Sin embargo, la no atención de los derechos a la limitación del tratamiento y de acceso a los datos personales constituyen conductas separadas que lesionan diferentes bienes jurídicos, recogidos en artículos distintos. Estas conductas se ponen de manifiesto o consuman en momentos diferentes, siendo ambas merecedores de reproche. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/46 No se da en este caso, por tanto, la triple identidad que requiere la aplicación del non bis in idem, de hecho, sujeto y fundamento o bien jurídico protegido por la norma. Además, ECI ha señalado que la comisión de la primera infracción, por no atención del derecho a la limitación del tratamiento, lleva aparejada la comisión de la segunda, por la imposibilidad de dar acceso a las grabaciones de unas imágenes que habían sido borradas y cuya conservación no había sido solicitada. En este caso, la falta de atención del derecho a la limitación del tratamiento no conlleva irremediablemente la comisión de la otra conducta vulneradora de la norma que se analiza, esto es, la no atención del derecho de acceso. ECI conocía el interés de la parte reclamante en las imágenes objeto de las actuaciones desde la primera comunicación que recibe de ésta, en la que comunica el siniestro sufrido por su hija y solicita una indemnización por los daños, respecto de lo cual propone “encontrar una solución amistosa”. En la misma comunicación advierte la parte reclamante sobre su interés en las imágenes, para el caso de que fuera necesario acudir a la vía judicial. Viene a significar que, de no prosperar la solución amistosa que pretende, su intención es acudir a la vía judicial y aportar las imágenes que acreditan la caída sufrida por si hija y los daños ocasionados por la misma. Con este fin ejercitó la parte reclamante el derecho a la limitación del tratamiento para que las imágenes fuesen conservadas. Sin embargo, los presupuestos de hecho expuestos ya justificaban por sí solos la no supresión de las imágenes en cuestión por más tiempo del establecido (15 días), incluso sin el ejercicio del derecho a la limitación del tratamiento. Conocido el interés de la parte reclamante y los motivos de ese interés, la propia entidad ECI debió disponer la no supresión de las imágenes en garantía del posible ejercicio del derecho de acceso que pudiera formular la parte reclamante en caso de no resolverse la controversia suscitada por una vía de acuerdo, como bien planteo la misma en esa primera comunicación que dirigió a la entidad responsable. Para justificar esta conclusión, resultan plenamente de aplicación los argumentos que se expresan en el Fundamento de Derecho siguientes. De este modo, el incumplimiento de lo dispuesto en el artículo 15 del RGPD, que regula el derecho de acceso, resulta ajeno al ejercicio del derecho a la limitación del tratamiento, por cuanto, atendiendo a los hechos que siguieron a aquella comunicación, dicho incumplimiento se hubiese producido igualmente, en la medida en que ECI limitó su actuación a gestionar la solicitud de indemnización planteada, con la remisión del asunto a la compañía aseguradora, ignorando por completo la cuestión suscitada respecto de la imágenes captadas por su sistema de videovigilancia y dejando, sin más acción, que el sistema implantado se ocupara de la supresión automatizada de las mismas por el simple transcurso del plazo de conservación establecido por la propia entidad responsable. En definitiva, nos encontramos ante dos infracciones distintas, que no traen causa una de la otra. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/46 Así, la AEPD no sanciona por una misma ofensa, como aduce la entidad ECI, sino que se ha constatado a través de hechos probados la comisión de dos infracciones diferenciadas, tipificadas de forma diferenciada, que responden a dos procesos de ejercicio de derechos distintos, no existiendo, además, en el caso concreto, concurso medial. Y ello porque en este caso, la comisión de la infracción del artículo 18 del RGPD no constituye el medio necesario para cometer la infracción del artículo 15 del RGPD. 3. Respecto al contenido del derecho de acceso en ausencia de tratamiento. Extemporánea solicitud de acceso a las imágenes de las cámaras de seguridad colindantes. Sobre esta cuestión, la entidad ECI no plantea nada distinto a las alegaciones puestas de manifiesto con anterioridad, suficientemente contestadas en los Fundamentos de Derecho que siguen, que reproducen los argumentos expuestos en la propuesta de resolución, los cuales se consideran válidos. No obstante, se estima oportuno destacar que ECI, si bien hace referencia a las cámaras colindantes al lugar en que se produjo el accidente, señalando que al recibir la solicitud comprobó que no existían imágenes del accidente, no hace ninguna alusión al resto de cámaras que pudieron captar alguna imagen de los afectados según las determinaciones obtenidas en la fase de pruebas de este procedimiento. No niega, por tanto, la existencia de estas cámaras ni la posibilidad de que hubiesen captado imágenes de interés para la parte reclamante. 4. Respecto de la estimación de una de las pretensiones de ECI. Ausencia de reducción de la sanción propuesta. ECI alega que la propuesta de resolución estimó una de sus alegaciones, para que no fuera considerada en la determinación de la sanción a imponer la circunstancia relativa a la categoría de datos personales afectados por la infracción y, a pesar de ello, se mantuvo el importe de la multa según la cuantificación realizada inicialmente, en el momento de la apertura del procedimiento sancionador. Sin embargo, en su exposición, omite que la propuesta tuvo en cuenta un factor de graduación no considerado al inicio, como es “la afectación a los derechos de los menores”, previsto en el artículo 76.2.
- f)de la LOPDGDD, por cuanto el presente caso está relacionado con datos personales relativos a la hija de la parte reclamante, menor de edad. No existe ninguna duda sobre la concurrencia en este caso de este criterio de graduación, ni sobre la oportunidad de su consideración como circunstancia agravante, que determina la imposición de una sanción por importe superior, a fin de que esta sanción resulte proporcional al caso individual analizado. Así, la sanción propuesta tiene fundamento jurídico suficiente y la actuación seguida se ajusta a las normas de aplicación, de modo que no pueden entenderse vulnerados los principios de interdicción de la arbitrariedad de los poderes públicos y de seguridad jurídica, en la medida en que es la propuesta de resolución la que fija los hechos que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/46 se tienen por probados y su exacta calificación jurídica, así como la sanción que se propone, acorde al grado de responsabilidad atribuible al sujeto infractor y a las circunstancias concurrentes. III Derecho a la limitación del tratamiento. Derecho de acceso. Aspectos formales relativos al ejercicio de los derechos. Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. En lo que se refiere al derecho a la limitación del tratamiento, el RGPD estipula en su artículo 18 lo siguiente: “1. El interesado tendrá derecho a obtener del responsable del tratamiento la limitación del tratamiento de los datos cuando se cumpla alguna de las condiciones siguientes:
- a)el interesado impugne la exactitud de los datos personales, durante un plazo que permita al responsable verificar la exactitud de los mismos;
- b)el tratamiento sea ilícito y el interesado se oponga a la supresión de los datos personales y solicite en su lugar la limitación de su uso;
- c)el responsable ya no necesite los datos personales para los fines del tratamiento, pero el interesado los necesite para la formulación, el ejercicio o la defensa de reclamaciones;
- d)el interesado se haya opuesto al tratamiento en virtud del artículo 21, apartado 1, mientras se verifica si los motivos legítimos del responsable prevalecen sobre los del interesado. 2. Cuando el tratamiento de datos personales se haya limitado en virtud del apartado 1, dichos datos solo podrán ser objeto de tratamiento, con excepción de su conservación, con el consentimiento del interesado o para la formulación, el ejercicio o la defensa de reclamaciones, o con miras a la protección de los derechos de otra persona física o jurídica o por razones de interés público importante de la Unión o de un determinado Estado miembro. 3. Todo interesado que haya obtenido la limitación del tratamiento con arreglo al apartado 1 será informado por el responsable antes del levantamiento de dicha limitación”. Como titular de sus datos de carácter personal, el interesado afectado por el tratamiento puede ejercitar ante el responsable del tratamiento este derecho a la limitación del tratamiento cuando se cumplan alguna de las condiciones señaladas. Sobre el derecho de acceso, el RGPD establece en su artículo 15 lo siguiente: “1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
- a)los fines del tratamiento;
- b)las categorías de datos personales de que se trate;
- c)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/46
- d)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
- e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
- f)el derecho a presentar una reclamación ante una autoridad de control;
- g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
- h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado.” 2.Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3.El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4.El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros”. Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como la información enumerada en el artículo antes citado. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder sin dilación indebida y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud, salvo que pueda demostrar que no está en condiciones de identificar al interesado, así como a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Significa que la información deberá darse lo antes posible, de modo que si es posible facilitarla en un plazo inferior a un mes el responsable deberá hacerlo así. Se entiende que, en caso de existir un período de almacenamiento, este período deberá considerarse al determinar el plazo de respuesta. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/46 Por otra parte, la comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. Con carácter general, al recibir una solicitud de ejercicio de derechos, la entidad responsable debe evaluarla de forma individual para determinar su contenido específico, teniendo en cuenta para ello que la obligación de facilitar el ejercicio de los derechos de los interesados prevista en el artículo 12.2 del RGPD conlleva que el responsable otorgue el efecto más amplio posible al derecho ejercitado. Se evitará realizar una interpretación restrictiva sobre alcance de la solicitud formulada, así como valorar los motivos por los que el interesado presenta dicha solicitud, los cuales en ningún caso pueden condicionar la respuesta que se facilite. Esa evaluación debe fijar en primer término los datos personales a que se refiere la solicitud. Como regla, deberá entenderse que la solicitud se refiere a todos los datos, salvo que el interesado especifique claramente otra cosa y esta limitación, recogida en la solicitud, no plantee dudas sobre la verdadera voluntad del interesado que obliguen al responsable a interpretarla. En la determinación del objeto al que se refiere la solicitud puede considerarse el contexto en el que se produce, las circunstancias específicas del caso y cualquier información que el interesado incluya en la misma. Se trata de que la evaluación que realice el responsable sobre el contenido de la solicitud de ejercicio de derechos sea clara e inequívoca, teniendo siempre presente que un ciudadano medio no conoce con detalle la normativa ni puede valorarla adecuadamente, dada su complejidad Si la solicitud se expresa en términos muy generales o no pudiera determinarse su objeto, por la razón que fuere, el responsable no podrá aplicar límites o restricciones al derecho ejercitado y vendrá obligado, antes de responder, a solicitar al interesado información adicional para que especifique la información o los tratamientos a que se refiere la solicitud. La evaluación que realice la entidad responsable debe reflejar siempre la situación en el momento en que recibió la solicitud, garantizando así que la respuesta se ajuste a la información disponible en dicho momento. En cuanto al tiempo de respuesta, el responsable viene obligado también a establecer procedimientos que posibiliten atender las solicitudes sin dilación indebida, adaptando dichos procedimientos a las circunstancias del tratamiento. Cuando los datos se conserven durante un período corto de tiempo, la atención de los derechos tiene que producirse antes de la supresión de los datos, evitando que esta supresión tenga lugar durante la tramitación de la solicitud. En estos casos, si fuera necesario solicitar información adicional al interesado sobre el objeto de su reclamación, deberá tenerse en cuenta la supresión de los datos programada y adoptar las medidas oportunas para que no se produzca sin antes atender el derecho. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/46 Así, si no fuera posible enviar la preceptiva respuesta al interesado antes de la supresión de los datos personales prevista, los datos deberán conservarse por más tiempo del establecido o deberá haberse previsto su recuperación, con la sola finalidad en ambos casos de atender el derecho. Este tratamiento de datos por tiempo superior al establecido queda amparado por lo dispuesto en el artículo 6.1.
- c)del RGPD, al resultar “necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento”. Entender lo contrario sería tanto como vaciar de contenido las normas que regulan el ejercicio de derechos en materia de protección de datos personales. IV Obligación incumplida. Atención de solicitudes de ejercicio de derechos En el presente caso, la parte reclamante ejercitó ante la parte reclamada el derecho a la limitación del tratamiento y el derecho de acceso a sus datos personales, en relación con las imágenes captadas por el sistema de videovigilancia instalado en un centro comercial de la parte reclamada con ocasión de una caída sufrida por su hija menor de edad, en fecha 08/10/2021. Las actuaciones incorporadas al expediente acreditan que el sistema captó imágenes relacionadas con este incidente, si no de la caída propiamente dicha, sí al menos de la hija de la parte reclamante siendo atendida por un vigilante de seguridad del centro provisto de un botiquín, o de la menor acompañada de su madre y dicho vigilante dirigiéndose a la salida y abandonando el centro. En primer lugar, mediante correo electrónico de fecha 13/10/2021, la parte reclamante explicó a la parte reclamada el accidente sufrido por su hija y solicitó expresamente “la conservación de la grabación de las cámaras de seguridad de la caída de su hija”, indicando que formulaba dicha petición por si fuera necesario aportarlas como documentación en el supuesto de verse obligado a acudir a la vía judicial. La parte reclamante, en relación con la caída de su hija, informa sobre la fecha, hora y lugar en que se produjo, las causas de la caída y las heridas sufridas por la menor; advierte que fue atendida por una guarda de seguridad del centro, provisto de un botiquín, y fue posteriormente llevada a un centro hospitalario. Además, propuso una solución amistosa del incidente y solicitó una indemnización por los daños, aportando al efecto, fotografías de las heridas sufridas por la menor y de la zona en la que tuvo lugar la caída. Esta petición fue reiterada en fecha 01/11/2021 (“reitero mi solicitud expresa de conservación… de la grabación de las cámaras de seguridad de la caída de mi hija”), ante la falta de respuesta de la parte reclamada (“…todavía no he recibido respuesta… a mí petición”). En el mismo correo electrónico de 01/11/2021 en el que la parte reclamante reiteró aquella petición inicial, solicitó, asimismo, el acceso a los datos personales para que le fuera facilitada la grabación de las cámaras de seguridad de la caída de su hija (“y envío a esta parte de la grabación de las cámaras de seguridad de la caída de mi hija”). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/46 Como única respuesta a los correos anteriores, el 01/11/2021, la entidad ECI respondió a la parte reclamante que la documentación había sido remitida a su compañía de seguros, que sería la que contactase con el interesado, como así hizo esta compañía el 05/11/2021, comunicando a la parte reclamante que no podían hacerse cargo de las consecuencias económicas del siniestro al no existir responsabilidad de ECI, que la caída se produce de forma fortuita, y que no existe negligencia de la parte reclamada al encontrarse las instalaciones en perfecto estado de conservación. Conocido este pronunciamiento de la aseguradora, la parte reclamante reiteró su petición de acceso a la grabación ante la parte reclamada y ante la compañía aseguradora mediante sendos correos electrónicos de fecha 05/11/2021. La aseguradora responde en la misma fecha del 05/11/201, indicando a la parte reclamante que no podía facilitar ninguna copia de las grabaciones de las cámaras de seguridad “en cumplimiento de la Ley de Protección de Datos”. Ninguna de aquellas solicitudes de ejercicio de derechos fue respondida por ECI de forma específica. Es decir, ECI no remitió a la parte reclamante una respuesta relativa a los derechos a la limitación del tratamiento y de acceso a las grabaciones. En su lugar, se limitó a responder mediante un correo electrónico de fecha 12/11/2021 indicando que el mismo se enviaba “como respuesta a su solicitud”, sin aclarar a cuál de ellas se refería. En esta respuesta se indica a la parte reclamante que no dispone de ninguna cámara enfocando la zona en la que se produjo la caída de la niña (“zona de Cortinas de Baño del Departamento Textil-hogar”), “por lo que no existen imágenes del incidente”. Considerando la respuesta recibida, la parte reclamante, en fecha 18/11/2021, solicitó a la parte reclamada el acceso a las grabaciones de cámaras cercanas a dicha zona. En concreto, solicitó: “Teniendo en cuenta su respuesta, reitero mi solicitud expresa de envío a esta parte de la grabación de las cámaras de seguridad del 8 de octubre de 2021 sobre las 20:00 horas en el centro comercial de El Corte Inglés ubicado en ***LOCALIDAD.1, cercanas a la zona del suceso, en las que se pueda ver: . A un guarda de seguridad llevando a mi mujer un botiquín para realizar la primera atención a la niña. . A mi hija saliendo del centro comercial sangrando junto con su madre y su hermano, hacia las urgencias del hospital”. En la misma fecha, la parte reclamante envía otro correo a la aseguradora con una petición similar. La parte reclamada contestó al correo anterior en fecha 22/11/2021, señalando que esas imágenes habían sido “borradas automáticamente”, ya que se almacenan únicamente durante un plazo de entre 7 y 15 días. En resumen, con fecha 13/10/2021, tres días después del accidente sufrido por la hija de la parte reclamante, ésta ejerció inicialmente su derecho a la limitación del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/46 tratamiento, toda vez que solicitó a la parte reclamada la conservación de las imágenes de la caída de su hija Son varios los aspectos que deben destacarse de esta solicitud. Por un lado, que la solicitud expresa todos los detalles del siniestro ocurrido, con indicación del lugar, la hora, los daños producidos y la reacción del personal de ECI al respecto. Asimismo, se solicita una indemnización por los daños sufridos, que se acreditan mediante fotografías y el informe médico del Servicio de Urgencias que atendió a la menor, proponiendo al tiempo una solución amistosa. Por otro lado, y más importante, que en la misma solicitud se expresa la finalidad pretendida con el ejercicio de este derecho, que no es otra que garantizar un posterior ejercicio del derecho de acceso a las imágenes en cuestión, el cual se anuncia en esta comunicación, para el caso de que posteriormente se entablaran acciones de responsabilidad, como así hizo frente a la entidad reclamada, y con la finalidad de acudir a los tribunales si fuera necesario. Además, la parte reclamante solicitó genéricamente la conservación de las imágenes de las “cámaras de seguridad de la caída de su hija”. Es decir, no únicamente de la zona concreta en que se produjo el accidente, sino cualquier otra que estuviera relacionada con la caída. En base a todo ello, queda claro que la entidad ECI conoció con todo detalle el contexto en el que se formuló la solicitud de conservación de las imágenes del accidente grabadas por el sistema de videovigilancia instalado en el centro en cuestión. Según lo expuesto, entiende esta Agencia que el derecho a la limitación del tratamiento ejercitado por la parte reclamante alcazaba a todas las imágenes que pudieron captarse en relación con el accidente, todas ellas de interés para las pretensiones de los interesados. A tales efectos, tan oportunas son las imágenes tomadas de la propia caída, como todas las imágenes posteriores, de interés para acreditar los daños o la primera reacción de los responsables del centro, por ejemplo. Con ese alcance y objeto debió evaluarse esta solicitud de limitación del tratamiento por la entidad ECI. En todo caso, si para dicha entidad esta solicitud no hubiese resultado clara en cuanto a las imágenes cuya conservación se instaba, debió dirigirse a la parte reclamante solicitando información adicional que permitiera concretar su objeto. Sin embargo, la reacción de ECI frente al ejercicio del derecho fue nula. No solicitó información adicional ni respondió en forma alguna al derecho, ya fuera atendiendo lo solicitado o motivando su desestimación. Actuaciones estas que ECI debió realizar antes de que venciera el plazo de conservación de las imágenes, fijado por la propia entidad responsable en 15 días, según ha informado ella misma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/46 Es cierto que las imágenes captadas por un sistema de videovigilancia deben suprimirse en el plazo máximo de un mes, de acuerdo con el artículo 22 “Tratamientos con fines de videovigilancia” de la LOPDGDD, en cuyo apartado 3 se establece lo siguiente: “3. Los datos serán suprimidos en el plazo máximo de un mes desde su captación, salvo cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En tal caso, las imágenes deberán ser puestas a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación. No será de aplicación a estos tratamientos la obligación de bloqueo prevista en el artículo 32 de esta ley orgánica”. Por otra parte, como ya se ha dicho, el artículo 12.3 del RGPD dispone que los derechos deberán atenderse sin dilación indebida y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Significa que la información deberá darse lo antes posible, de modo que si es posible facilitarla en un plazo inferior a un mes el responsable deberá hacerlo así. No obstante, en caso de existir un período de almacenamiento por tiempo inferior a un mes, dicho período de conservación o almacenamiento deberá considerarse al determinar el plazo de respuesta a las solicitudes de ejercicio de derechos. Así, en este caso, cuando llega a término el plazo de conservación establecido por ECI para las imágenes captadas por sus sistemas de videovigilancia (15 días contados desde la fecha del accidente, que tuvo lugar el 08/10/2021), ECI no había dirigido comunicación alguna a la parte reclamante en respuesta al derecho en materia de protección de datos, habiéndose limitado a gestionar la posible indemnización por daños dando cuenta a su compañía aseguradora del accidente acaecido. Prueba de ello es que, cuando la parte reclamante, mediante correo electrónico de 01/11/2021, reitera su petición de conservación de las imágenes y solicita el acceso a la grabación de las cámaras de seguridad, ECI responde únicamente que la documentación había sido remitida a la compañía de seguros y advierte expresamente que sería esta compañía la que contactaría con el interesado, obviando aquellas solicitudes de ejercicios de derechos en materia de protección de datos personales. Esto generó confusión en la parte reclamante, que pensó que las grabaciones le serían entregadas por la compañía aseguradora, motivo por el que se dirigió a la misma en varias ocasiones instando la atención de los derechos. Confusión agravada por la propia compañía aseguradora, que llegó a responder a la parte reclamante que no era posible facilitar ninguna copia de las grabaciones “en cumplimiento de la Ley de Protección de Datos”, a pesar de que no consta en el expediente que esta compañía interviniera en forma alguna en los procesos de atención de derechos bajo la condición de encargada del tratamiento. En la fecha indicada del 01/11/2021, el incumplimiento de lo dispuesto en el artículo 18 del RGPD, que regula el derecho a la limitación del tratamiento, ya se había consumado. Como se ha indicado anteriormente, ECI no remitió a la parte reclamante ninguna C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/46 respuesta específica sobre el derecho a la limitación del tratamiento solicitado. No sería hasta la fecha del 12/11/2021, cuando la entidad ECI remitió un correo electrónico informando al interesado que no existen imágenes del incidente, al no disponer de ninguna cámara que enfocase la zona en la que se produjo la caída (“Zona de Cortinas de Baño del Departamento Textil-hogar”). Ello después de que la compañía aseguradora informase al interesado que no podían hacerse cargo de las consecuencias económicas del siniestro y después de que la parte reclamante reiterase su petición de acceso a las grabaciones. La misma entidad ECI, en sus alegaciones, señala este correo electrónico de 12/11/2021 como la comunicación que da respuesta a los derechos solicitados por la parte reclamante. Se trata de una respuesta extemporánea, según lo indicado anteriormente, y que no resuelve las cuestiones planteadas por el interesado, que vio desatendidos sus derechos. Como consecuencia de esta actuación, el derecho de acceso a las grabaciones captadas por las cámaras de videovigilancia tampoco pudo ser atendido debidamente, a pesar de que fue anunciado en el primer correo remitido por la parte reclamante, de fecha 13/10/2023, y solicitado formalmente el 01/11/2021. ECI no realizó ninguna actuación para garantizar la atención de este derecho, al que solo respondió en fecha 12/11/2021, después de una nueva comunicación remitida por la parte reclamante para exigir respuesta a los dos derechos ejercitados, de 05/11/2021, para indicar que no existían imágenes de la caída de la menor. Por lo que sabemos, cuando el interesado solicita copia de las grabaciones, en fecha 01/11/2021, solicitud ya anunciada en su correo de fecha 13/10/2023, las imágenes del suceso ya habían sido borradas por el transcurso del plazo de 15 días de conservación establecido por ECI. Esto ocurrió pese a toda la diligencia mostrada por la parte reclamante, que mantuvo una comunicación constante con la compañía aseguradora y con ECI; y como consecuencia de la actuación de esta última entidad, responsable de la situación generada, que ha obstaculizado de forma total el ejercicio de los derechos de la parte reclamante. ECI, conocida la solicitud de fecha 13/10/2021, debió conservar las imágenes captadas por su sistema de videovigilancia o haber previsto su recuperación, no solo las correspondientes al momento de la caída, sino de todas las imágenes en las que apareciera la menor después del incidente y hasta el abandono del centro por la misma. Si realmente la caída no puedo ser captada, el interés en conservar y facilitar las imágenes tomadas por cualquiera de las cámaras instaladas es aún mayor. Frente a esta conducta de ECI, resulta irrelevante la solicitud de acceso formulada por la parte reclamante en fecha 18/11/2021, en la que alude expresamente a las grabaciones de las imágenes captadas por las cámaras cercanas al lugar del suceso, pues tales imágenes se entienden incluidas en las solicitudes iniciales. Esta solicitud se produce nuevamente como consecuencia de la actuación de ECI, y de la falta de respuesta en plazo a la solicitud inicial. En todo caso, si ECI hubiese obrado diligentemente al recibir la solicitud, la parte C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/46 reclamante hubiese tenido oportunidad de aclarar el alcance de su solicitud y concretar su objeto, advirtiendo en su caso que la misma incluía las imágenes captadas por estas cámaras colindantes. Por tanto, la no atención de los derechos ejercitados se consuma con la falta de respuesta en debido tiempo y forma. En definitiva, no puede considerarse, por tanto, que la parte reclamada atendiera el derecho a la limitación del tratamiento ejercido por la parte reclamante, por cuanto no se contestó adecuadamente a la petición de conservación de las grabaciones en cuestión, las cuales, además, debieron ser conservadas en atención a lo solicitado. Lo mismo puede decirse del derecho de acceso, que tampoco fue atendido, siendo borradas las imágenes de las cámaras. Como se ha dicho, la petición de acceso no se circunscribía a la imagen de la propia caída, sino genéricamente a las de las “cámaras de seguridad” (en plural) de la caída de su hija. Con ello, la parte reclamada debió haber tenido en cuenta la existencia de imágenes grabadas de cámaras de seguridad que hubieran podido captar momentos posteriores a la caída, como los sucesos relacionados con el incidente (atención por guardia de seguridad, o evacuación de la menor). Sin embargo, como se ha indicado, la parte reclamada no conservó esas imágenes. Con ello no solo se vulneró el derecho a la limitación del tratamiento, ya comentado en el apartado anterior, sino también el derecho de acceso. Admitir que la parte reclamada no tiene responsabilidad por la no atención de los derechos por la parte reclamante, equivaldría a admitir que cualquier responsable del tratamiento pueda eludir los derechos de los interesados, en general, alegando que las imágenes han sido suprimidas. La supresión de las imágenes solicitadas por la parte reclamante podría entenderse ajustada a lo dispuesto en el citado artículo 22.3 de la LOPDGDD, al haberse llevado a cabo dentro del plazo máximo de un mes desde que fueron captadas. Sin embargo, en el presente caso, concurren otras circunstancias que deben ser consideradas al valorar aquella supresión o borrado de datos personales. La hija de la parte reclamante sufrió un accidente en uno de los establecimientos de la entidad responsable y, unos días después la parte reclamante denunció este hecho ante dicha entidad, comunicando la responsabilidad de la misma en el incidente, los daños causados por el mismo en la persona de la parte reclamante y su intención de ser compensada por el accidente sufrido. Tales circunstancias motivaron el interés de la parte reclamante en disponer de copia de las imágenes captadas por el sistema de cámaras de seguridad instalado en el establecimiento en cuestión, para lo cual ejercitó el derecho a la limitación del tratamiento, exigiendo la conservación de las grabaciones, y posteriormente el acceso a dichas grabaciones; ambas solicitudes recibidas por la parte reclamada. Ya en la primera de las solicitudes, la parte reclamante comunica que su presentación está motivada por el accidente acontecido en el centro en cuestión. Todo ello era conocido por la parte reclamada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/46 Estos actos se estiman suficientemente indicativos de la necesidad de conservar las imágenes, todas ellas, especialmente porque las mismas no fueron puestas a disposición de la parte reclamante en atención al derecho de acceso ejercitado. No obstante, a pesar de todo ello, la parte reclamada procedió al borrado de las imágenes requeridas por la parte reclamante. Se entiende que existía un interés de la parte reclamante que justificaba el tratamiento de las repetidas imágenes más allá del plazo de un mes que fija el artículo 22.3 de la LOPDGDD, al menos hasta la entrega de las imágenes a la misma y con este único fin. Lo mismo se diría si la parte reclamante hubiese formulado demanda y la parte reclamada hubiese decidido conservar las imágenes para la defensa de sus derechos, en cuyo caso se entendería que el tratamiento de datos se ajustaría a los establecido en el artículo 6.1.
- f)del RGPD (el tratamiento se considera lícito cuando “es necesario para la satisfacción de intereses legítimos perseguidos por el responsable”). Ya se indicó en el Fundamento de Derecho anterior que la continuación del tratamiento por tiempo superior al establecido queda amparada por lo dispuesto en el artículo 6.1.
- c)del RGPD, al resultar “necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento”. En relación con esta cuestión, debe considerarse también que la finalidad última perseguida con la no eliminación de las imágenes requeridas por la parte reclamante, titular de los datos en cuestión, es la de obtener una prueba de la causación de daños en la persona de su hija, como consecuencia de un accidente acaecido en un centro de la parte reclamada en el que la misma resultó perjudicada por una posible negligencia de dicha entidad. Interesa, por ello, traer a colación el derecho fundamental a la tutela judicial efectiva de los jueces y tribunales, contenido en el artículo 24.1 de la Constitución Española (“Todas las personas tienen derecho a obtener la tutela efectiva de los jueces y tribunales en el ejercicio de sus derechos e intereses legítimos, sin que, en ningún caso, pueda producirse indefensión”), que garantiza el acceso de todas las personas a los jueces y tribunales para la defensa de sus derechos. Este derecho garantiza que el interesado pueda aportar los medios de prueba pertinentes para su defensa. En otro caso, se vulnerarían las garantías derivadas del citado derecho a la tutela efectiva y se coartaría el pleno desenvolvimiento de este derecho. Por todo ello, desde el punto de vista de esta Agencia, las grabaciones debieron conservarse una vez rebasado el plazo establecido para su supresión, que también trae su cobertura del propio artículo 24 de la Constitución y sus normas de desarrollo. En este caso, las imágenes captadas por las cámaras de videovigilancia constituyen una prueba válida y adecuada para la defensa de los intereses de la parte reclamante. A este respecto, la Ley 1/2000, de 7 de enero, de Enjuiciamiento Civil, señala en el artículo 299 cuales son los medios de prueba de que podrá hacerse uso en juicio, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/46 estableciendo en su número 2 lo siguiente: “También se admitirán, conforme a lo dispuesto en esta Ley, los medios de reproducción de la palabra, el sonido y la imagen, así como los instrumentos que permiten archivar y conocer o reproducir palabras, datos, cifras y operaciones matemáticas llevadas a cabo con fines contables o de otra clase, relevantes para el proceso”. Por su parte, el artículo 265 determina el momento en que dichos documentos deben presentarse disponiendo lo siguiente: 1. A toda demanda o contestación habrán de acompañarse: 1º. Los documentos en que las partes funden su derecho a la tutela judicial que pretenden. 2º. Los medios e instrumentos a que se refiere el apartado 2 del artículo 299, si en ellos se fundaran las pretensiones de tutela formuladas por las partes. (…)”. La prueba de la causación de los daños, así como la determinación de la persona contra la que se dirigirá la demanda se encuentran en las imágenes captadas por las cámaras, cuya aportación al proceso con la demanda parece necesaria. Sobre la cuestión indicada, la entidad ECI ha manifestado que no corresponde a esta Agencia asegurar la efectividad del derecho a la tutela judicial efectiva. Sin embargo, lo que aquí se expresa consiste únicamente en calificar como lícito un tratamiento de datos personales. Todo ello, sin olvidar que, en este caso, la parte reclamante solicitó la conservación de las grabaciones desde el primer momento, de modo que con esta sola petición ya se justificaba la no supresión de las imágenes más allá del plazo previsto. En consecuencia, atender ambas iniciativas de la parte reclamante, tanto el ejercicio del derecho a la limitación del tratamiento como el ejercicio del derecho de acceso a las grabaciones, conllevaba la conservación de las imágenes, aunque ello hubiese supuesto rebasar el plazo legal o el determinado por el responsable, resultando esta conservación acorde con los principios de necesidad y proporcionalidad en este caso concreto. Se tiene en cuenta que aquellas solicitudes de ejercicio de derecho se presentaron ante la propia entidad responsable antes de que las imágenes fuesen borradas y que las razones expuestas prevalecen sobre la obligación de eliminar las imágenes. En consecuencia, de conformidad con las evidencias expuestas, los citados hechos suponen una vulneración de lo dispuesto en los artículos 18 y 15 del RGPD, que da lugar a la aplicación de los poderes correctivos que el artículo 58 del citado Reglamento otorga a la Agencia Española de Protección de datos. V Tipificación y calificación de las infracciones De conformidad con las evidencias expuestas, se considera que los hechos expuestos incumplen lo establecido en los artículos 18 y 15 del RGPD, lo que supone la comisión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/46 de sendas infracciones tipificadas en el artículo 83.5.
- b)del mismo Reglamento, que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone lo siguiente: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- b)los derechos de los interesados a tenor de los artículos 12 a 22”. Por otra parte, el artículo 71 de la LOPDGDD considera infracción cualquier incumplimiento de esta Ley Orgánica: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. El apartado 1.
- k)del artículo 72 de la LOPDGDD considera, como “muy grave”, a efectos de prescripción: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- k)El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679” . VI Poderes correctivos Para el caso de que concurra una infracción de los preceptos del RGPD, entre los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, el artículo 58.2 de dicho Reglamento contempla los siguientes: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
- d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; (…)
- i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;”. Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en la letra
- d)anterior es compatible con la sanción consistente en multa administrativa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/46 VII Sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
- b)la intencionalidad o negligencia en la infracción;
- c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
- d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
- f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
- g)las categorías de los datos de carácter personal afectados por la infracción;
- h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en p