PS-00159-2025

1/31  Expediente N.º: EXP202500616 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 2 de marzo de 2026, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ACVIL APARCAMIENTOS, S.L.U (en adelante, ACVIL), mediante el acuerdo que se transcribe: << Expediente N.º: EXP202500616 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 13 de diciembre de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a ACVIL APARCAMIENTOS, S.L.U con NIF B73454134 (en adelante, ACVIL o parte reclamada). Los hechos que se ponen en conocimiento de esta autoridad son: La parte reclamante manifiesta que, tras un incidente producido en su vehículo mientras se encontraba aparcado en una plaza de un garaje gestionado por la parte reclamada, solicitó a ésta a través de correo electrónico, en fecha 23 de febrero de 2024, el acceso a imágenes del sistema de videovigilancia del garaje, para obtener la grabación de un incidente que afectó a su vehículo. Manifiesta que recibió contestación el día 4 de abril de 2024, fuera del plazo establecido a tal efecto por la normativa de protección de datos, donde negaban el acceso pretendido y le instaban a que presentara denuncia ante un Cuerpo de Seguridad del Estado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/31 Señala que, tras poner nuevamente de manifiesto su derecho a acceder a dichas imágenes en las que se expongan los datos de la matrícula de su vehículo, indicando que resultaba improcedente que se exigiera denuncia previa por no existir precepto legal que lo exigiera, y exponiendo los fundamentos jurídicos que entiende justifican dicho acceso, recibió nueva comunicación el día 5 de abril de 2024 en la que reiteraban la negativa, indicando que no daban las grabaciones salvo a la policía o a un juez, y que, en cualquier caso, las imágenes ya habían expirado. Junto al escrito, se aporta, entre otra documentación: 1. Copia del correo electrónico enviado en fecha 23 de febrero de 2024 a la dirección de correo electrónico “***EMAIL.1” con el asunto: solicitud formal de derecho de acceso-grabaciones cámaras de seguridad-parking parkia (…); con el siguiente contenido: “A la atención de Parkia Iniciativas, S.L.U., (ACVIL APARCAMIENTOS, S.L.) y posibles entidades del Grupo Parkia responsables del tratamiento de datos personales: En mi condición de letrado de don A.A.A., y, en su representación, por medio de la presente formulo petición formal para la obtención de copia de imágenes captadas por las videocámaras de seguridad del parking explotado por vuestra entidad, todo ello, al amparo de los derechos que le reconocen los arts. 6.1,

1. f)15.1 y 15.3 del Reglamento europeo sobre protección de datos personales, y, sus correlativos de la Ley Orgánica 3/2018 sobre protección de datos personales, especialmente, el artículo 22 de dicha Ley Orgánica (“Tratamientos con fines de videovigilancia”) En concreto, los datos solicitados consisten en: -grabación captada por las videocámaras interiores de seguridad del parking sito en ***DIRECCIÓN.1. La grabación concreta solicitada es aquella que captara el impacto que recibió el vehículo propiedad de mi representado; ***VEHÍCULO.1 por parte de otro usuario del parking, cuyos datos desconoce y que resultan imprescindibles para ejercitar las oportunas acciones legales contra el/la conductor/a de otro vehículo y/o propietario/a responsable de la colisión, así como a su entidad aseguradora. El/la conductor/a de otro vehículo le golpeó en la parte trasera mientras el vehículo de mi mandante estaba aparcado en una de las plazas a las que tiene derecho, en virtud del arrendamiento que tiene suscrito con el parking. La colisión tuvo que ocurrir, en alguna fecha comprendida entre el día 12 al 19 de febrero de 2024, periodo en el que su vehículo ha estado aparcado en el parking, percatándose de los daños el 19 de febrero. Como consecuencia de tal impacto (como acredito con los documentos adjuntos al correo) el vehículo de A.A.A. sufrió daños materiales en su lateral y faro traseros, por lo que la finalidad del acceso a los datos solicitados es la permitir al perjudicado (y usuario del parking como arrendatario), identificar al vehículo responsable (y su núm. de matrícula) que le ocasionó los daños, con el objetivo de ejercitar las oportunas acciones legales que le corresponden contra el/la propietario/a y/o conductor/a, así como contra su compañía aseguradora. Para ello, es requisito indispensable obtener los datos esenciales de la personal a demandar, o, si quiera, de la entidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/31 aseguradora del vehículo responsable para poder efectuar la pertinente reclamación extracontractual de daños, derivada de un accidente de circulación. Desconociendo de antemano su política respecto a este tipo de solicitudes de acceso a datos, pongo en su conocimiento el estado más actual en el que se encuentra esta materia, tanto, desde el punto de vista de nuestros tribunales, así como de la propia AEPD: - nuestra jurisprudencia ha señalado que los núm. de placa o de matrícula de vehículos no tienen la consideración de dato personal que deba quedar sometido a las previsiones de la Ley Orgánica de Protección de Datos (LOPD), por mucho que sirva para identificar a un vehículo, ya que tales datos personales, cuyo tratamiento está sometido al consentimiento del interesado, “han de entenderse referidos siempre a imágenes de personas, y no a imágenes de placas o números de matrícula cuya caracterización como dato de carácter personal, a pesar de lo argumentado en la resolución (se refieren a una resolución de la AEPD que sancionaba a una empresa por una supuesta infracción en tratamiento de datos) no se comparte por esta Sala, pues en definitiva un número o placa de matrícula, si bien identifica un vehículo, en ningún caso identifica una persona, ya que el conductor del vehículo ni siquiera tiene porqué ser el titular del mismo, es decir, aquel a cuyo nombre figura dicho vehículo en la Dirección General de Tráfico. En concreto, se trata de la Sentencia de la Audiencia Nacional (Sala de lo Contencioso-Administrativo, Sección 1ª) de 26 diciembre 2013, que dejo aquí indicada por si resultara de su utilidad o interés para consulta. -en segundo lugar, también es un criterio consolidado en la doctrina jurisprudencial, nacional y comunitaria, e, incluso, por el propio gabinete jurídico de la AEPD, que toda solicitud que precise el tratamiento de datos del interesado ha de ponderarse atendiendo a los principios consagrados en la LOPD y el Reglamento comunitario en que se funda, especialmente, el principio de proporcionalidad, de tal forma que habrá de considerarse un tratamiento lícito (arts. 5 y 6 del Reglamento general de protección de datos, en conexión con los arts. 8 y 22 de la LOPD) si “constituye un medio adecuado, pertinente y no excesivo en relación con las finalidades legítimas para las que dichas imágenes se obtienen”. Resulta, pues, que en este supuesto la finalidad del tratamiento de los datos solicitados - esto es, la captación y transmisión de imágenes obtenidas por sistemas de videovigilancia del parking de una comunidad-, consiste, precisamente, en preservar la seguridad de las personas y sus bienes, así como de sus propias instalaciones comunes, tal y como establece el artículo 22 de la vigente LOPD, “Art. 22. Tratamientos con fines de videovigilancia”, y de conformidad con lo estipulado en la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos personales, sobre el tratamiento de datos personales con fines de videovigilancia a través de sistemas de cámaras y videocámaras (desplazada en la mayor parte de su contenido por la vigente LOPD). Todo tratamiento de datos es lícito si “resulta necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento” (art. 6.1, letra
2. c)del Reglamento), así como cuando “el tratamiento es necesario para la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/31 satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado” (art. 6.1, letra f, del Reglamento). Puesto que los datos solicitados y su finalidad – ejercicio del legítimo derecho de mi mandante a ejercitar una acción resarcitoria de los daños materiales sufridos-, guardan íntima relación con la finalidad para la que las cámaras de seguridad del parking comunitario los graba y obtiene (preservar la seguridad de terceras personas y de sus bienes o los bienes comunitarios), el acceso solicitado no resulta contradictorio a los dictados de la LOPD y del Reglamento. Criterio reflejado en la sentencia que le indicábamos con anterioridad o, entre otras, la Sentencia de la Audiencia Nacional (Sala de lo Contencioso-Administrativo, Sección 1ª) número 36/2016, de 30 de diciembre, todavía más reciente. -además de los argumentos anteriores, también el propio gabinete jurídico de la AEPD se ha pronunciado, de forma expresa, en varias ocasiones, sobre la licitud del tratamiento de acceso a datos en supuestos idénticos al presente. Por ejemplo, en el informe jurídico núm. 2016-0278 (adjunto en el correo), de 23/12/2016, establece: “la consulta plantea la cuestión de si el consultante, que tiene un sistema de videovigilancia en la sede de la empresa que incluye el interior y el exterior, debe autorizar el visionado de las grabaciones a terceros particulares que lo han solicitado alegando determinadas razones.” En la respuesta a esta consulta, la AEPD realiza un examen pormenorizado sobre la normativa española y comunitaria sobre protección de datos, para determinar si tal normativa prohíbe o impide un tratamiento como el solicitado. Son especialmente significativos los apartados IV y siguientes de la resolución, a cuyo contenido remitimos de forma expresa (https://www.aepd.es/es/documento/2016-0278.pdf). En todo caso, la ponderación final que realiza la AEPD (apartado IX) es la siguiente: “(…) como hemos señalado reiteradamente a lo largo de esta consulta, se desprende que la finalidad perseguida es la de ejercitar reclamaciones judiciales por responsabilidad contractual, extracontractual, o derivada de hechos ilícitos, para lo que resulta preciso conocer la identidad del posible reclamado a los efectos de dirigir contra el mismo la correspondiente reclamación o acción judicial (art. 399 LEC o art.277 LECr). De este modo, debe considerarse que el interés del tercero en conocer los datos relativos a identidad del causante de dichos hechos es legítimo y ha de prevalecer sobre el derecho a la protección de datos de los interesados cuando la finalidad de la comunicación de los datos sea la de ejercitar los derechos que le corresponden frente al obligado (art. 1089 y 1092 Cc), ya que en la tensión entre ambos derechos, el derecho fundamental al acceso a la justicia y a la tutela judicial efectiva ha de prevalecer sobre el derecho a la protección de datos en el presente caso, habida cuenta además de que la legislación establece como una carga procesal el acudir a la justicia para reclamar y ejercitar los derechos de los particulares, y dicha carga no podría cumplirse sin el conocimiento de frente a quien habrá de dirigirse la acción procesal. En virtud de todo lo anterior, y con las limitaciones mencionadas respecto del principio de calidad de los datos (finalidad de la cesión y minimización del tratamiento), cabe C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/31 considerar que la comunicación de datos que se plantea no es contraria a la legislación de protección de datos.” En el mismo sentido, el informe jurídico núm. 2012-0115 de la AEPD (adjunto en el correo), disponible para su consulta en: https://www.aepd.es/documento/20120115.pdf. La propia AEPD, en otra reciente resolución de 4 de septiembre de 2023, en el expediente núm.: EXPD202213782 (…) resuelve que la entidad encargada de las cámaras de seguridad tiene la obligación de entregar copia certificada de las grabaciones solicitadas para que el interesado pueda comprobar si, efectivamente, su coche ha recibido o no un impacto, no bastando como simple respuesta la de que se habían visionado las grabaciones y no se captaba ninguna colisión. Ello, siempre que exista un interés legítimo del interesado, como es el presente supuesto. También, la AEPD (resolución sancionadora de 13 de mayo de 2022, disponible para consulta en (…) impuso sanción a (…) por no cursar debida respuesta a una solicitud idéntica a la presente. Por último, y por si les resultara de utilidad, la misma AEPD ha publicado (05/09/23) la última “Guía sobre el uso de videocámaras para seguridad y otras finalidades” (…), incluyendo como supuesto del tratamiento de datos personales el de las imágenes con fines de seguridad por cámaras de seguridad (págs. 6 y ss.). la meritada guía establece que el acceso a las imágenes grabadas por las cámaras de videovigilancia, para poder ejercitar las acciones judiciales que le puedan asistir al perjudicado contra el responsable, sería un tratamiento lícito al tener una finalidad compatible, y no diferente, con la que se recogieron esos datos por las cámaras comunitarias (págs., 26 y ss). (…) Por todas las razones expuestas, les ruego que me faciliten copia de las grabaciones captadas por el sistema de videovigilancia arriba indicado, en relación con la colisión que sufrió el vehículo de mi mandante. Llegado el caso de que el departamento al que me dirijo considere afectados los derechos de terceras personas (por ejemplo, porque aparezcan caras o imágenes de terceros), tal y como permiten y mandan nuestros tribunales, y la AEPD también deben facilitar dichas grabaciones aunque sea adoptando las medidas oportunas de limitación en el acceso solicitado (extractos fragmentados de la grabación solicitada, difuminación de rostros, etc) pero sin menoscabar los derechos que asisten a mi representada. Y, llegado el caso, si entienden que no es posible salvaguardar los derechos de terceras personas al facilitar las grabaciones solicitadas, les ruego que, al menos, me indiquen el núm. de matrícula del vehículo responsable, y, además, que no supriman y conserven cautelarmente las grabaciones para poder ejercitar ante los Tribunales los derechos de mi mandante; todo ello, teniendo en cuenta que, por ley (art. 22 LOPD), deben mantener las imágenes de videovigilancia por un plazo de 30 días, y, en todo caso, cuando capten la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. Además, la presente solicitud se formula antes del transcurso de 30 días desde la fecha en que tuvo que producirse el siniestro (entre el 12 al 19 de febrero de 2024). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/31 Acompaño a este escrito toda la documental pertinente para la tramitación de la solicitud: (…) 2. copia del mensaje de fecha 23 de febrero de 2024 con el siguiente contenido: “el mensaje se entregó a los siguientes destinatarios: ***EMAIL.1 “ 3. copia del mensaje de fecha 23 de febrero de 2024, enviado de no-reply@parkia.es con el siguiente contenido: “Su incidencia con código ***CÓDIGO.1 se está tramitando. En breve nos pondremos en contacto con usted” 4. copia del correo electrónico enviado el día 4 de abril de 2024, 8:18, para B.B.B., asunto: Consulta ***CÓDIGO.1, con el siguiente contenido “***EMAIL.1”, asunto Consulta ***CÓDIGO.1. Estimado cliente, En relación a su incidencia con código ***CÓDIGO.1 informarle que, para poder visualizar las grabaciones es imprescindible que primero se dirija a cualquier cuerpo de seguridad del estado a interponer la correspondiente denuncia, ya que, sin denuncia previa no es posible recuperar dicha grabación. Atentamente (…)” 5. Copia del correo electrónico de fecha 4 de abril de 2024, 12:30, dirigido a “***EMAIL.1”, asunto RE: consulta ***CÓDIGO.1, con el siguiente contenido: “Estimados Sres/as, En relación con la última comunicación que me efectúan en el expediente con numero de referencia ***CÓDIGO.1 (una vez transcurrido el plazo legal de un mes que establece el Reglamento de protección de datos para este tipo de solicitudes, sin haberse notificado previamente prórroga anual alguna), y en representación de los intereses de mi mandante, les comunico que no resulta procedente el requisito de la denuncia para satisfacer el derecho de acceso a la información solicitada (grabaciones de cámaras de seguridad de una de sus instalaciones). No existe ningún precepto, ni la LOPD, ni en el Reglamento europeo de protección de datos, que exija denuncia previa ante una autoridad policial para dar curso, de forma pertinente, a la solicitud realizada. Les recuerdo que las cámaras cuyo derecho de acceso se ha solicitado no pertenecen a ninguna Fuerza o Cuerpo de Seguridad del Estado, y, aunque así fuera, su tratamiento no tendría fines de prevención, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/31 investigación, detección o enjuiciamiento de datos solicitado (derecho de acceso) se rige plenamente por las disposiciones de la LOPD (arts. 13 y 22) y por el Reglamento (UE) 2016/679 (arts. 12 y 15 y relacionados). (…) Por todo lo expuesto, les solicito que reconsideren su postura, y den oportunidad tramitación a la solicitud realizada con fecha 23 de febrero de 2024, en el sentido de facilitar una copia de las grabaciones en las que se aprecie el vehículo y matrícula responsable de la colisión que ocasionó los daños al vehículo de mi mandante, y de garantizar, como medida cautelar, la conservación y custodia de dichas imágenes (si solo facilitaran el núm. de matrícula), por si resultaran necesarias para el ejercicio de los derechos que asisten a mi representado. En caso contrario, no me dejarán más solución que acudir a la AEPD para dar efectivo cumplimiento a los derechos que asisten a mi mandante. (…)” 6. copia del mensaje de fecha 4 de abril de 2024, 13:13, dirigido a “***EMAIL.1” con el asunto: leído: consulta ***CÓDIGO.1, y con el siguiente contenido: “El mensaje (…) fue leído el jueves, 4 de abril de 2024 13;13 (…).” 7. copia del mensaje enviado por “***EMAIL.1”, para B.B.B., asunto: consulta ***CÓDIGO.1, con el siguiente contenido: “Estimado B.B.B., Lamentamos comunicarte que no damos grabaciones salvo a policía o a un juez y que, en cualquier caso, ya han expirado las imágenes. (…)” SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a ACVIL, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 21 de enero de 2025 como consta en el acuse de recibo que obra en el expediente. Con fecha 24 de enero de 2025 se recibe en esta Agencia escrito de respuesta indicando entre otras cuestiones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/31
3. a)en fecha 23 de febrero de 2024 recibieron un correo electrónico desde la dirección ***EMAIL.2 solicitando copia de las imágenes captadas por las videocámaras de seguridad del parking en las que se capte el impacto que recibió el vehículo ***VEHÍCULO.1. Indican que la información que aportan no permite saber en qué plaza estaba estacionado el vehículo, y que el contrato que tenía la parte reclamante le permite estacionar en cualquiera de las plazas que tiene el parking. Añaden que la solicitud no indicaba la fecha y el horario, y que solo informaba del periodo en que estuvo estacionado el vehículo del 12 de febrero al 19 de febrero de 2024, lo que supone un tramo horario de 192 horas de grabación, de las 16 cámaras que hay en el aparcamiento, lo que resultaría un total de 3.072 horas de grabación. ACVIL quiere aclarar que las cámaras no enfocan exclusivamente cada plaza de estacionamiento, sino que enfocan amplias zonas, añadiendo que son innumerables los vehículos y personas que pueden haber circulado durante las 192 horas solicitadas. Adjuntan una copia con una imagen del espacio que capta una de las cámaras, para mostrar el espacio de visión de una de las cámaras. Asimismo, indican que el vehículo afectado habría entrado y salido del aparcamiento los días 12, 13, 15, 16, 17 y 19 de febrero de 2024, aportando una captura de pantalla de los sistemas del aparcamiento en la que se recogería esta circunstancia, y que no entienden como no se habría percatado de los daños con anterioridad, por lo que entendieron que la solicitud de imágenes era excesiva, siendo de aplicación lo dispuesto en el artículo 12.5 del RGPD relacionado con una solicitud de acceso manifiestamente infundada o excesiva. De este modo, entendían que la solicitud era excesiva por los siguientes motivos: - se refería a un suceso que no estaba acreditado que se hubiera producido en el interior del aparcamiento, y que el propietario del vehículo desconocía cuando y donde se había producido. -se refería a un volumen de datos muy grande. -incluía datos personales relativos a terceras personas no relacionados con la solicitud. A pesar de ello, se le indicó que acudiera a las Fuerzas y Cuerpos de seguridad del Estado, puesto que ellos tienen autoridad para solicitar cualquier grabación. ACVIL manifiesta que entiende que la respuesta no incluía una explicación suficiente sobre el motivo de la denegación, pero que en ese momento si entendieron que era suficiente al estar dirigida la respuesta al representante legal de la parte reclamante, que debía entender que la solicitud era excesiva, al tratarse de un elevado volumen de datos personales de terceros ajenos a la finalidad de la solicitud, tal y como reconoce el artículo 15.4 del RGPD que establece: “el derecho a obtener copia mencionada en el apartado 3 no afectará negativamente a los derechos y libertades de otros.” Asimismo, hacen referencia al informe jurídico del Gabinete Jurídico de esta AEPD nº 2016/0278. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/31
4. b)ACVIL indica que remitió la respuesta a la solicitud de ejercicio de derechos de la parte reclamante a la misma dirección de correo electrónico desde la que se envió con fecha 4 de abril de 2024. Indican que lamentan la demora en contestar, pero debe tenerse en cuenta que se revisaron 3.072 horas de grabación, que supone 384 jornadas de trabajo con dedicación exclusiva.
5. c)ACVIL indica, ante la pregunta acerca de si los datos se encuentran bloqueados o no, que, al no existir base legal para la conservación de las imágenes, y que, al no haberse producido una solicitud por parte de una autoridad competente, las imágenes han sido suprimidas.
6. d)ACVIL ha indicado que no procede adoptar ninguna decisión adicional relativa a esta reclamación, ya que no existen las grabaciones solicitadas. Añaden que sí se aplican de forma habitual los protocolos de seguridad establecidos para la atención del ejercicio de derechos por parte de las personas interesadas o de autoridad competentes.
7. e)ACVIL añade que la reclamación se debe a una ambigua e incorrecta actuación de la persona solicitante, teniendo en cuenta que realizó una solicitud de acceso a un elevado volumen de imágenes sin aclarar o facilitar la información que permitiera acotar la búsqueda, y que incluía datos personales de imágenes con matrículas de vehículos y personas, ajeno a la finalidad perseguida.
8. f)por último, indica que no se han adoptado medidas específicas a consecuencia de este caso, al entenderse que se había actuado correctamente e incluso de buena fe, al indicar a la persona solicitante cual era la vía más adecuada para conseguir la finalidad perseguida de identificar al supuesto causante de los daños al tiempo que se cumple y protege la privacidad de los datos de terceras personas. En fecha 20 de febrero de 2025 se reitera la solicitud de información a ACVIL, en la medida en que, en el informe remitido a esta Agencia, no se acompaña copia de la información facilitada al interesado en respuesta a su solicitud de ejercicio de derechos. Dicha solicitud fue notificada el día 24 de febrero de 2025, según consta en el acuse de recibo incorporado al expediente. Con fecha 25 de febrero de 2025 se recibe en esta Agencia escrito de respuesta indicando que, como ya habían indicado en su anterior respuesta, con fecha 23 de febrero de 2024 recibieron correo electrónico desde la dirección ***EMAIL.2 solicitando "copia de las imágenes captadas por las videocámaras de seguridad del parking explotado por vuestra entidad". Posteriormente se especificaba concretamente los datos solicitados de la siguiente forma: "La grabación concreta solicitada es aquella que captara el impacto que recibió el vehículo de propiedad de mi representado: ***VEHÍCULO.1". Esta comunicación está firmada por B.B.B., que dice actuar en representación de A.A.A.. En esta comunicación se indicaba expresamente que enviaran los datos solicitados a B.B.B.. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/31 Por esta razón, en fecha 04/04/2024 enviaron respuesta a la misma dirección de correo electrónico indicando que, para poder visualizar las grabaciones, es imprescindible que primero se dirija a cualquier cuerpo de seguridad del estado a interponer la correspondiente denuncia, ya que, sin denuncia previa no es posible recuperar dicha grabación, y en fecha 5 de abril de 2024 comunicaron: “lamentamos comunicarle que no damos grabaciones excepto a la policía o un juez y que, en cualquier caso, ya han expirado las imágenes" Indican que el ejercicio del derecho no fue realizado por la persona interesada, sino por un tercero, que de la lectura del mismo quedaba claro que no se trataba de un ejercicio de derecho de acceso general, ni de otro tipo de derechos, sino limitado a obtener unas imágenes. Entienden que respondieron a la solicitud informando de la no procedencia del envío de las imágenes al ser una petición manifiestamente excesiva e instando a realizarla mediante las autoridades competentes. Entienden que con esta respuesta se daba cumplimiento al artículo 12.4 del RGPD. Por último, indican que no recibieron ninguna solicitud de imágenes por autoridad competente. TERCERO: Con fecha 3 de marzo de 2025, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad ACVIL es una empresa constituida en el año 2006, y con un volumen de negocios de 44.697.000 euros en el año 2024. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/31 De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de las presuntas infracciones cometidas, se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
9. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). III Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que ACVIL realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas: nombre y apellidos, entre otros. ACVIL realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/31 IV Obligación incumplida. Derecho de acceso del interesado El artículo 15 del RGPD, que regula el derecho de acceso del interesado, establece lo siguiente: "1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
10. a)los fines del tratamiento;
11. b)las categorías de datos personales de que se trate;
12. c)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales;
13. d)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
14. e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
15. f)el derecho a presentar una reclamación ante una autoridad de control;
16. g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
17. h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros." Los aspectos formales relativos al ejercicio de estos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. El artículo 12 del RGPD relativo a la “Transparencia de la información, comunicación y modalidades de ejercicio de derechos” establece: “1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/31 comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios. 2. El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos en virtud de los artículos 15 a 22. En los casos a que se refiere el artículo 11, apartado 2, el responsable no se negará a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no está en condiciones de identificar al interesado. 3. El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, sin dilación indebida y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo.” 4.Si el responsable del tratamiento no da curso a la solicitud del interesado, le informará sin dilación, y a más tardar transcurrido un mes de la recepción de la solicitud, de las razones de su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales. 5.La información facilitada en virtud de los artículos 13 y 14 así como toda comunicación y cualquier actuación realizada en virtud de los artículos 15 a 22 y 34 serán a título gratuito. Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo, el responsable del tratamiento podrá:
18. a)cobrar un canon razonable en función de los costes administrativos afrontados para facilitar la información o la comunicación o realizar la actuación solicitada, o
19. b)negarse a actuar respecto de la solicitud. El responsable del tratamiento soportará la carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud. 6.Sin perjuicio de lo dispuesto en el artículo 11, cuando el responsable del tratamiento tenga dudas razonables en relación con la identidad de la persona física que cursa la solicitud a que se refieren los artículos 15 a 21, podrá solicitar que se facilite la información adicional necesaria para confirmar la identidad del interesado. 7.La información que deberá facilitarse a los interesados en virtud de los artículos 13 y 14 podrá transmitirse en combinación con iconos normalizados que permitan proporcionar de forma fácilmente visible, inteligible y claramente legible una adecuada visión de conjunto del tratamiento previsto. Los iconos que se presenten en formato electrónico serán legibles mecánicamente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/31 8.La Comisión estará facultada para adoptar actos delegados de conformidad con el artículo 92 a fin de especificar la información que se ha de presentar a través de iconos y los procedimientos para proporcionar iconos normalizados”. Por su parte, el artículo 12 “Disposiciones generales sobre ejercicio de los derechos” de la LOPDGDD, en sus apartados 2 y 4, añade lo siguiente: “2. El responsable del tratamiento estará obligado a informar al afectado sobre los medios a su disposición para ejercer los derechos que le corresponden. Los medios deberán ser fácilmente accesibles para el afectado. El ejercicio del derecho no podrá ser denegado por el solo motivo de optar el afectado por otro medio”. “4. La prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulado por el afectado recaerá sobre el responsable”. Además, hay que tener en cuenta lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD); viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado; así como a expresar sus motivos en caso de que no atendiera la solicitud. Por último, el artículo 22 de la LOPDGDD, relativo a los “tratamientos con fines de videovigilancia” establece: “1. Las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. 2. Solo podrán captarse imágenes de la vía pública en la medida en que resulte imprescindible para la finalidad mencionada en el apartado anterior. No obstante, será posible la captación de la vía pública en una extensión superior cuando fuese necesario para garantizar la seguridad de bienes o instalaciones estratégicos o de infraestructuras vinculadas al transporte, sin que en ningún caso pueda suponer la captación de imágenes del interior de un domicilio privado. 3. Los datos serán suprimidos en el plazo máximo de un mes desde su captación, salvo cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En tal caso, las imágenes deberán ser puestas a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación. No será de aplicación a estos tratamientos la obligación de bloqueo prevista en el artículo 32 de esta ley orgánica C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/31 4. El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información. En todo caso, el responsable del tratamiento deberá mantener a disposición de los afectados la información a la que se refiere el citado reglamento. (…)” De lo anterior se desprende que la solicitud de ejercicio de derechos formulada por el interesado debe ser respondida en todo caso, recayendo sobre el responsable la prueba del cumplimiento de este deber. En el presente caso, la parte reclamante había solicitado el acceso a las imágenes del sistema de videovigilancia del aparcamiento en fecha 23 de febrero de 2024, mediante un correo electrónico dirigido a ***EMAIL.1 y con el asunto: solicitud formal derecho de acceso-grabaciones cámaras de seguridad-parking (…). En su escrito, solicitaba que “(…) llegado el caso, si entienden que no es posible salvaguardar los derechos de terceras personas al facilitar las grabaciones solicitadas, les ruego que, al menos, me indiquen el núm. de matrícula del vehículo responsable, y, además, que no supriman y conserven cautelarmente las grabaciones para poder ejercitar ante los Tribunales los derechos de mi mandante; todo ello, teniendo en cuenta que, por ley (art. 22 LOPD), deben mantener las imágenes de videovigilancia por un plazo de 30 días, y, en todo caso, cuando capten la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones(…).” Consta que en fecha 23 de febrero de 2024, 21:45, se acusa recibo de este correo electrónico con otro correo electrónico enviado desde la dirección no-reply@parkia.es con el asunto: “su incidencia con código ***CÓDIGO.1 se está tramitando” y con el siguiente contenido: “su incidencia con código ***CÓDIGO.1 se está tramitando. En breve nos pondremos en contacto con usted” ACVIL no responde a esta solicitud de acceso hasta el día 4 de abril de 2024, con la indicación de que, “para poder visualizar las grabaciones, es imprescindible que primero se dirija a cualquier cuerpo de seguridad del estado a interponer la correspondiente denuncia, ya que, sin denuncia previa no es posible recuperar dicha grabación.” Ante la insistencia de la parte reclamante, que envió un nuevo correo electrónico, solicitando las imágenes, el día 5 de abril de 2024, contestan que “lamentamos comunicarte que no damos las grabaciones salvo a la policía o a un juez y que, en cualquier caso, ya han expirado las imágenes.” En la contestación al traslado, ACVIL ha manifestado que la parte reclamante tenía un contrato de abono con el parking, lo que le permitía estacionar en cualquiera de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/31 plazas del aparcamiento. La parte reclamante solo indicaba el periodo en que estuvo estacionado el vehículo, desde el día 12 al 19 de febrero de 2024, lo que suponía un tramo horario de 192 horas de grabación, de las 16 cámaras que hay instaladas en el aparcamiento, lo que resulta un total de 3.072 horas de grabación. ACVIL manifiesta que el vehículo salió y entró del parking en los días señalados, por lo que no estaba acreditado que el suceso se hubiera producido en el parking, se refería a un volumen de datos muy grande, e incluía datos relativos a terceras personas, y que ésta es la razón por la que se le comunicó que solicitara las imágenes a través de las fuerzas de orden público. No obstante, hay que tener en cuenta que la contestación se dio en fecha 4 de abril de 2024, cuando ya había transcurrido el mes que exige la normativa para poder contestar el ejercicio de derechos. Además, ante la insistencia de la parte reclamante, el día 5 de abril de 2024 le contestan que las imágenes ya no están disponibles, cuando expresamente había comunicado que no se borraran por si era necesario acudir a los tribunales. ACVIL indica que las imágenes solicitadas abarcaban un elevado volumen de datos personales, pero ninguna indicación realizó a la parte reclamante en este sentido, solicitándole que concretara la petición, ni tampoco le expresó ninguna de las circunstancias puestas de manifiesto ante esta AEPD. ACVIL también contesta en el escrito de fecha 24 de enero de 2025 dirigido a esta AEPD que no pudieron contestar antes a la solicitud de la parte reclamante porque “fue necesario revisar las 3.072 horas de grabación por si en alguna de ellas pudiera haberse captado la supuesta colisión”. No hay que olvidar que la solicitud de acceso se produce el 23 de febrero de 2024, y la primera contestación de ACVIL es el 4 de abril de 2024. La contestación de ACVIL informando que las imágenes ya no estaban disponibles se produce el día 5 de abril de 2024. Con todas estas circunstancias, se estima que ACVIL no contestó en el plazo establecido de un mes al ejercicio del derecho de acceso efectuado por la parte reclamante. Esta circunstancia llevó a la eliminación de las imágenes. Además, ACVIL tampoco envió ninguna contestación a la parte reclamante acerca de la dificultad de la visualización de dichas imágenes, puesto que, el artículo 12.3 del RGPD recoge que “(…) Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación. (…)” Con relación a esta cuestión, hay que señalar que esta Agencia se ha pronunciado al respecto en el informe jurídico 0278/2016, referido a un supuesto de acceso a imágenes del sistema de videovigilancia, en el siguiente sentido: “(…) se desprende que la finalidad perseguida es la de ejercitar reclamaciones judiciales por responsabilidad contractual, extracontractual o derivada de hechos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/31 ilícitos, para lo que resulta preciso conocer la identidad del posible reclamado a los efectos de dirigir contra el mismo la correspondiente reclamación o acción judicial (art. 399 LEC o art. 277 LECr). De este modo, debe considerarse que el interés del tercero en conocer los datos relativos a la identidad del causante de dichos hechos es legítimo y ha de prevalecer sobre el derecho a la protección de datos de los interesados cuando la finalidad de la comunicación de los datos sea la de ejercitar los derechos que le corresponden frente al obligado (art. 1089 y 1092 Cc), ya que en la tensión entre ambos derechos, el derecho fundamental al acceso a la justicia y a la tutela judicial efectiva ha de prevalecer sobre el derecho a la protección de datos en el presente caso, habida cuenta además de que la legislación establece como una carga procesal el acudir a la justicia para reclamar y ejercitar los derechos de los particulares, y dicha carga no podría cumplirse sin el conocimiento de frente a quién habrá de dirigirse la acción procesal.” En este mismo informe se recogía que “(…) la comunicación habrá de limitarse al mínimo necesario o imprescindible para la finalidad pretendida, lo que en el presente caso nos lleva a concluir que la “visualización” pretendida no sería conforme con este principio si se extiende más allá de lo necesario para que el tercero solicitante pudiese determinar exclusivamente lo relacionado con el incidente concreto y específico a que se refiere su petición, pero a nada más. Por ello, y dados los términos en que está planteada la consulta, cabría decir que corresponde al consultante, en tanto que responsable del tratamiento, determinar en primer lugar, mediante la visualización de dichos ficheros, la información imprescindible y necesaria para que el tercero pueda ver satisfecha la finalidad de la consulta, pero sin que pueda extenderse a nada más de lo necesario para ello, por lo que cabe concluir que dicho “visionado” habrá de limitarse exclusivamente a las imágenes que tengan relación con los supuestos para los cuales se solicita la información, pero no a ninguna otra imagen en la que puedan existir datos personales no relacionados con los motivos expuestos en la consulta.” Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a ACVIL, por vulneración del artículo 15 del RGPD transcrito anteriormente. V Tipificación de la infracción del artículo 15 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
20. b)los derechos de los interesados a tenor de los artículos 12 a 22;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/31 “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
21. k)El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679." VI Propuesta de sanción por la infracción del artículo 15 del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
22. a)a
23. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
24. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
25. b)la intencionalidad o negligencia en la infracción;
26. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
27. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
28. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
29. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
30. g)las categorías de los datos de carácter personal afectados por la infracción;
31. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
32. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/31
33. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
34. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
35. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
36. a)El carácter continuado de la infracción.
37. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
38. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
39. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
40. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
41. f)La afectación a los derechos de los menores.
42. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
43. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, así como del artículo 76.2 de la LOPDGDD anteriormente reproducidos. Lo anterior implica que la cuantía de la multa debe tener como punto de partida, tres elementos: el volumen de negocios, la categorización de las infracciones según su propia naturaleza (es decir, si se trata de una infracción del 83.4, 83.5 u 83.6 RGPD) y el nivel de gravedad de la infracción en cada caso concreto (de acuerdo con el artículo 83.2 a),
44. b)y g)). En cualquier caso, la multa a imponer debe ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. En este sentido, se considera, con carácter previo, el volumen de negocio de ACVIL es de 44.697.000 euros en el año 2024. Asimismo, atendiendo a la categorización de la infracción, de acuerdo con el artículo 83.5 del RGPD, la sanción que se imponga por cada una de las infracciones podrá ser de 20.000.000 de euros como máximo, o tratándose de una empresa, una cuantía equivalente al 4% como máximo del volumen de negocio anual, optándose por la de mayor cuantía. El 4% del volumen de negocio de 44.697.000 euros es de 1.787.880 euros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/31 Por lo que, en este caso, la sanción que se imponga necesariamente deberá oscilar entre los 0 y los 20.000.000 euros. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. Con carácter previo, se estima que concurren las circunstancias siguientes: • La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): - la naturaleza de la infracción, por cuanto la no atención del derecho de acceso, por su contenido, incide en la capacidad de la parte reclamante de ejercer un verdadero control sobre sus datos personales, en la medida en que la no atención del derecho de acceso conllevó a la no entrega de las imágenes solicitadas, lo que le perjudicó a la hora de defender sus derechos. En relación con el derecho de acceso y su configuración como puerta de acceso para otros derechos, el TJUE, en Sentencia de 07/05/2009, dictada en el Asunto C-553/07, analizando entonces la Directiva e igualmente válido ahora para el RGPD, declara lo siguiente: “51. El citado derecho de acceso es indispensable para que el interesado pueda ejercer los derechos que se contemplan en el artículo 12, letras
45. b)y c), de la Directiva, a saber, en su caso, cuando el tratamiento no se ajuste a las disposiciones de la misma, obtener de responsable del tratamiento de los datos, la rectificación, la supresión o el bloqueo delos datos [letra b)], o que proceda a notificar a los terceros a quienes se hayan comunicado los datos, toda rectificación, supresión o bloqueo efectuado, si no resulta imposible o supone un esfuerzo desproporcionado [letra c)]. 52. El derecho de acceso es, igualmente, condición necesaria para el ejercicio por el interesado del derecho de oposición al tratamiento de sus datos personales, contemplado en el artículo 14 de la Directiva, como lo es para el derecho a recurrir por los daños sufridos, previsto en los artículos 22 y 23 de ésta”. • Intencionalidad/ Negligencia en la infracción (artículo 83.2, letra b), del RGPD): se observa una conducta negligente en la reclamada, al no contestar a la solicitud del derecho de acceso en el plazo establecido de un mes, de tal manera que las imágenes de las cámaras de videovigilancia ya habían sido suprimidas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/31 El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 15 del RGPD, permite fijar inicialmente una sanción de multa administrativa de 75.000,00 euros. VII Obligación incumplida. Derecho a la limitación del tratamiento El artículo 18 del RGPD regula el derecho a la limitación del tratamiento, estableciendo lo siguiente: "1. El interesado tendrá derecho a obtener del responsable del tratamiento la limitación del tratamiento de los datos cuando se cumpla alguna de las condiciones siguientes:
46. a)el interesado impugne la exactitud de los datos personales en un plazo que permita al responsable verificar la exactitud de los mismos;
47. b)el tratamiento sea ilícito y el interesado se oponga a la supresión de los datos personales y solicite en su lugar la limitación de su uso;
48. c)el responsable ya no necesite los datos personales para los fines del tratamiento, pero el interesado los necesite para la formulación, el ejercicio o la defensa de reclamaciones;
49. d)el interesado se haya opuesto al tratamiento en virtud del artículo 21, apartado 1, mientras se verifica si los motivos legítimos del responsable prevalecen sobre los del interesado. 2. Cuando el tratamiento de datos personales se haya limitado en virtud del apartado 1, dichos datos solo podrán ser objeto de tratamiento, con excepción de su conservación, con el consentimiento del interesado o para la formulación, el ejercicio o la defensa de reclamaciones, o con miras a la protección de los derechos de otra persona física o jurídica o por razones de interés público importante de la Unión o de un determinado Estado miembro. 3. Todo interesado que haya obtenido la limitación del tratamiento con arreglo al apartado 1 será informado por el responsable antes del levantamiento de dicha limitación." En el presente caso, la parte reclamante ejercitó ante ACVIL el derecho a la limitación del tratamiento en relación con las imágenes captadas por el sistema de videovigilancia instalado en el parking de su titularidad, como consecuencia de un incidente producido en su vehículo mientras se encontraba aparcado en una plaza de un garaje gestionado por la parte reclamada. En el presente caso, la parte reclamante había solicitado el acceso a las imágenes del sistema de videovigilancia del aparcamiento en fecha 23 de febrero de 2024, mediante un correo electrónico dirigido a ***EMAIL.1 y con el asunto: solicitud formal derecho de acceso-grabaciones cámaras de seguridad-parking (…), En este correo electrónico se indicaba expresamente que “no supriman y conserven cautelarmente las grabaciones para poder ejercitar ante los Tribunales los derechos de mi mandante” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/31 ACVIL no responde a esta solicitud de acceso hasta el día 4 de abril de 2024, con la indicación de que, “para poder visualizar las grabaciones, es imprescindible que primero se dirija a cualquier cuerpo de seguridad del estado a interponer la correspondiente denuncia, ya que, sin denuncia previa no es posible recuperar dicha grabación.” La parte reclamante reitera su petición el mismo 4 de abril de 2024 indicando: “solicito que reconsideren su postura, y den oportunidad tramitación a la solicitud realizada con fecha 23 de febrero de 2024, en el sentido de facilitar una copia de las grabaciones en las que se aprecie el vehículo y matrícula responsable de la colisión que ocasionó los daños al vehículo de mi mandante, y de garantizar, como medida cautelar, la conservación y custodia de dichas imágenes (si solo facilitaran el núm. de matrícula), por si resultaran necesarias para el ejercicio de los derechos que asisten a mi representado.” ACVIL contestó a este correo el 5 de abril de 2024 indicando que “Lamentamos comunicarte que no damos grabaciones salvo a policía o a un juez y que, en cualquier caso, ya han expirado las imágenes.” Por tanto, en este caso, no puede considerarse que ACVIL atendiera el derecho a la limitación del tratamiento ejercido por la parte reclamante, por cuanto no se contestó adecuadamente a la petición de conservación de las grabaciones en cuestión, grabaciones que además debieron ser conservadas en atención a lo solicitado. Según la parte reclamante, su vehículo sufrió daños en uno de los parkings que gestiona ACVIL, y así lo puso de manifiesto al solicitar las grabaciones de las cámaras, indicando que las imágenes podían ser necesarias para ejercitar acciones correspondientes ante los Tribunales. Por ello, se estima que era necesario conservar las imágenes, especialmente porque las mismas no se pusieron a disposición de la parte reclamante en atención al derecho de acceso ejercitado. No obstante, ACVIL procedió al borrado de las imágenes requeridas. Se entiende que existía un interés de la parte reclamante que justificaba el tratamiento de las repetidas imágenes más allá del plazo de un mes que fija el artículo 22.3 de la LOPDGDD. En relación con esta cuestión, debe considerarse que la finalidad última requerida perseguida con la no eliminación de las imágenes requeridas por la parte reclamante es la de obtener una prueba de los daños causados a su vehículo. Interesa traer a colación el derecho a la tutela judicial efectiva de los jueces y tribunales, recogido en el artículo 24.1 de la Constitución Española, que garantiza el acceso de todas las personas a los jueces y tribunales para la defensa de sus derechos. Este derecho garantiza que el interesado pueda aportar los medios de prueba pertinentes para su defensa. En otro caso, se vulnerarían las garantías derivadas del citado derecho a la tutela judicial efectiva y se coartaría el pleno desenvolvimiento de este derecho. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/31 Por todo ello, desde el punto de vista de esta Agencia, las grabaciones debieron conservarse una vez rebasado el plazo establecido para su supresión, que también trae su cobertura por el artículo 24 de la Constitución y sus normas de desarrollo. Siguiendo esta premisa, debe darse una prevalencia al derecho consagrado por el artículo 24 de la Constitución, que garantiza a los ciudadanos la tutela judicial efectiva de jueces y tribunales, en los términos expuestos. En este caso, las imágenes captadas por las cámaras de videovigilancia constituyen una prueba válida y adecuada para la defensa de los intereses de la parte reclamante. A este respecto, la Ley 1/2000, de 7 de enero, de Enjuiciamiento Civil, señala en el artículo 299 cuales son los medios de prueba de que podrá hacerse uso en juicio, estableciendo en su número 2 lo siguiente: “También se admitirán, conforme a lo dispuesto en esta Ley, los medios de reproducción de la palabra, el sonido y la imagen, así como los instrumentos que permiten archivar y conocer o reproducir palabras, datos, cifras y operaciones matemáticas llevadas a cabo con fines contables o de otra clase, relevantes para el proceso”. La prueba de la causación de los daños, así como la determinación de la persona contra la que se dirigirá la demanda podría encontrarse en las imágenes captadas por las cámaras. Todo ello sin olvidar que la parte reclamante solicitó la conservación de las grabaciones desde el primer momento, de modo que con esta sola petición ya se justificaba la no supresión de las imágenes más allá del plazo de 30 días previsto. Hay que tener en cuenta que las solicitudes de ejercicio de derechos se presentaron ante la entidad responsable (ACVIL) antes de que las imágenes fuesen borradas y que las razones expuestas prevalecen sobre la obligación de eliminar las imágenes en el plazo máximo de un mes desde que fueron captadas. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a ACVIL, por vulneración del artículo 18 del RGPD transcrito anteriormente. VIII Tipificación de la infracción del artículo 18 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
50. b)los derechos de los interesados a tenor de los artículos 12 a 22;" C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/31 Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
51. k)El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679." IX Propuesta de sanción por la infracción del artículo 18 del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD y 76 de la LOPDGDD anteriormente transcritos. Lo anterior implica, de acuerdo con las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD, que la cuantía de la multa para cada una de las infracciones debe tener como punto de partida, tres elementos: el volumen de negocios, la categorización de las infracciones según su propia naturaleza (es decir, si se trata de una infracción del 83.4, 83.5 u 83.6 RGPD) y el nivel de gravedad de la infracción en cada caso concreto (de acuerdo con el artículo 83.2 a),
52. b)y g)). En cualquier caso, la multa a imponer debe ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Como ya se ha señalado, se considera, con carácter previo, el volumen de negocio de ACVIL es de 44.697.000 euros en el año 2024. En relación con la categorización de la infracción, esta se encuentra tipificada en el artículo 83.5 del RGPD. En virtud del mismo, la sanción que se imponga por cada una de las infracciones anteriores podrá ser de 20.000.000 de euros, como máximo, o, tratándose de una empresa, una cuantía equivalente al 4% como máximo del volumen de negocio anual, optándose por la de mayor cuantía. El 4% del volumen de negocio de la parte reclamada es de 1.787.880 euros. Conforme a lo anterior, la sanción a imponer en este caso habrá de estar forzosamente entre 0 y 20.000.000 de euros. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa, además de la adopción de medidas, si procede. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/31 La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de ACVIL 44.697.000 de euros. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. Con carácter previo, se estima que concurren las circunstancias siguientes: • La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): la naturaleza de la infracción, por cuanto el borrado definitivo de las imágenes captadas por el sistema de videovigilancia que ha conllevado la no atención del derecho a la limitación del tratamiento incide, en este caso, en la capacidad de la parte reclamante de ejercer un verdadero control de sus datos personales en la medida en que limita su capacidad de acción en la defensa de sus derechos. • Intencionalidad/ Negligencia en la infracción (artículo 83.2, letra b), del RGPD): se observa una conducta negligente en la reclamada, al no contestar a la solicitud de ejercicio del derecho en el plazo establecido de un mes, dando lugar a que las imágenes de las cámaras de videovigilancia fueran suprimidas, imposibilitando la atención del derecho. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 18 del RGPD, permite fijar inicialmente una sanción de multa administrativa de 75.000,00 euros. X Medidas correctivas De confirmarse la infracción, la resolución que se dicte podrá establecer las medidas correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento de la legislación de protección de datos personales, en este caso del Artículo 15 del RGPD, de acuerdo con lo establecido en el citado artículo 58.2.
53. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…” Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/31 En el presente acto se establece cuál es la presunta infracción cometida y los hechos que podrían dar lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, en la resolución que se adopte se podrá requerir a ACVIL para que, en el plazo máximo de 3 meses, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte los mecanismos para asegurar que las solicitudes de ejercicios de derechos sean respondidas en todo caso, y evitar, en caso de solicitudes de acceso a las imágenes captadas por sus sistemas de videovigilancia y solicitudes de limitación del tratamiento, que las imágenes a las que se refieran estas solicitudes sean borradas antes de la atención del derecho y antes de que los órganos competentes puedan revisar las decisiones que se adopten al respecto. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento sancionador podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa obligación. Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR APARCAMIENTOS, S.L.U, con NIF B73454134, por: a ACVIL - la presunta infracción del artículo 15 del RGPD, tipificada en el artículo 83.5 del RGPD. - la presunta infracción del artículo 18 del RGPD, tipificada en el artículo 83.5 del RGPD. SEGUNDO: NOMBRAR como instructor/a a C.C.C. y, como secretario/a, a D.D.D., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/31 artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
54. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de -por la presunta infracción del artículo 15 del RGPD, tipificada en el artículo 83.5.
55. b)del RGPD, una sanción por importe de 75.000 euros (setenta y cinco mil euros). -por la presunta infracción del artículo 18 del RGPD, tipificada en el artículo 83.5.
56. b)del RGPD, una sanción por importe de 75.000 euros (setenta y cinco mil euros). QUINTO: NOTIFICAR el presente acuerdo a ACVIL APARCAMIENTOS, S.L.U, con NIF B73454134, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 120.000,00 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 120.000,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 90.000,00 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/31 En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (120.000,00 euros o 90.000,00 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. En cumplimiento de los artículos 14, 41 y 43 de la LPACAP, se advierte de que, en lo sucesivo, las notificaciones que se le remitan se realizarán exclusivamente de forma electrónica, a través de la Dirección Electrónica Habilitada única (dehu.redsara.
57. es)y de la Sede electrónica (sedeaepd.gob.es), y que, de no acceder a ellas, se hará constar su rechazo en el expediente, dando por efectuado el trámite y siguiéndose el procedimiento. Se le informa que puede identificar ante esta Agencia una dirección de correo electrónico para recibir el aviso de puesta a disposición de las notificaciones y que la falta de práctica de este aviso no impedirá que la notificación sea considerada plenamente válida. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 1479-021025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 17 de marzo de 2026, ACVIL ha procedido al pago de la sanción en la cuantía de 90.000,00 euros haciendo uso de las dos reducciones previstas en el acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad en relación con los hechos a los que se refiere el acuerdo de inicio y su calificación jurídica. TERCERO: En el acuerdo de inicio transcrito anteriormente se señalaba que, de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
58. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de las medidas incluidas en el acuerdo de inicio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/31 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Pago voluntario y reconocimiento de responsabilidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/31 De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y de realizar el pago voluntario de la sanción propuesta, lo que supondría dos reducciones acumulables de un 20% cada una. Con la aplicación de estas dos reducciones, la sanción quedaría establecida en 90.000,00 euros y su pago implicaría la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la notificación del citado acuerdo de inicio, ACVIL ha procedido al reconocimiento de la responsabilidad y al pago voluntario de la sanción, acogiéndose a las dos reducciones previstas. De conformidad con el apartado 3 del artículo 85 LPACAP, la efectividad de las citadas reducciones estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente resolución. La suma de las citadas cuantías arroja una cantidad total de 150.000,00 euros. Tras haber procedido ACVIL APARCAMIENTOS, S.L.U al pronto pago y reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 40% del total mencionado, lo cual supone la cantidad definitiva de 90.000,00 euros. La efectividad de las citadas reducciones está condicionada, en todo caso, al desistimiento o renuncia de cualquier acción o recurso en vía administrativa. SEGUNDO: DECLARAR la terminación del procedimiento EXP202500616, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: ORDENAR a ACVIL APARCAMIENTOS, S.L.U para que en el plazo de 3 meses desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho del acuerdo de inicio transcrito en la presente resolución. CUARTO: NOTIFICAR la presente resolución a ACVIL APARCAMIENTOS, S.L.U. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/31 QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario y reconocimiento de la responsabilidad al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de su notificación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
59. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. No obstante, conforme a lo previsto en el artículo 90.3.
60. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1259-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es