PS-00267-2021

1/61  Expediente Nº: PS/00267/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la reclamante), con fecha 31/12/2020, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra MERCADONA S.A., con NIF A46103834 (en adelante, MERCADONA o la reclamada), por la falta de atención del derecho de acceso a los datos personales de la reclamante, al no haberse contestado la solicitud en el plazo de un mes. Los motivos en que basa la reclamación son los siguientes: La reclamante expone que el ***FECHA.1 sufrió un accidente en un establecimiento de la entidad sito en ***DIRECCION.1, y que, con el propósito de reclamar los daños, ejercitó el derecho de acceso a las imágenes de las cámaras de seguridad, utilizando para ello el formulario de solicitud disponible en la web de la reclamada, el establecido en la Política de Privacidad, recibiendo un mensaje sobre la conformidad del envío, que tuvo lugar el ***FECHA.2. Añade que, transcurrido un mes sin recibir respuesta, remitió un correo electrónico al DPD de la entidad, el cual respondió negando la recepción de la solicitud de acceso e informando a la reclamante que las imágenes habían sido borradas. Con ese motivo, la reclamante remitió el justificante del envío de la solicitud de acceso, sin recibir ninguna otra respuesta. Asimismo, señala la reclamante que con fecha ***FECHA.3 formuló denuncia ante la propia entidad MERCADONA por el accidente acaecido, a través de su web, recibiendo una referencia por el caso, por lo que no entiende que borrasen las imágenes, que eran la única prueba de los hechos. Junto a la reclamación, aporta la documentación siguiente, que consta reseñada en los Hechos Probados: . Impresión del formulario de solicitud de derecho de acceso cumplimentado a través de la web de la reclamada, de fecha ***FECHA.2. . Impresión de pantalla del mensaje de respuesta a la solicitud anterior. . Copia del correo electrónico enviado el ***FECHA.4 por la representante de la reclamante al DPD de MERCADONA, reclamando las imágenes. . Impresión de pantalla del correo electrónico dirigido por la reclamante a la dirección “conducta@mercadona.es”, de fecha ***FECHA.3, con el asunto “Denuncia D201…”, y respuesta de MERCADONA de ***FECHA.5. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/61 diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación al reclamado el 03/02/2021, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. En respuesta a dicho traslado, la entidad reclamada informó como sigue: . MERCADONA inicia su respuesta presentando los hechos objeto de las actuaciones, confirmando que el envío de la solicitud a través del formulario disponible en la web no genera un acuse de recibo y simplemente muestra un mensaje de respuesta indicando “el mensaje se ha enviado correctamente”. Se refiere, asimismo, al correo que fue enviado por la representante de la reclamante al DPD de la entidad en fecha ***FECHA.6, y señala que dicho correo se respondió informando “que la petición no había sido recibido y que las imágenes ya no estaban disponibles (se habían borrado al transcurrir más de 30 días desde la captación)”. Añade que, una vez tuvo conocimiento de la solicitud de la reclamante por medio del citado correo enviado al DPD, revisó los procesos materiales y humanos implicados, tanto técnico como de gestión, sin observar ninguna desviación. Esta comprobación dio lugar a la respuesta antes indicada. Asimismo, conocida la reclamación, en fecha 09/02/2021 remitió a la reclamante un burofax en los mismos términos. Seguidamente, informa sobre algunos detalles relativos al procedimiento que sigue para que los interesados ejerciten los derechos en materia de protección de datos personales, que constan reseñados en el Hecho Probado Primero, e indica que a través del formulario se han recibido y tramitado un total de 229 solicitudes de derechos en materia de protección de datos personales durante el año 2020. Por otra parte, destaca MERCADONA que, con fecha ***FECHA.7, la representante de la reclamante se dirigió por primera vez a la entidad con la única finalidad de informar del incidente y comunicar su intención de solicitar una indemnización por ello, sin ninguna referencia a la solicitud de acceso realizada el ***FECHA.2, la cual es motivo de la presente reclamación. Entiende la reclamada, por otra parte, que de la comunicación realizada por la reclamante a través del canal de denuncias no se puede desprender que se trataba de una solicitud de ejercicio del derecho de acceso. En base a lo expuesto, concluye la reclamada que actuó en todo momento conforme a la normativa vigente, según el esquema establecido para el dar cumplimiento al ejercicio de derechos de los clientes. En este caso concreto, en el momento que tuvo conocimiento, por primera vez, de la solicitud de acceso el pasado ***FECHA.4, contestó a dicha solicitud el ***FECHA.8, respondiendo a la única dirección conocida de la solicitante. Con su respuesta, aporta copia de la documentación siguiente, que consta reseñada en los Hechos Probados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/61 . Copia de un correo remitido por MERCADONA a la representante de la reclamante, de ***FECHA.9, con el asunto “Derecho de acceso”. . Copia del correo remitido por la representante de la reclamante a MERCADONA, de ***FECHA.7, antes citado. TERCERO: Con fecha 16/04/2021, la Directora de la AEPD acuerda la admisión a trámite de la reclamación. CUARTO: Con fecha 05/07/2021, por la Subdirección General de Inspección de Datos se accede a la información disponible sobre la entidad reclamada en “Axesor”. Consta que esta entidad pertenece al sector de “Comercio” (…). QUINTO: Con fecha 19/07/2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad MERCADONA, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción de los artículos 12 y 6 del RGPD, tipificadas en los artículos 83.5.

1. b)y 83.5.
2. a)del citado Reglamento, respectivamente; y calificadas como leve y muy grave a efectos de prescripción en los artículos 74.
3. c)y 72.1.
4. b)de la LOPDGDD. En el acuerdo de apertura se determinó que las sanciones que pudieran corresponder, atendidas las evidencias existentes en el momento de la apertura y sin perjuicio de lo que resulte de la instrucción, ascenderían a un total de 170.000 euros (70.000 euros por la infracción del artículo 12 y 100.000 euros por la infracción del artículo 6, ambos del RGPD). Asimismo, se advertía que las infracciones imputadas, de confirmarse, podrán conllevar la imposición de medidas, de acuerdo con lo establecido en el citado artículo 58.2
5. d)del RGPD. SEXTO: Notificado el citado acuerdo de inicio y ampliado el plazo concedido para formular alegaciones, la entidad reclamada presentó escrito de fecha 02/08/2021, en el que solicita el archivo del procedimiento sancionador conforme a las consideraciones siguientes: 1. En primer lugar, se refiere al accidente sufrido por la reclamante, el cual, según indica, le fue comunicado por denuncia de ***FECHA.3 realizada a través de su web, y señala que la investigación interna desarrollada por la propia entidad reclamada con posterioridad al trámite de traslado detectó un error humano en la gestión de la reclamación civil presentada la reclamante, que originó que no llegara a conocimiento del Delegado de Protección de Datos (DPD) ni de su equipo y la falta de atención de la solicitud de acceso formulada. A raíz de ello, se contactó con la reclamante, por medio de su representante, y se llegó a un acuerdo que repara los daños y perjuicios sufridos por el accidente y los derivados de la no atención de su derecho de acceso a sus datos personales, de manera que el error en la atención del derecho no le ha ocasionado ningún daño y/o perjuicio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/61 Además, manifiesta que se adoptaron a nivel interno medidas disciplinarias; así como medias técnicas y organizativas, para evitar que pueda producirse en el futuro un error similar y que aseguren el envío al DPD de las solicitudes que se formulen a través del formulario web. 2. Considera improcedente la apertura de procedimiento sancionador en un caso referido exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, y destaca el carácter excepcional de dicho procedimiento, que ha sido puesto de manifiesto por la AEPD en diversas actuaciones (E/10485/2019, TD/00120/2021 y RR/00506/2021), indicando que “siempre que sea posible, deberá optarse por la prevalencia de mecanismos alternativos en el caso de que tengan amparo en la normativa vigente...” y que deben existir elementos que justifiquen el inicio del procedimiento sancionador. A este respecto, añade MERCADONA que, en el presente caso, el acuerdo de inicio del procedimiento no concreta cuáles son los concretos aspectos que justifican la apertura del procedimiento sancionador, ni cómo a través de la imposición de una sanción a la entidad, podrán restaurarse las garantías y derechos de la reclamante, que a través del procedimiento del artículo 64.1 de la LOPDGDD, según la Autoridad, no quedarían debidamente restauradas. En este caso, los hechos se refieren exclusivamente a la falta de atención de una solicitud de derecho de acceso, sin que se hayan producido incumplimiento de otras disposiciones que justifiquen la apertura de un procedimiento sancionador, atendiendo a las circunstancias de hecho recogidas en el punto anterior, y se han restaurado las garantías y derechos de la interesada. Así, considera que el acuerdo de inicio no ha motivado debidamente la apertura del procedimiento, en contra de lo establecido en el artículo 35.8 de la Ley 39/2015, letras
6. h)e i), lo que puede viciar de nulidad el acto administrativo conforme a la doctrina del Tribunal Supremo en la medida en que puede privar al interesado de los medios de defensa necesarios o dificultar el control jurisdiccional (STS 5701/1998, STS 1935/2003 o STS 8046/1999). Destaca que, tratándose de un acto discrecional, dicha motivación debe ser más intensa, expresando el proceso lógico que lleva a la Administración a tomar la decisión (STS 7626/1998 que cita a su vez las SSTS, entre otras de 15/06/1984, 13/07/1984 y 07/02/1987). Por último, indica MERCADONA que, si la finalidad de la apertura del procedimiento sancionador es que queden “debidamente restauradas las garantías y derechos de los interesados” tal y como se indica en el Fundamento de Derecho II del propio Acuerdo de inicio de Procedimiento Sancionador, esa entidad ha realizado acciones para reparar y paliar los daños y perjuicios sufridos por la interesada, por no haber atendido en tiempo el derecho de acceso a causa del error humano detectado, por lo tanto han quedado debidamente restauradas las garantías y derechos de la reclamante. Por tanto, entiende que no procede la apertura de procedimiento sancionador y que, además, no se ha justificado dicha decisión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/61 3. Considerando el error humano alegado, invoca el principio de culpabilidad, señalando que no existen errores en el pasado. Cita el artículo 28.1 de la Ley 40/2015, que establece el Principio de responsabilidad de la potestad sancionadora, y varios precedentes en los que la AEPD ha declarado que el principio de culpabilidad constituye nota esencial en materia sancionadora y que la llamada responsabilidad objetiva no tiene cabida en el Derecho administrativo sancionador, por lo que la mera comisión de una infracción administrativa no es suficiente a la hora de proceder a imponer una sanción administrativa, debiendo concurrir una conducta dolosa o negligente, ya sea negligencia grave o leve o simple, según en grado de desatención, no existiendo negligencia, ni por tanto infracción culpable y punible, "cuando se haya puesto la diligencia necesaria en el cumplimiento de las obligaciones exigibles en materia de LOPD" (PS/00724/2014). Como el error humano es involuntario, no hay culpabilidad, pues nunca podría llegar a exigirse una diligencia de tal calibre que, en términos de resultado, fuera inmune a cualquier fallo humano o técnico, puesto que ello vaciaría completamente de contenido al citado principio de culpabilidad, no siendo distinto de una mera imputación por vía de la causalidad objetiva. Así se recoge en varias resoluciones de la Autoridad como las dictadas en los expedientes señalados con los números E/03468/2009, en el que la AEPD trae a colación doctrina jurisprudencial de la AN y el TS sobre el error y la relación con la culpa (“…ningún sistema es indefectible ni inmune la existencia de posibles errores, por lo que, una vez producidos, ha de analizarse la importancia y alcance de los mismos, para evitar una responsabilidad objetiva del sujeto de la obligación de custodia de los mismos”); E/00546/2010; E/01795/2011 (“…En el presente caso no concurre el requisito del dolo o culpa al respecto de la actuación de las empresas denunciadas, sino que estaríamos ante un supuesto de error con resultado presuntamente infractor, en la medida en que pudiera existir un eventual resultado antijurídico, pero no una voluntad en torno a dicho resultado... En este sentido se ha manifestado, ante situaciones similares la propia Audiencia Nacional, en sentencias como las dictadas el 16 de marzo de 2004 y 2 de marzo de 2005, en las que respectivamente declara lo siguiente… Hemos de tener en cuenta que, como pone de manifiesto la Audiencia Nacional, y en la medida en que no concurre voluntariedad en el acto, que no se ha producido un resultado especialmente lesivo en lo acontecido, y que no consta la falta de cuidado en la actuación generalizada de la empresa denunciada en sus comunicaciones, seria contrario a la naturaleza del ámbito sancionador administrativo, sujeto a los principios de intervención mínima y proporcionalidad, imponer una sanción al respecto del acto producido, que puede resumirse en un mero error no merecedor de actuación sancionadora”). En el presente caso, la entidad ha puesto la diligencia necesaria en el cumplimiento de las obligaciones establecidas en la normativa de protección de datos y actúa en todos sus procesos con la máxima diligencia, y siempre dentro de su compromiso con la transparencia y respeto al cumplimiento normativo en lo que respecta al tratamiento de los datos de sus clientes. Así, tiene establecido un procedimiento intuitivo y sencillo en relación con el ejercicio de los derechos en materia de Protección de Datos, en el cual se establece las exigencias recogidas en el RGPD y la LOPDGDD. En cuanto a la información que se proporciona a los clientes sobre cómo ejercer los derechos, ha establecido un proceso sencillo y directo sobre el que la entidad informa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/61 a través de diferentes vías (cartelería en los accesos a las tiendas; llamada al teléfono gratuito del Servicio de atención al cliente; o la Política de Privacidad publicada en la página web, que incluye un vínculo que dirige al formulario de ejercicio de derechos). En el presente caso, la reclamante optó por la vía del formulario web, cuyas solicitudes son recibidas por el Departamento de Atención al Cliente. Y detalla el proceso de tramitación que sigue la solicitud, el cual consta reseñado en el Hecho Probado Primero. Este proceso contempla que las solicitudes para el ejercicio de derechos de protección de datos sean comunicadas por el gerente al Delegado de Protección de Datos, a través de un procedimiento no automatizado. Es el único paso no automatizado dentro de todo el procedimiento de gestión de derechos y hasta la fecha, nunca había acontecido ningún error, ni de carácter técnico ni humano, en la gestión de las solicitudes en materia de protección de datos, funcionando perfectamente el sistema establecido, gracias a la especial y constante formación que la entidad imparte a los profesionales encargados de gestionar este tipo de solicitudes, a través de la cual se transmite la gran importancia del derecho fundamental de protección de datos y especialmente, los derechos de los interesados. En relación a los ejercicios de derecho recibidos a través del formulario web, se han recibido y tramitado de forma satisfactoria un total de 229 solicitudes de derechos ARSOPL durante el año 2020 (enero – septiembre: 188 y de octubre – diciembre: 41). La entidad puede afirmar que no ha sido sancionada con anterioridad por la AEPD en materia de derechos de los interesados, y a nivel interno, no consta hasta el día de hoy ninguna reclamación ante el DPD, ni hoja de reclamaciones, sobre la no contestación o no recepción de solicitudes de los interesados. No obstante, de forma adicional la entidad ha procedido a reforzar las instrucciones al personal encargado de la gestión de las solicitudes de los interesados en materia de protección de datos, especialmente las que los interesados envíen a través del formulario de Atención al Cliente y que los gerentes asignados para su tramitación reciben en sus carpetas, haciendo especial hincapié en su comunicación al DPD en tanto no se automatice totalmente el procedimiento, a través de un comunicado enviado por el Delegado de Protección de Datos en fecha 02/08/2021 de agosto. A la vista del procedimiento establecido, concluye MERCADONA que ha observado en todo momento la diligencia y el deber de cuidado que le eran exigibles, estableciendo los procedimientos necesarios para gestionar las solicitudes de los interesados y proporcionando formación específica a los trabajadores encargados de gestionar dichas solicitudes y comunicarlas al Delegado de Protección de Datos. Además, se implementan medidas preventivas tales como controles periódicos realizados por los coordinadores, con la finalidad de evitar incidencias. Lo contrario sería asumir una responsabilidad objetiva del sujeto de la obligación de custodia de los mismos, a pesar de que no consta una falta de cuidado en la actuación generalizada, habiendo mostrado la entidad la diligencia y el deber de cuidado que le son exigibles, a través de la implementación de medidas formativas y preventivas de control. Además, debe tenerse en cuenta la importancia y alcance del error, que no se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/61 ha producido un resultado especialmente lesivo en lo acontecido ya que los daños y perjuicios han sido reparados a la reclamante, y la naturaleza del error, que dada la gran cantidad de datos que trata la entidad, ningún sistema es indefectible ni inmune a la existencia de posibles errores como ha sido el caso presente, y que por otro lado, se han adoptado medidas (técnicas) para evitar que pueda producirse en un futuro. 4. MERCADONA considera vulnerado el principio de tipicidad por las circunstancias siguientes: . Cuando se afirma en el acuerdo de apertura del procedimiento que se ha infringido el artículo 6 del RGPD y que ello podría suponer la comisión de la infracción tipificada, en el apartado 5.
7. a)del artículo 83 del RGPD, no se concreta en absoluto la conducta infractora. . Se indica también en el acuerdo de apertura que los hechos podrían suponer una vulneración de lo dispuesto en el artículo 6 del RGPD, en relación con el artículo 22 de la LOPDGDD. El artículo 6 del RGPD cuenta con cuatro párrafos, que a su vez cuentan con diferentes subapartados, y no se especifica qué párrafo y letra del artículo 6 es el que podría haber sido supuestamente vulnerado. Lo mismo en relación con el artículo 22 de la LOPDGDD, que cuenta con ocho párrafos y no se especifica qué concreto párrafo y apartado es/son el/los que podría/n haber sido vulnerado/s. A mayor abundamiento, tampoco se explica la relación entre el artículo 6 del RGPD y el artículo 22 LOPDGDD. . No se explica con detalle o no se fundamenta adecuadamente por qué el hecho de haber borrado unas imágenes en el cumplimiento del plazo legalmente establecido, por no haber dado respuesta a un derecho de acceso debido a un error humano, supone un incumplimiento de las condiciones de licitud y concretamente, de cuál de ellas. Según MERCADONA, todo ello es causante de indefensión y contribuye a la inseguridad jurídica (artículo 9.3 Constitución). Cita la resolución dictada por la AEPD en el expediente E/02434/2020, en la que se declara: “En definitiva, este principio implica, en primer lugar, que las leyes sancionadoras únicamente pueden aplicarse a aquellas conductas que reúnan todos los elementos del tipo descrito, es decir, que una conducta se puede definir como “típica” cuando existe una identidad u homogeneidad entre el hecho cometido y las circunstancias que se describen en la norma. La prohibición de la analogía, por su parte, implica que no se puede imponer una sanción por un hecho que no encaje en la literalidad del tipo de la infracción, aunque guarde con él algún tipo de similitud o proximidad conceptual”. Por todo lo anterior, entiende la entidad reclamada que en el acuerdo de inicio de procedimiento sancionador no se cumple en absoluto con el principio de tipicidad ya que, en primer lugar, no se han concretado los preceptos supuestamente vulnerados, ni se ha explicado la relación entre los mismos; en segundo lugar, no existe identidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/61 entre el hecho cometido y las circunstancias que se describen en la norma, pues no se ha producido en ningún momento un tratamiento de datos ilícito (art 6 RGPD) ni se ha vulnerado lo establecido en el artículo 22 de la LOPDGDD, y en tercer lugar, no se puede imponer una sanción por un hecho que no encaje en la literalidad del tipo de la infracción, aunque guarde con él algún tipo de similitud o proximidad conceptual (prohibición de analogía). 5. MERCADONA cumple escrupulosamente lo establecido en el artículo 22.3 de la LOPDGDD sobre la obligación de conservación de las imágenes captadas por sistemas de videovigilancia, ya que dichas imágenes se borran de manera definitiva al transcurrir más de 30 días desde la captación. En el caso objeto de la presente reclamación, debido a un error humano, no se tramitó correctamente la solicitud de acceso de la reclamante, pero ello no implica en absoluto un incumplimiento de lo establecido en el artículo 22.3 LOPDGDD, que dispone lo siguiente: “3. Los datos serán suprimidos en el plazo máximo de un mes desde su captación, salvo cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En tal caso, las imágenes deberán ser puestas a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación. No será de aplicación a estos tratamientos la obligación de bloqueo prevista en el artículo 32 de esta ley orgánica” . En las “Fichas prácticas de videovigilancia información general” de la AEPD, actualizadas en 2021, se indica lo siguiente (aporta impresión de pantalla): “Las imágenes serán conservadas durante un plazo máximo de un mes desde su captación, transcurrido el cual se procederá al borrado. Cuando se produjese la grabación de un delito o infracción administrativa que deba ser puesta en conocimiento de una autoridad las imágenes se acompañarán a la denuncia y deberán conservarse con el único fin de ponerlas a disposición de la citada autoridad sin que puedan ser utilizadas para ningún otro propósito”. Por tanto, sobre la obligación de supresión general transcurrido máximo un mes desde la captación de las imágenes, la excepción viene dada por la grabación de un delito o infracción administrativa que deba ser puesto en conocimiento de las autoridades, sin que podamos incluir otros supuestos dentro de dicha excepción a la regla general, pues la propia LOPDGDD no los incluye. El artículo 22.3 LOPDGDD habla de “(…) salvo cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones”, por lo que no se está refiriendo a cualquier acto, sino a aquellos que impliquen una conducta por parte de un tercero (cometer un acto) contra personas, bienes o instalaciones, es decir, debe cometerse un acto por parte de una persona, que atente contra la integridad de personas, bienes o instalaciones. Recordemos que toda excepción debe ser interpretada restrictivamente y sostener lo contrario, vulneraría tanto el principio de tipicidad como la prohibición de analogía, ya que no se puede imponer una sanción por un hecho que no encaje en la literalidad del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/61 tipo de la infracción, aunque guardase con él algún tipo de similitud o proximidad conceptual. En un caso similar (Procedimiento E/02434/2020) en el que la Guardia Civil solicitó imágenes a un establecimiento de hostelería “por ser estas determinantes para el esclarecimiento de los hechos”, y estas ya habían sido borradas, la AEPD indica que es necesario analizar si la conducta descrita constituye una infracción y afirma que “El citado artículo 22.3 LOPDGDD, hay que ponerlo en conexión con lo establecido en el artículo 32 LOPDGG, “Bloqueo de datos” y concluye que “la obligación de “bloqueo” en materia de imágenes obtenidas a través de sistemas de video-vigilancia es una de las excepciones determinadas por el Legislador, de manera que no cabría imputar al denunciado una infracción administrativa en los términos del art. 72n) LOPDGDD”, por lo que archiva la denuncia: “De acuerdo con lo expuesto, cabe concluir que no existe como tal una obligación de bloqueo en el caso de las imágenes obtenidas a través del sistema, ni el Legislador obliga a que las mismas se tengan que conservar necesariamente por el plazo de un mes, careciendo este organismo de un mayor conocimiento de las circunstancias que dieron lugar a la eliminación de las imágenes (vgr. intencionalidad o simple error humano), motivos todos ellos que aconsejan ordenar el Archivo del presente procedimiento”. Si en el caso comentado en que las imágenes eran solicitadas por la Guardia civil para el esclarecimiento de unos hechos presuntamente delictivos, la Autoridad concluyó que no había obligación por parte del establecimiento de bloquear las imágenes, menos aún en el presente caso en el que no estamos ante la comisión de un delito o infracción administrativa, que justificaría la “puesta a disposición de las imágenes a la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación”, que es lo que realmente establece el artículo 22.3 de la LOPDGDD, y no una obligación de conservación, ni siquiera parcial. En conclusión, no se ha incumplido con ninguna disposición que establezca una obligación de conservación de las imágenes, ya que el art 22.3 LOPDGDD no establece dicha obligación, sino que establece únicamente la obligación de comunicar determinadas grabaciones a las autoridades, y sancionar por ello supondría una vulneración del Principio de Tipicidad y la prohibición de analogía. Cuestión diferente es que, por no haber recibido o procesado correctamente la solicitud de derecho de acceso, se hayan causado unos posibles daños a la reclamante, los cuales ya han sido reparados a través del acuerdo alcanzado con la reclamante tal y como se ha explicado anteriormente, pero en modo alguno puede vincularse el hecho de que la reclamante realice una denuncia al establecimiento por unos hechos a efectos de reclamar daños por responsabilidad civil (recordemos, sin ejercitar propiamente un derecho de acceso a las imágenes en dicha denuncia y que no hacía referencia al ejercicio de derecho de acceso ejercitado previamente) con una obligación legal de conservar las imágenes que además el art 22.3 no establece, ya que dicho precepto se limita a establecer la obligación de poner a disposición de la autoridad competente en un plazo máximo de setenta y dos horas aquellas imágenes que sirvan para “acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones” y no de cualquier suceso que no implique la grabación de un delito o infracción administrativa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/61 Por tanto, es claro que el artículo 22.3 no establece una obligación de conservación de imágenes que la entidad no haya respetado. Aceptar lo contrario supondría la obligación de los responsables de tratamiento de revisar todas las grabaciones diariamente para conservar cualquier grabación en la que una persona pudiera haberse caído, desmayado etc. además de comunicar a las autoridades competentes dichos sucesos que no entrarían dentro de su competencia como es el caso presente, y sancionar por ello, supondría vulneración del Principio de Tipicidad y de prohibición de analogía. Con sus alegaciones aporta la documentación siguiente: . Acuerdo de especificaciones dirigido al Departamento de Sistemas para realizar un nuevo desarrollo en la página web corporativa que implique la automatización del envío de cualquier ejercicio de derechos al Delegado de Protección de Datos. Con el objetivo de facilitar el ejercicio de derechos, este documento contempla incluir una “FAQ” para explicar cómo ejercitar el derecho y con un enlace a un formulario, “que completándolo llegará” al equipo legal para gestionar la solicitud. . “Certificación” del Departamento de Recursos Humanos en relación con la imposición de la medida disciplinaria interna. Se dice que la investigación realizada detectó que un empleado del Área de Responsabilidad Civil encargado de la gestión de la reclamación objeto de las presentes actuaciones “había incurrido en la falta de diligencia en sus funciones y que han originado la falta de atención del derecho de acceso en materia de videovigilancia”, por lo que “se le aplicaron las medidas disciplinarias internas por incumplir de forma negligente la ejecución de los métodos de trabajo establecidos por la empresa, habiendo sido debidamente formado para ellos”. . Comunicado del DPD de la entidad reclamada dirigido a los “gerentes de tramitación” del Departamento de Atención al Cliente”, remitido mediante correo electrónico de 02/08/2021. Enumera las vías para el ejercicio de derechos e informa lo siguiente: “Como sabéis si el interesado utiliza el formulario web para el ejercicio de un derecho, a través de un procedimiento automatizado, el sistema asigna la solicitud a un gerente y la envía a su carpeta. IMPORTANTE: Aquellas solicitudes para el ejercicio de derechos en materia de protección de datos, como sabéis y venís realizando hasta la fecha, deben ser enviadas de forma inmediata al Delegado de Protección de Datos ***EMAIL.1, para que se proceda a dar respuesta en tiempo y forma al Jefe(cliente) que lo solicita. Actualmente es un proceso que se realiza de forma manual, por lo que se ha solicitado al Departamento de Informatica el estudio y la valoración del proyecto de automatización con la finalidad de evitar cualquier error humano en la gestión”. . Documentación sobre una formación dirigida al “Área Línea 900”, realizada en mayo de 2021, que incluye un apartado dedicado a la protección de datos personales. SÉPTIMO: Con fecha 29/07/2021, tuvo entrada en esta Agencia un escrito presentado por la representante de la reclamante, en relación con la apertura del procedimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/61 sancionador, mediante el que comunica “que se ha llegado a un acuerdo con Mercadona, a través del cual quedan debida y suficientemente resarcidos los daños y perjuicios sufridos por mi clienta, tanto materiales como inmateriales en el ámbito de la responsabilidad civil, así como en materia de protección de datos por la no atención del derecho de acceso, motivo de la reclamación presentada”. En base a ello, termina señalando que han quedado resarcidos los perjuicios y satisfecho el derecho de la reclamante y solicita “se considere atendida mi reclamación y, por ende, el archivo del expediente”. OCTAVO: Con fecha 02/03/2022 se formuló propuesta de resolución en el sentido siguiente: 1. Que se sancione a la entidad MERCADONA, por una infracción del artículo 12, en relación con el artículo 15, ambos del RGPD, tipificada en el artículo 83.5.
8. b)y calificada como leve a efectos de prescripción en el artículo 74.
9. c)de la LOPDGDD, con una multa de 70.000 euros (setenta mil euros). 2. Que se sancione a la entidad MERCADONA, por una infracción del Artículo 6 del RGPD, tipificada en el artículo 83.5.
10. a)y calificada como muy grave a efectos de prescripción en el artículo 72.1.
11. b)de la LOPDGDD, con una multa de 100.000 euros (cien mil euros). 3. Que se imponga a la entidad MERCADONA, en el plazo que se determine, la adopción de las medidas necesarias para adecuar su actuación a la normativa de protección de datos personales, con el alcance expresado en el Fundamento de Derecho IX de la propuesta de resolución. NOVENO: Con fecha 16/03/2022, se recibe escrito de la entidad reclamada en el que formula alegaciones a la propuesta de resolución, solicitando nuevamente el archivo del procedimiento y que se tengan en cuenta las peticiones que seguidamente se indican. Basa su petición en las consideraciones siguientes: 1. Reitera las mismas alegaciones anteriores sobre la procedencia de seguir un procedimiento por falta de atención de una solicitud de ejercicio de derechos, que es el que, a su juicio, corresponde por imperativo legal, en lugar de un procedimiento sancionador; y señala que aquel tiene una duración de seis meses a contar desde la admisión a trámite el 16/04/2021, que transcurrieron sin pronunciamiento alguno. Entiende que las responsabilidades también deben depurarse en el marco de ese procedimiento regulado en el artículo 64.1 de la LOPDGDD; y que debe seguirse el mismo aunque no sea posible atender el derecho, como ocurre en este caso al haberse eliminado el dato, según ha resuelto la Agencia en precedentes que califica como similares, en los que la AEPD ha estimado formalmente la reclamación del interesado dentro del procedimiento de tutela de derechos, instando al reclamado a dar respuesta pero sin apreciar “carencia” de objeto y sin depurar responsabilidades (TD/00955/2018, TD/00830/2017 y TD/01272/2017). Añade que así lo entiende el Comité Europeo de Protección de Datos (CEPD) en sus Directrices 3/2019, sobre el tratamiento de datos personales mediante dispositivos de vídeo: “Ejemplo: Si el responsable del tratamiento suprime automáticamente todas las imágenes por ejemplo en un plazo de dos días, no puede facilitar las imágenes al interesado transcurridos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/61 esos dos días. Si el responsable recibe una solicitud después de esos dos días, se debe informar al interesado en consecuencia”. Cita también las actuaciones seguidas por la AEPD con el número E/02434/2020, que se refiere a una petición de las Fuerzas y Cuerpos de Seguridad del Estado de imágenes determinantes para el esclarecimiento de la supuesta comisión de un delito o infracción administrativa, que la Agencia archivó concluyendo que no había obligación por parte del establecimiento de bloquear las imágenes y no sancionó por ello. Además, considera MERCADONA que no se ha producido incumplimiento de otras disposiciones diferentes al artículo 12, párrafos 2 y 3, en relación con el artículo 15 RGPD, que justifiquen la apertura de un procedimiento sancionador y argumenta que la supuesta infracción imputada está tipificada como “No atender las solicitudes de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento”. Finalmente, expone que se está sancionando una misma conducta con dos sanciones; y que se han restaurado las garantías y derechos de la interesada por los posibles perjuicios derivados de los hechos, según establece el artículo 82.1 del RGPD. 2. Insiste MERCADONA en las alegaciones ya expresadas sobre el carácter excepcional del procedimiento sancionador; las acciones llevadas a cabo para restaurar las garantías y derechos de la interesada y reparar los daños, que no se consiguen con la imposición de una sanción; así como en la falta de motivación, en el presente caso, del acuerdo de apertura, a diferencia de otros casos en los que se justifica en una actuación general del responsable que afectaría a todas las personas que estuvieran en la misma situación, y no un error puntual (PS/00003/2021), que ni siquiera concreta los párrafos de los artículo 12 y 6 del RGPD infringidos. Al igual que en el apartado anterior, también en este apartado 2 discute MERCADONA la procedencia de resolver las cuestiones suscitadas mediante un procedimiento sancionador, argumentando de contrario el volumen de solicitudes de derechos que ha tramitado en los últimos años; que no ha sido sancionada con anterioridad por esta causa y no consta ninguna reclamación ante el DPD; y se han adoptado las medidas necesarias para evitar que errores similares, habiendo automatizado totalmente el proceso de gestión de solicitudes, las cuales han sido valoras como atenuante junto con el hecho de que en este caso la anomalía únicamente afecta a la reclamante. Entiende que no es suficiente para fundamentar la apertura del procedimiento sancionador con indicar que al suprimir las imágenes se ha producido otra infracción diferente a la vulneración de los artículos 15 a 22 del RGPD, o que el procedimiento por la no atención de un derecho “carecía de objeto” puesto que las imágenes no existían. Por otra parte, menciona la posibilidad de acudir a otros poderes correctivos establecidos en el artículo 58.2 del RGPD (advertencia, apercibimiento u otras), en función de las circunstancias de cada caso individual. No ha sido sino en la Propuesta de resolución, cuando se ha argumentado por primera vez por parte de la AEPD qué concretos párrafos de los artículos 12 y 6 del RGPD se consideraban supuestamente vulnerados. Y, con respecto a la supuesta vulneración C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/61 del artículo 6 y su relación con el artículo 22 de la LOPDGDD, es también en la propuesta de resolución cuando, a pesar de reconocer la no aplicación del artículo 22 LOPDGDD, la AEPD explica el razonamiento jurídico y ratifica la propuesta de sanción. 3. Reitera que la solicitud de acceso de la reclamante no fue gestionada debido a que no llegó a conocimiento del DPD por un error humano, ya explicado, en su opinión, en sus alegaciones a la apertura del procedimiento. Invoca nuevamente el principio de culpabilidad y la prohibición de la responsabilidad objetiva en el Derecho administrativo sancionador, que se consideran en diversas resoluciones de la propia Agencia como las indicadas en su escrito de alegaciones anterior y en Sentencias de la Audiencia Nacional (como las dictadas el 16/03/2004 y 02/03/2005, referidas a un error en los movimientos de una cuenta bancaria o una equivocación en el envío de correspondencia a la dirección de una persona, cuando no concurra voluntariedad y no conste la falta de cuidado). En tales casos, la AEPD ha valorado las circunstancias concretas, teniendo en cuenta que la mera comisión de una infracción administrativa -tipo objetivo- no es suficiente a la hora de proceder a imponer una sanción administrativa (PS/00724/2014); que ningún sistema es indefectible ni inmune la existencia de posibles errores, por lo que, una vez producidos, ha de analizarse la importancia y alcance de los mismos, para evitar una responsabilidad objetiva del sujeto de la obligación de custodia de los mismos (E/01795/2011); si concurre o no voluntariedad en el acto, si se ha producido un resultado especialmente lesivo o consta la falta de cuidado en la actuación generalizada (E/03468/2009); o la proporcionalidad (SAN de 16/03/2004 y 02/03/2005). En cuanto a las afirmaciones contenidas sobre esta cuestión en la propuesta de resolución, indica MERCADONA que la Agencia no fundamenta en qué consistió la falta de diligencia. El único argumento es que “no puede admitirse que la actuación de la entidad reclamada, no dando curso a la solicitud de acceso a los datos personales, haya sido diligente”, lo cual tendría como corolario la responsabilidad objetiva derivada de cualquier error, despiste, olvido etc. del trabajador que debía redirigir la solicitud al DPD, sin atender a las circunstancias concretas del caso y al hecho reconocido por la propia Autoridad de que se contaba con los procedimientos “adecuados” para gestionar este tipo de solicitudes y de que no se habían producido errores en el pasado que motivasen el cambio de procedimiento por parte del responsable, en base a su diligencia. Como muestra de la existencia en este caso de la diligencia debida generalizada, la propia AEPD valora como circunstancia atenuante la implantación de procedimientos adecuados de actuación en la gestión de solicitudes de ejercicio de derechos, de modo que la infracción es consecuencia de una anomalía en el funcionamiento de dichos procedimientos que afecta únicamente a la reclamada. Siendo así, entiende MERCADONA que no se puede apreciar voluntariedad en el error, y añade que no se ha producido un resultado lesivo, ya que la entidad ha procedido a evitar los posibles daños y perjuicios que se hubieran podido derivar. Por último, en cuanto a la importancia y alcance del error, la entidad ha puesto de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/61 manifiesto que hasta la fecha no se había producido error alguno en la gestión de las solicitudes de derechos de los interesados, ni de carácter técnico ni humano, a pesar del elevado número de solicitudes recibidas, ni ha sido sancionada con anterioridad por la AEPD en materia de derechos de los interesados y a nivel interno, no consta hasta el día de hoy ninguna reclamación ante el DPD, ni hoja de reclamaciones, sobre la no contestación o no recepción de solicitudes de los interesados. A pesar de ser una “anomalía en el funcionamiento”, tal y como la define la propia AEPD, la entidad ha modificado el procedimiento de gestión eliminando el único paso no automatizado. Así, ha implantado un desarrollo, mediante un sistema de reglas de flujo de correo en el Exchange Server (también conocidas como reglas de transporte). Estas reglas contienen un conjunto de condiciones y acciones, con las que se garantizan la notificación a los destinatarios de Atención al cliente (L900) y Delegado de Protección de Datos, de forma automática, de aquellas peticiones del ejercicio de derechos que se realicen a través del formulario de la página web (reenvío automático de una copia del mensaje original a el buzón de correo ***EMAIL.1). En cuanto a su alcance, se evidencia por parte de la AEPD que afecta únicamente a la reclamada, lo cual se tiene en cuenta como atenuante de la sanción. En este punto, debe tenerse en cuenta que no se ha producido un resultado lesivo en lo acontecido, ya que no han llegado a derivarse daños y perjuicios por satisfacción extrajudicial de la pretensión de indemnización en base a unos hechos a cuya acreditación pretendían servir las imágenes solicitadas por la reclamante. Además, ha mostrado la diligencia y el deber de cuidado que le son exigibles, a través de la implementación de medidas formativas y preventivas de control, tal y como evidencia la falta de errores en el pasado. Señala también que no ha amparado la no atención del derecho en la supresión de las imágenes, sino en el error humano indicado. El transcurso del plazo fue solo la consecuencia de no haber llegado la solicitud al DPD. Prueba de ello es que se dio respuesta a la reclamante en fecha ***FECHA.9, antes del requerimiento de la AEPD. En cuanto al plazo de conservación de las imágenes, en el resto de países europeos, o no existen plazos de conservación, o son inferiores a 30 días, por lo que la situación que plantea la AEPD es todavía más evidente y posible de materializarse si el interesado no ejercita su derecho de acceso antes de que se produzca la supresión de las imágenes. Así, el Comité Europeo de Protección de Datos, CEPD, en las Directrices 3/2019, en relación con los períodos de almacenamiento y obligación de borrado, afirma que: “Los datos personales no podrán conservarse durante más tiempo del necesario para la finalidad para la que se tratan [artículo 5, apartado 1, letras
12. c)y
13. e)del RGPD]. En algunos Estados miembros, puede haber disposiciones específicas para los períodos de conservación respecto a la videovigilancia de conformidad con el artículo 6, apartado 2, del RGPD. El hecho de si es necesario conservar o no los datos personales debe controlarse en un corto espacio de tiempo. Por lo general, los fines legítimos de la videovigilancia son normalmente la protección de la propiedad o la conservación de pruebas. Normalmente los daños producidos se pueden reconocer un uno o dos días. Para facilitar la demostración del cumplimiento del marco de protección de datos, va en interés del responsable del tratamiento celebrar acuerdos organizativos por adelantado (p. ej., nombrar, si fuera necesario, a un representante para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/61 examinar y asegurar el material de vídeo). Teniendo en cuenta los principios del artículo 5, apartado 1, letras
14. c)y
15. e)del RGPD, concretamente la minimización de datos y la limitación del plazo de conservación, los datos personales deberán suprimirse en la mayoría de los casos (p. ej., a efectos de detectar vandalismo), preferentemente de forma automática, transcurridos unos días. Cuanto más tiempo dure el período de conservación (especialmente cuando supere las 72 horas), más argumentos deberán facilitarse para la legitimidad de la finalidad y la necesidad de conservación”. Incluso el CEPD pone el siguiente ejemplo respecto de una tienda: “Ejemplo: El propietario de una tienda pequeña normalmente se daría cuenta de cualquier signo de vandalismo el mismo día. En consecuencia, bastaría con un período normal de conservación de 24 horas. Los fines de semana que está cerrada o las vacaciones más prolongadas pueden no obstante ser motivos para un período de conservación más largo. Si se detecta un daño también puede ser necesario conservar las imágenes de vídeo durante un período más prolongado con el fin de interponer demandas contra el infractor” . 4. La AEPD entiende dos conductas diferentes e independientes, cuando en realidad una es consecuencia de la otra, pues si se borraron las imágenes fue porque precisamente no se tuvo constancia de la solicitud de acceso debido al error acontecido. Y concluye que las circunstancias concurrentes prevalecen sobre la obligación de eliminar las imágenes en el plazo máximo de un mes desde que fueron captadas, vulnerando lo establecido en el artículo 6 del RGPD. A este respecto, señala en primer lugar, que cuando la reclamante se interesó por su solicitud se dio respuesta, por ser la primera vez que llegaba a conocimiento, y ya había transcurrido el plazo máximo de conservación de 30 días, como en los casos similares señalados anteriormente. Por otra parte, alega MERCADONA que la supresión de los datos cuando han dejado de ser necesarios no necesita una base legítima. La supresión se produce precisamente porque ya no existe base de legitimación para seguir conservando esos datos por haber transcurrido el plazo máximo legal de un mes, necesitando de una base de legitimación para su conservación posterior, no para su supresión como indica la AEPD. En otras palabras, es la “expiración” del plazo legal de conservación, el propio cumplimiento de la norma aplicable, lo que conlleva la supresión de las imágenes, sin necesidad de acudir a ninguna base de legitimación para realizar dicha supresión. De admitir el argumento de la AEPD, debería existir en todo Registro de Actividades de Tratamiento (incluido el de la propia AEPD), un tratamiento denominado “supresión de imágenes” con su correspondiente base de legitimación, lo cual no tiene sentido alguno. En tercer lugar, destaca que estamos ante un plazo máximo de conservación, como la propia AEPD indica en sus “fichas prácticas de videovigilancia” (“trascurrido el cual se procederá al borrado”), en la propuesta de resolución y en múltiples resoluciones. Como la dictada en el procedimiento PS/00261/2020, en la que se afirma lo siguiente: “Sobre la obligación de conservación de imágenes por un plazo no superior a 30 días, el (RGPD), en su considerando 39, anuncia la necesidad de “garantizar que se limite a un mínimo estricto” el plazo de conservación de los datos personales, los cuales a su vez deben ser “adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados”. El artículo 22.3 de la LOPDGDD concreta –en cuanto a los tratamientos con fines de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/61 videovigilancia– que “los datos serán suprimidos en el plazo máximo de un mes desde su captación”. La excepción viene dada por la grabación de un delito o infracción administrativa que deba ser puesto en conocimiento de las autoridades ex artículo 22.3 LOPDGDD, sin que podamos incluir otros supuestos dentro de dicha excepción a la regla general, pues la propia LOPDGDD no los incluye. Recordemos que toda excepción debe ser interpretada restrictivamente y sostener lo contrario, vulneraría tanto el principio de tipicidad como la prohibición de analogía, ya que no se puede imponer una sanción por un hecho que no encaje en la literalidad del tipo de la infracción, aunque guardase con él algún tipo de similitud o proximidad conceptual. En el Acuerdo de inicio de procedimiento sancionador, la AEPD afirmaba que se consideraba que los hechos expuestos podrían incumplir lo establecido en el artículo 6 del Reglamento, en relación con el artículo 22 de la LOPDGDD; y en la propuesta reconoce que no es aplicable al presente caso. Por tanto, no se entiende cuál es el supuesto analizado en las presentes actuaciones y por qué se considera responsable a dicha entidad de una supuesta infracción del art 6 de RGPD con respecto al mismo (adjunta extracto del Registro de Actividad del Tratamiento correspondiente al tratamiento de Videovigilancia). La AEPD entiende que “concurren otras circunstancias que deben ser consideradas en el análisis de la licitud o ilicitud de aquella supresión o borrado de datos personales”, directamente vinculadas a la situación particular de la reclamante, pero en ningún modo puede sostenerse que, debido a esas circunstancias particulares, que la entidad no tiene por qué conocer, MERCADONA tenía un deber de conservación. Y advierte esta entidad que para el ejercicio de derechos no debe aducirse justificación o motivación alguna por parte del interesado y que la entidad no debe realizar ninguna valoración respecto a si puede existir un interés legítimo del interesado que pueda justificar la conservación de las imágenes más allá del plazo legal. En el caso de haber recibido la solicitud, la entidad hubiera entregado copia de las imágenes a la interesada, pero no porque la base de legitimación hubiera cambiado, sino porque la interesada tiene derecho a solicitar las imágenes a través del derecho de acceso con independencia de su motivación. En otras palabras, MERCADONA no tenía que hacer ninguna ponderación o valoración en lo que a la legitimación se refiere. Reproduce de nuevo lo señalado sobre los períodos de conservación y supresión de las imágenes en las Directrices 3/2019 del CEPD, antes transcrito, añadiendo el párrafo siguiente: “Si el responsable del tratamiento utiliza la videovigilancia no solo para controlar sus instalaciones sino también para conservar los datos, deberá garantizar que la conservación es efectivamente necesaria para lograr la finalidad. Si es así, el plazo de conservación deberá definirse claramente y fijarse individualmente para cada fin particular. Es responsabilidad del responsable del tratamiento definir el período de conservación de conformidad con los principios de necesidad y proporcionalidad y acreditar el cumplimiento de las disposiciones del RGPD”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/61 Por otro lado, si necesitara una base jurídica para proceder a la supresión de los datos, en ningún momento especifica la AEPD cuál es o cuál debería ser, de las enumeradas en el artículo 6 RGPD. Según la reclamada, la propuesta de resolución confunde los conceptos de “base de legitimación” con los “motivos” o razones que justificaban la conservación de las imágenes. Que la reclamante tuviera interés en las imágenes, y derecho a obtenerlas, está fuera de toda discusión, pero la AEPD parece ignorar que, si en el presente caso no se conservaron las imágenes, no fue porque se hubiera valorado que la reclamante no tenía derecho a las mismas o porque se considerase que en todo caso debía aplicarse el plazo de conservación de un mes, sino porque, sencillamente, hubo un error puntual en la gestión de su solicitud que impidió su contestación en tiempo y forma. No puede confundirse el interés que pueda tener la interesada en las imágenes, con el plazo de conservación de las imágenes que determina el responsable o con el concepto de base de legitimación. Si un interesado ejercita el derecho de acceso durante el plazo en el que el responsable conserva las imágenes, deberá atenderse, y deberán conservarse las imágenes, aunque hubiera un defecto formal en la petición, precisamente para que cuando este se subsanase, satisfacer el derecho. Pero en este caso no llegó a conocimiento del responsable la petición, por lo que no se pudieron conservar. Tampoco se discute el derecho de la entidad a conservar las imágenes si así lo estima oportuno, por ejemplo, porque fuera demandada por la reclamante, en el ejemplo que pone la propia AEPD, pero esto pone de manifiesto la confusión de la AEPD respecto a la necesidad de una base de legitimación para conservar las imágenes más allá del plazo legal establecido, con la supuesta necesidad de una base de legitimación para suprimir dichas imágenes. De hecho, en las citadas Directrices 3/2019, en relación con el derecho de acceso en materia de videovigilancia se afirma que: “El interesado tiene derecho a obtener la confirmación del responsable del tratamiento respecto a si sus datos personales son o no objeto de tratamiento…Si, no obstante, los datos se siguen tratando en el momento de la solicitud (esto es, si los datos se conservan o tratan continuamente de cualquier otra forma), el interesado debe obtener acceso e información de conformidad con el artículo 15”. “Ejemplo: Si el responsable del tratamiento suprime automáticamente todas las imágenes por ejemplo en un plazo de dos días, no puede facilitar las imágenes al interesado transcurridos esos dos días. Si el responsable recibe una solicitud después de esos dos días, se debe informar al interesado en consecuencia. En el presente caso no estamos ante una colisión de derechos que deba ponderar el responsable, sino simplemente ante una solicitud de derecho de acceso que no fue atendida porque el responsable no tuvo conocimiento de la petición de la interesada debido a un error aislado y puntual en el procedimiento. Si MERCADONA suprimió las imágenes fue porque no tuvo conocimiento de la petición de acceso de la interesada, no porque valorase negativamente su solicitud y no concediese dicho acceso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/61 La AEPD ha considerado que se da una prevalencia del derecho a la tutela judicial efectiva de jueces y tribunales. Pero es que no resulta necesario argumentar que debía de haberse conservado las imágenes por un período superior a los 30 días. Si se hubiera recibido la petición, la interesada hubiese tenido respuesta en tiempo y forma, sin necesidad de tener que conservar las imágenes más tiempo del establecido ni buscar ninguna base de legitimación adicional. Dado que el DPD no recibió la solicitud original, se procedió a su supresión en cumplimiento de los procedimientos establecidos. Es decir, MERCADONA nunca se encontró y nunca se habría encontrado (en caso de no haberse producido el error acontecido) en la disyuntiva de si debía o no conservar los datos más allá del plazo legal, por lo que no puede exigirse la realización de ninguna ponderación ante una supuesta colisión de derechos que no ha existido ni existirá. Para el caso de que la petición se hubiera tramitado satisfactoriamente, se habrían entregado las imágenes sin más valoración. Pero es que, además, si aceptamos que el responsable debe analizar y valorar las causas por las que el interesado solicita los datos, estamos arrogando al responsable de unas facultades que la ley no le otorga. Además, al afirmar la AEPD que “existe una habilitación legal para el tratamiento de los datos de las imágenes una vez rebasado el plazo establecido para su supresión, que trae su cobertura del propio artículo 24 de la Constitución y sus normas de desarrollo” parece introducir, para aquellos casos en los que no se ha ejercitado un derecho en materia de protección de datos, una obligación de supervisión de todas las imágenes por parte de los responsables de tratamiento, diariamente, para valorar si es necesario conservar cualquier grabación en la que una persona pudiera haberse caído, desmayado etc. y las necesitase para ejercer su derecho a la tutela judicial efectiva, incluso aun en el caso de ausencia de petición del interesado. Este razonamiento no puede compartirse ni sostenerse jurídicamente, pues supone exigir obligaciones a los responsables de tratamiento que no están en la ley y que van más allá de las finalidades de un sistema de videovigilancia instalado para garantizar la preservar la seguridad de las personas y bienes, así como de sus instalaciones. Cuestión diferente es que el interesado pueda solicitar las imágenes a través del derecho de acceso y utilizarlas como considere (por ejemplo aportarlas a un procedimiento judicial), pero en modo alguno puede argumentarse una obligación general de conservación para el responsable, contradiciendo el plazo máximo legal de conservación de las imágenes, para salvaguardar un posible derecho de acceso a la tutela judicial efectiva de una persona que no ha ejercitado un derecho de acceso en protección de datos. Queda claro que esas finalidades van más allá de la finalidad del sistema de videovigilancia de preservar la seguridad de las personas y bienes, así como de sus instalaciones (Art 22.1 LOPDGDD). No obstante, la entidad ha procedido a la reparación de los posibles daños y perjuicios que el error acontecido y, por tanto, la no disposición de las imágenes haya podido causar a la reclamante. Por todas las razones expuestas, en ningún momento, se ha realizado un tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/61 de datos sin que concurra una base de licitud. Tampoco se ha incumplido ninguna disposición que establezca una obligación de conservación de las imágenes, ya que el artículo 22.3 LOPDGDD no establece dicha obligación, por lo que sancionar por ello supondría una vulneración del principio de tipicidad y la prohibición de analogía. 5. Invoca los principios de seguridad jurídica, que obliga a que el ius puniendi del Estado se someta al principio de Legalidad – Lex previa- y al principio de TipicidadLex certa-. En base a ello, se opone expresamente a la consideración de los hechos imputados como constitutivos del supuesto de hecho del artículo 6 del RGPD y artículo 72.1.
16. b)de la LOPDGDD, porque, precisamente, el haberlos conservado más allá del plazo legal de conservación hubiera supuesto un tratamiento sin base de legitimación. La infracción consistente en suprimir unas imágenes sin base de legitimación no existe, no se encuentra tipificada en la normativa, pues todas las bases de licitud detalladas en el artículo 6 suponen un tratamiento de datos en positivo, activo, (tratar datos para una finalidad específica, ejecutar un contrato, cumplir una obligación legal, etc.), no negativo (suprimir). 6. En cuanto a la graduación de las sanciones, señala lo siguiente:
17. a)En relación con la infracción por incumplimiento de lo dispuesto en el artículo 12, en relación con el artículo 15, ambos del RGPD, considera la reclamada que las circunstancias siguientes deben considerarse como atenuantes y no agravantes: . Existe un único afectado, la duración de la infracción no perdura en el tiempo y no existía con carácter general o estructural, no se trata de una infracción grave y los daños que hubiera podido sufrir la interesada han sido reparados situando a la reclamante en la misma situación en que se encontraría de haberse servido de las imágenes para presentar demanda. . No cabe apreciar intencionalidad o negligencia en la infracción, por cuanto la infracción ha sido “consecuencia de una anomalía en el funcionamiento de los procedimientos” que, según la AEPD la entidad tiene implantados y son adecuados; la reclamada no ha sido sancionada con anterioridad por la no atención de un derecho y ni siquiera constan reclamaciones a nivel de DPD o de hojas de reclamaciones, lo que evidencia que no se habían producido errores hasta la fecha, gracias a la formación que imparte a su personal (aporta documentación sobre acciones formativas impartidas); y se han implementado medidas preventivas tales como controles periódicos y la automatización del proceso. . La reclamada ha colaborado con la Agencia y no ha esperado al requerimiento formal para modificar su procedimiento. . Las categorías de datos afectados son datos relativos a imágenes, no constituyendo categorías especiales de datos, dado que únicamente se tratan con la finalidad de garantizar la seguridad de personas, bienes e instalaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/61 Así lo entiende el CEPD en sus Directrices 3/2019: “Los sistemas de videovigilancia normalmente recopilan cantidades masivas de datos personales que pueden revelar datos de naturaleza muy personal e incluso categorías especiales de datos. En efecto, los datos aparentemente no significativos recogidos en un principio mediante el vídeo se pueden usar para inferir otra información dirigida a lograr una finalidad diferente (p. ej., realizar un seguimiento de los hábitos de una persona). Sin embargo, la videovigilancia no se considera siempre como un tratamiento de categorías especiales de datos personales”. La categoría denominada “de naturaleza especialmente sensible” no existe. Un sistema de videovigilancia “ordinario” no permite la pronta identificación de los interesados, básicamente porque no se cuenta con ningún otro dato que pueda permitir dicha identificación, ni utiliza los datos para otras finalidades diferentes a preservar la seguridad de las personas, bienes e instalaciones. Por otra parte, en relación con las agravantes consideradas, manifiesta que los tratamientos de datos que realiza son los mínimos imprescindibles para desarrollar su actividad principal, que es la venta de productos de alimentación, no siendo posible discriminar la captación de imágenes de clientes. En cuanto a la profesionalidad en relación con el tratamiento de los datos, advierte de nuevo que hasta la fecha no ha sido sancionada por una falta de atención de los derechos de los interesados, ni se ha planteado ninguna reclamación interna.
18. b)Sobre las agravantes consideradas para determinar la sanción por el incumplimiento de lo establecido en el artículo 6 del RGPD, MERCADONA reitera lo expresado en relación con la infracción anterior y añade, en relación con la gravedad de la infracción y la intencionalidad o negligencia, que no puede vincularse la denuncia de la reclamante al establecimiento a efectos de reclamar daños por responsabilidad civil con una obligación legal de conservar las imágenes que además el art 22.3 no establece. No es obligación de MERCADONA guardar las imágenes de cada suceso ocurrido, sin que haya solicitado la persona las imágenes, sólo para la eventualidad de que pudiera solicitarlas. No se puede afirmar que “MERCADONA suprimió las imágenes a pesar de conocer que la reclamante denunció ante dicha entidad el accidente y los daños sufridos, y solicitó, con tal motivo, el acceso a dichas imágenes” porque la entidad no era consciente de la solicitud de acceso realizada. Por otra parte, invoca el principio de proporcionalidad y solicita, subsidiariamente, que se imponga una sanción de advertencia o apercibimiento, o, en todo caso, que se reconsidere el importe propuesto, al no resultar proporcionado; señalando finalmente que se está castigando una misma conducta y hechos (no atender un ejercicio de derecho) a través de dos sanciones distintas, que redundan en un importe total desproporcionado si atendemos a que el error ha supuesto una “anomalía en el funcionamiento de dichos procedimientos” que ha afectado a una única persona. 7. MERCADONA considera que la reducción por reconocimiento de la responsabilidad prevista en el artículo 85 de la Ley 39/2015, que la Agencia limita al plazo concedido para formular alegaciones a la apertura del procedimiento, puede aplicarse en cualquier momento anterior a la resolución. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/61 Según MERCADONA, debe considerarse que el citado artículo regula la terminación del procedimiento de forma voluntaria y unilateral por el administrado en “bloque”, determinando las opciones, condiciones y sus consecuencias; y dicho precepto admite que la segunda forma de terminación voluntaria del procedimiento, el pago voluntario, se pueda realizar en “cualquier momento antes de la resolución”. Entiende que la propuesta de resolución es el momento “natural” para la asunción de responsabilidad por el administrado sin vulneración ni afectación alguna a su derecho de defensa, contradicción y tutela judicial efectiva. Es dicha propuesta la que determina los hechos probados, su encuadramiento en el tipo infractor y la sanción, después de que el interesado haga valer sus alegaciones y pruebas, sin sujeción al acuerdo de inicio. Tal conclusión viene apoyada por la reciente STS 232/2021, de 18 de febrero, (recurso de casación 2201/2020) que aborda la posibilidad de impugnar ante los Tribunales sanciones recaídas en expedientes administrativos en los que el administrado ha reconocido su responsabilidad y, a los efectos de acogerse a las reducciones que señala el art. 85 LPAC, desiste o renuncia al ejercicio de cualquier acción o recurso en vía administrativa contra la sanción. En el Fundamento Jurídico Tercero establece: “Ahora bien, una cosa es que en tales casos subsista la posibilidad de impugnar por vía jurisdiccional contencioso-administrativa la resolución sancionadora, y otra distinta que… se incremente la dificultad para impugnar con éxito en la vía judicial contencioso-administrativa la resolución sancionadora, porque esta será la consecuencia natural de haber reconocido su responsabilidad en aplicación de los principios de buena fe y vinculación a los propios actos (…) para que dicha impugnación pueda tener éxito tendrá que proporcionar al juzgador una sólida explicación que justifique cumplidamente el motivo por el que, habiendo asumido primeramente su responsabilidad por la infracción cometida -que conlleva el reconocimiento de la concurrencia de los elementos objetivos y subjetivos de la infracción, es decir, su participación en los hechos tipificados y de su culpabilidad- después en vía judicial sostiene la inexistencia de la infracción (…)”. De dicho pronunciamiento se desprende, a juicio de MERCADONA, que el reconocimiento de responsabilidad no implica que la tipificación de los hechos sea la correcta; que lo sea en consideración de las circunstancias modificativas de la responsabilidad reconocida, el exacto alcance de la participación, si culposa, dolosa o a título de mera inobservancia leve, la gravedad de los hechos y su concreta graduación, que podrá dirimirse ante la jurisdicción contencioso-administrativa sin incremento de la dificultad para impugnarlos. Sostener que la responsabilidad solo puede reconocerse durante el plazo para formular alegaciones implicaría, de facto, que los administrados la asuman para beneficiarse del descuento, aunque estén conformes con el acuerdo de inicio solo parcialmente, trasladando a la vía judicial la contienda sobre los aspectos en cuestión. Por el contrario, admitir ese reconocimiento en cualquier momento anterior a la resolución, cuando ya ha finalizado la instrucción y se han fijado los elementos tomados en consideración, elimina la litigiosidad sin menoscabo de la tutela judicial efectiva y el derecho de defensa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/61 Además, entiende la reclamada que no existe fundamento jurídico alguno que permita afirmar que el plazo es el de alegaciones al acuerdo de inicio, porque nada dice el texto legal y porque existen diferentes “hitos” anteriores a la resolución, a saber, alegaciones al acuerdo de inicio, trámite de audiencia, y propuesta de resolución, pudiendo ser cualquiera de ellos. Dicha interpretación viene avalada por las propias administraciones públicas en diferentes procedimientos sancionadores, como la Agencia Catalana de Protección de Datos (procedimiento PS8/2019). Cita también el informe SSPI00043/17, del Gabinete Jurídico de la Junta de Andalucía, en relación con el Informe HPPI00035/17, de 5 de julio de 2017, de la Asesoría Jurídica de la Consejería de Hacienda y Administración Pública que admite dicha posibilidad: “(…) esta interpretación permite considerar que en ese caso no estaremos tampoco en un vicio invalidante pues ningún perjuicio existe para la Administración, que debe seguir instruyendo el procedimiento sin poder tener la posibilidad de que el mismo termine anticipadamente. Igualmente será siempre más beneficioso para el administrado poder acogerse a esta posibilidad, que no tener opción para ello. Además porque, como hemos comentado, parece que la redacción al menos deja dudas cuando establece en el art. 85.2 que podrá hacerse “en cualquier momento anterior a la resolución”. Por todo ello, realmente parece que el tenor del art. 85 lo que exige es que en el Acuerdo de inicio se determine el porcentaje de reducción, más que la cuantía, por ello el Acuerdo de inicio debe siempre establecer el porcentaje y en los supuestos en los que se pudiere, la cuantía, dado que esto último no siempre será posible”. También por los Tribunales. La Sentencia del Tribunal Superior de Justicia de Madrid, Sala de lo Contencioso-administrativo, núm. 79/2020, de 6 de febrero, en la que se denuncia la inaplicación del art. 85.1 LPACAP, declara: “Finalmente debe recordarse que el art. 85 de la Ley 39/2015, dispone que “iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda”. Estableciendo, su apartado 3 que, “cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20% sobre el importe de la sanción propuesta”. La parte actora considera que, pese a haber reconocido en el escrito de alegaciones formulado con la propuesta de resolución la responsabilidad del mismo en la falta de declaración del dinero intervenido, y haber propuesto incluso una sanción de 100.000€ la resolución sancionadora obvia tal circunstancia e impone al mismo una multa totalmente desproporcionada. Frente a esta alegación, la Abogacía del Estado defiende que no concurren las circunstancias necesarias para que proceda su aplicación por cuanto en el escrito de alegaciones de 13 de noviembre de 2017 no se hace referencia expresa al reconocimiento de la responsabilidad, que debe ser previa a la resolución del expediente una vez recibida la propuesta (…)”. Especialmente esclarecedora es la Sentencia de la Audiencia Nacional núm. 625/2017, de fecha 22/03/2019, que establece; “La resolución sancionadora de 21 de diciembre de 2018 no tuvo en cuenta que mediante sendos escritos de 4 de diciembre –(alegaciones al acuerdo de inicio del expediente sancionador)- y 11 de diciembre del 2018 – (alegaciones a la Propuesta de Resolución)- el demandante reconoció la responsabilidad de los hechos, pidió el pago con cargo a la cantidad incautada, y renunció por dos veces a la interposición de recurso en vía administrativa. Estos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/61 escritos evidencias una clara voluntad de poner fin al procedimiento, en los términos del art. 85.1 de la Ley 39/2015, y de renunciar al recurso administrativo, procediendo al pago, con cargo a la garantía. De ahí, que cumplidas todas las condiciones exigidas en el párrafo segundo y en el tercero del artículo 85, era procedente acumular dos reducciones del 20%” . Añade MERCADONA que otras normativas reguladoras de procedimientos administrativos sancionadores establecen la posibilidad de reconocer la responsabilidad en cualquier momento anterior a la resolución, y cita las siguientes: . Ley 16/1987, de 30 de Julio, de Ordenación del Transporte Terrestre (LOTT), que en su artículo 146.3 establece: “El pago de la sanción pecuniaria con anterioridad a que se dicte resolución sancionadora implicará la conformidad con los hechos denunciados y la renuncia a formular alegaciones por parte del interesado y la terminación del procedimiento debiendo, no obstante, dictarse resolución expresa”. . Ley 13/2017, de 8 de noviembre, del Taxi de la Comunidad Valenciana, que en su artículo 38.4 establece; “Iniciado el procedimiento sancionador, si la persona infractora reconoce su responsabilidad con anterioridad a que se dicte resolución, la cuantía de la sanción pecuniaria inicialmente propuesta se reducirá en un cincuenta por ciento”. . Ley 7/2014, de 23 de Julio, de Protección de las personas consumidoras y usuarias de les Illes Balears, que en su artículo 84 gradúa el porcentaje de descuento en función del momento procedimental en que se produzca el reconocimiento de responsabilidad. Y así: “1. Se aplicará una reducción del cincuenta por ciento del importe de la sanción correspondiente a las infracciones graves o leves si el presunto responsable presta su conformidad al contenido de la resolución de inicio y justifica el ingreso del citado importe durante los quince días siguientes a su notificación. En este caso, se entiende que la persona interesada renuncia a formular alegaciones y presentar cualquier tipo de ulterior recurso. 2. Se aplicará una reducción del veinte por ciento del importe de la sanción correspondiente a las infracciones graves o leves si el presunto responsable presta su conformidad con el contenido de la Propuesta de resolución y justifica el ingreso del citado importe durante los quince días siguientes a su notificación. En este caso se entiende que la persona interesada renuncia a formular alegaciones y a presentar cualquier tipo de ulterior recurso”. . Ordenanza municipal de Consumo del Ayuntamiento de Madrid, ANM 2011/17, que en su artículo 59.1 establece: “1. Iniciado un expediente sancionador, si el infractor reconoce explícitamente su responsabilidad antes de la resolución, el expediente podrá resolverse sin más trámites con la imposición de la sanción que proceda. En este caso, se aplicará una reducción del 30 por 100 sobre la cuantía total de la multa, que deberá abonar el interesado en el periodo voluntario de pago”. Finalmente, la interpretación del art. 85 LPACAP expuesta, la encontramos en el artículo 3 del reciente Real Decreto 137/2021, de 2 de marzo de 2021, que la eleva a rango normativo al establecer: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/61 “De conformidad con lo previsto en el art. 85.3 de la Ley 39/2015, de 1 de octubre, en los procedimientos sancionadores contemplados en el art. 2 si, iniciado un procedimiento sancionador, en cualquier momento anterior a la resolución el presunto responsable reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda, y cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver y notificar la resolución del procedimiento aplicará reducciones de hasta un 30% sobre el importe de la sanción propuesta”. Por tanto, en caso de mantener la AEPD sanción o sanciones económicas, si se procede al pago voluntario y al reconocimiento de responsabilidad en cualquier momento antes de la resolución que implique la terminación del procedimiento sancionador, deberá realizarse el descuento del 40%. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS 1. La entidad MERCADONA ha manifestado que informa sobre el procedimiento que sigue para que los interesados ejerciten los derechos en materia de protección de datos personales a través de distintas vías, como son, los carteles expuestos en las tiendas advirtiendo que se encuentran en una “Zona Videovigilada” (se indica a dirección de contacto del DPD de la entidad); mediante llamada gratuita al Servicio de Atención al Cliente, que remite un SMS informado sobre ese procedimiento; y desde la Política de Privacidad disponible en la web, en la que se incluye un vínculo que dirige al formulario habilitado para dicho ejercicio de derechos. Según la información facilitada, la Política de Privacidad informa lo siguiente: “Puede enviarnos un escrito a MERCADONA, S.A. (Asesoría Jurídica Procesos) C/… o si dispone de firma digital expedida por la Fábrica Nacional de Moneda y Timbre, a través del formulario de atención al cliente (“https://infor.mercadona.es/es/atencion-alcliente#destacadosFormulario”)”. Una vez cumplimentado y enviado el formulario, aparece de forma automática el texto “Gracias, tu comentario se ha enviado correctamente”. MERCADONA informa, asimismo, que el interesado, a su vez, recibe un email a la dirección de correo facilitada, indicando: “MERCADONA. Tu opinión nos ayuda a seguir mejorando. Estimad@... (nombre del destinatario). Gracias por contactar con nosotros en nuestro Servicio de Atención al Cliente. Informarte que hemos recibido tu correo. Te invitamos a que consultes nuestras preguntas frecuentes por si tienes más dudas”). Según la información proporcionada por MERCADONA, el proceso de tramitación de la solicitud sigue las fases siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/61 “i. El formulario se registra en el sistema de gestión (Contac Center). Sistema gestionado por los gerentes de tramitación. ii. Recibido el formulario, el sistema asigna la solicitud al gerente, en función de determinados criterios (tipología, carga de trabajo, productividad…del gerente). iii. Una vez asignada la solicitud (formulario), ésta se envía a la carpeta del gerente asignado, a la que accede a través de usuario y contraseña, incluyendo toda la información y los documentos enviados por el Cliente, para su tramitación. Añade que “existen controles periódicos realizados por los coordinadores, con la finalidad de evitar incidencias” y que “el sistema (Contact Center) deja las trazas y las evidencias de todos los movimientos que pasan por el sistema, no permitiendo el borrado accidental, ni voluntario de las entradas al sistema”. 2. Con fecha ***FECHA.1, la reclamante sufrió un accidente en el establecimiento de la entidad sito en ***DIRECCION.1. 3. Con fecha ***FECHA.3, a través de la web de MERCADONA, la reclamante formuló denuncia ante la citada entidad por el accidente acaecido, recibiendo una referencia por el caso. Esta denuncia se formula mediante correo electrónico dirigido a la dirección “conducta@mercadona.es”, con el asunto “Denuncia D201…”. En este correo constan los datos de la reclamante relativos a nombre, apellidos, dirección de correo electrónico y teléfono. El comentario incluido da cuenta del accidente sufrido (…), los daños causados por el mismo en la persona de la reclamante (….) y la falta de atención del siniestro por la aseguradora de la reclamada (….). 4. Con fecha ***FECHA.5, la entidad reclamada responde a la denuncia reseñada en el Hecho Probado anterior por la misma vía, indicando que la denuncia ha sido remitida al Servicio de Atención al Cliente de MERCADONA, al que deberá dirigir las futuras comunicaciones (se indica un teléfono de contacto con este departamento y un enlace a la web de la entidad). 5. Con fecha ***FECHA.2, la reclamante ejercitó el derecho de acceso a las imágenes de las cámaras de seguridad, utilizando para ello el formulario de solicitud disponible en la web de la MERCADONA, en la pestaña “Atención al Cliente”, citado en el Hecho Probado Primero. En esta solicitud consta el nombre y apellidos de la reclamante, código postal y dirección de correo electrónico de la reclamante, y el siguiente texto en el campo denominado “¿En qué podemos ayudarte?” (url: “https://infor.mercadona.es/ es/atencion-al-cliente#destacadosFormulario”): “Adjunto solicitud de derecho de acceso a las grabaciones de videovigilancia del establecimiento MERCADONA ***DIRECCION.1, por motivo del accidente acontecido (…)”. Como “Archivos adjuntos” se indica “DNI” de la reclamante y “Solicitud de derecho de acceso” (en este escrito se indica que la solicitud está motivada por el accidente acontecido el día ***FECHA.1). 6. En respuesta a la solicitud del derecho de acceso presentada por la reclamante, ésta recibió un mensaje de respuesta, también de fecha ***FECHA.2, con el texto siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/61 “¡Gracias!, tu comentario se ha enviado correctamente”. 7. Con fecha ***FECHA.7, la representante de la reclamante remitió un correo electrónico a MERCADONA con el texto siguiente: “Me dirijo a usted para establecer una primera comunicación, con el fin de poner en su conocimiento la documentación de la que dispongo por el momento, en relación al siniestro… del que resultó lesionada mi representada… También con el fin de poner en su conocimiento nuestra voluntad de solicitar la indemnización que según el baremo corresponda” . 8. Con fecha ***FECHA.4, la representante de la reclamante remitió un correo electrónico dirigido al DPD de MERCADONA, con el texto siguiente: “Hace más de un mes, mi clienta ejercitó su derecho de acceso a las imágenes de videovigilancia, por el canal establecido en su política de privacidad (a través del formulario de atención al cliente: https://info.mercadona.es/es/atencion-alcliente#destacadosFormulario), y aún no ha recibido respuesta. Ruego que le manden dichas imágenes ya que corresponden a (…)”. 9. Con fecha ***FECHA.9, MERCADONA remitió un correo electrónico a la reclamante con el asunto “Derecho de acceso” y el texto siguiente: “Tras contrastar internamente, informarle que no nos consta que se haya recibido ninguna petición de acceso a imágenes, ni de la documentación que según la normativa de protección de datos es necesaria para gestionar cualquier derecho de acceso, ni por parte de su cliente (la Sra…) ni por su parte. Debemos de añadir ya no se dispone de ninguna de las imágenes de la fecha solicitada (***FECHA.1), todo ello de conformidad con el art. 6 de la Instrucción 1/2006, de 8 de noviembre, de la AEPD, que establece que "Los datos serán cancelados en el plazo máximo de un mes desde su captación". Atentamente. Div. Jurídico Procesos MERCADONA”. 10. Con fecha 09/02/2021, MERCADONA remitió a la reclamante un burofax en los mismos términos del correo reseñado en el Hecho Probado Noveno. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. El artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el RGPD, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/61 II Durante la instrucción del procedimiento, la reclamante ha comunicado a esta Agencia que ha llegado a un acuerdo con la entidad reclamada por el que han quedado resarcidos los daños y perjuicios sufridos en el ámbito de la responsabilidad civil y por la no atención del derecho de acceso, solicitando que se considere atendida su reclamación y se proceda al archivo del presente procedimiento sancionador. A este respecto, el artículo 63.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) establece que “los procedimientos de naturaleza sancionadora se iniciarán siempre de oficio por acuerdo del órgano competente”. En el mismo sentido, el artículo 64.2 de la LOPDGDD dispone que los procedimientos que tengan por objeto la determinación de la posible existencia de una infracción de lo dispuesto en el RGPD “se iniciará mediante acuerdo de inicio adoptado por propia iniciativa o como consecuencia de reclamación”. Así, que la reclamante desista de su reclamación no implica el archivo del procedimiento sancionador incoado, toda vez que el mismo se inicia y se tramita en todas sus fases de oficio, siendo competencia de esta Agencia determinar si ha sido vulnerada la normativa de protección de datos personales y el alcance que debe otorgarse a dicho incumplimiento. Resulta irrelevante, a tales efectos, el acuerdo que hayan podido suscribir la reclamante y la entidad reclamada para reparar los daños y perjuicios sufridos por aquella, así como las medidas disciplinarias internas que la reclamada dice haber adoptado. De acuerdo con lo expuesto, no puede aceptarse la postura defendida por MERCADONA en sus alegaciones cuando señala que con el citado acuerdo entre las partes se han restaurado las garantías y derechos de la interesada. La “reparación” de los daños y perjuicios sufridos a la que se refiere MERCADONA no puede exonerarla de la responsabilidad derivada de los incumplimientos de la normativa que se hayan producido, cuya aplicación, obviamente, no queda condicionada por los pactos que puedan producirse entre particulares. Sólo cuando el responsable del tratamiento demuestre que “no es en modo alguno responsable del hecho que haya causado los daños y perjuicio” estará exento de responsabilidad, conforme a lo establecido en el artículo 82.3 del RGPD. Ese resarcimiento puede compensar los daños y perjuicios sufridos por la reclamante, pero no restaura sus garantías y derechos en un caso que tiene origen en el ejercicio del derecho de acceso, el cual no puede ser atendido al haberse suprimido los datos personales a los que se refería la solicitud. Por otra parte, cuando de los hechos constatados se deriva alguna responsabilidad imputable, tampoco el hecho de que la entidad de que se trate no haya sido sancionada con anterioridad por infracciones de idéntica naturaleza, o la adopción de medidas dirigidas a evitar incumplimientos futuros, puede servir de argumento para la no apertura del procedimiento sancionador que valore aquellas responsabilidades y determine las consecuencias aplicables, es decir, los poderes correctivos que procede C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/61 aplicar en cada caso. Lo mismo puede decirse cuando la supuesta infracción afecte únicamente a un interesado. La realización de actuaciones sancionadoras no está reservada a supuestos, como el citado por MERCADONA en sus alegaciones, en los que la conducta de la entidad responsable se configure como una actuación general que afecte a una pluralidad de sujetos que se encuentren en una misma situación. III Considera la entidad MERCADONA que el acuerdo de inicio no ha motivado suficientemente la apertura del procedimiento ni concretado los aspectos que justifican dicha apertura, limitando su derecho de defensa. Por las mismas razones, considera vulnerado el principio de tipicidad. A este respecto, alega MERCADONA que el acuerdo de apertura del procedimiento no concreta la conducta infractora, no especifica qué párrafos y letras de los artículos 6 y 22 se entienden vulnerados, ni explica por qué el hecho de haber borrado unas imágenes en el cumplimiento del plazo legalmente establecido y no haber dado respuesta a un derecho de acceso debido a un error humano supone un incumplimiento de las condiciones de licitud. En sus últimas alegaciones manifiesta que las infracciones y los razonamientos jurídicos no se han concretado hasta la propuesta de resolución. Esta Agencia no comparte la posición expresada por la reclamada en relación con el contenido del acuerdo de apertura del presente procedimiento sancionador. A juicio de esta Agencia, el acuerdo de inicio dictado se ajusta a lo previsto en el artículo 68.1 de la LOPDGDD, en el que se establece el contenido mínimo exigible, los elementos que deben detallarse en el mencionado acuerdo para determinar su validez. Según este artículo bastará con que el acuerdo de inicio del procedimiento concrete los hechos que motivan la apertura, identifique la persona o entidad contra la que se dirige el procedimiento, la infracción que hubiera podido cometer y su posible sanción (en este caso, de los distintos poderes correctivos que contempla el artículo 58.2 del RGPD, la Agencia estimó procedente la imposición de multa, además de la adopción de medidas para ajustar su actuación a la normativa, sin perjuicio de lo que pudiera resultar de la instrucción del procedimiento). En el mismo sentido se expresa el artículo 64.2 de la LPACAP, que establece expresamente el contenido mínimo de acuerdo de iniciación. Según este precepto, entre otros detalles, deberá contener “los hechos que motivan la incoación del procedimiento, su posible calificación jurídica y las sanciones que pudieran corresponder, sin perjuicio de lo que resulte de la instrucción”. En este caso, no solo se cumplen sobradamente las exigencias mencionadas, sino que se va más allá ofreciendo razonamientos que justifican la posible calificación jurídica de los hechos valorada al inicio e, incluso, se mencionan las circunstancias que pueden influir en la determinación de la sanción, lo que sin duda redunda en beneficio del interesado, que ve reforzado y favorecido su derecho de defensa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/61 En relación con la solicitud de derecho de acceso formulada por la reclamante, se reseñaron las normas que regulan los aspectos formales relativos al ejercicio de derechos y se destacó que el plazo previsto para atender aquella solicitud transcurrió sin que la reclamante obtuviera la respuesta debida por parte de MERCADONA, concluyendo que tales hechos podrían suponer la comisión de una infracción tipificada en el artículo 83.5.
19. b)del RGPD y artículo 74.
20. c)de la LOPDGDD, por la vulneración de lo dispuesto en el artículo 12, apartados 2 y 3, del RGPD, en relación con el artículo 15 del mencionado Reglamento, sin perjuicio de lo que resulte de la instrucción. Por otra parte, el acuerdo de apertura del procedimiento, después de reproducir el artículo 6 del RGPD, referido a la “licitud del tratamiento”, destaca que la eliminación o “supresión” de las imágenes a las que se refiere el derecho de acceso ejercitado por la reclamante constituye un tratamiento de datos personales. Sobre la eliminación de las imágenes captadas por sistemas de videovigilancia, se reproducen seguidamente los apartados 1 a 3 del artículo 22 de la LOPDGDD. Se pusieron de manifiesto las circunstancias y los propósitos que determinaron la actuación de la reclamante y se destacó que, a pesar de ello, MERCADONA procedió al borrado de las imágenes solicitadas por la misma, para concluir que estos hechos podrían suponer un incumplimiento de lo dispuesto en el artículo 6 del RGPD, en relación con el artículo 22 de la LOPDGDD, constitutivo de una infracción tipificada en el artículo 83.5.
21. a)del RGPD y 72.1.
22. b)de la LOPDGDD (“El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679”). En definitiva, entiende esta Agencia que el acuerdo de apertura ha permitido a MERCADONA conocer los hechos que dieron lugar al inicio del procedimiento y su posible calificación jurídica. Prueba de ello son las alegaciones planteadas por dicha entidad, que guardan relación directa con lo expuesto. No cabe, por tanto, estimar la indefensión alegada. La indefensión con trascendencia jurídica se produce solo cuando el interesado se ve, de forma injustificada, imposibilitado para impetrar la protección de sus derechos e intereses legítimos o cuando la vulneración de las normas procesales o procedimentales lleva consigo la privación del derecho a la defensa, con el consiguiente perjuicio real y efectivo para los intereses del afectado al quedar privado de su derecho a alegar, probar y, en su caso, para replicar las argumentaciones contrarias (STC 31/1984, de 7 de marzo, STC 48/1984, de 4 de abril, STC 70/1984, de 11 de junio, STC 48/1986, de 23 de abril, STC 155/1988, de 22 de julio, y STC 58/1989, de 16 de marzo, entre otras muchas). Resulta conveniente traer a colación la STC 78/1999, de 26 de abril, que en su Fundamento Jurídico 2, dice: “Para que pueda estimarse una indefensión con relevancia constitucional, que sitúa al interesado al margen de toda posibilidad de alegar y defender en el proceso sus derechos, no basta con una vulneración meramente formal, siendo necesario que de esa infracción formal se derive un efecto material de indefensión, un efectivo y real menoscabo del derecho de defensa (STC 149/1998, fundamento jurídico 3º), con el consiguiente perjuicio real y efectivo para los interesados afectados (SSTC 155/1988, fundamento jurídico 4º, y 112/1989, fundamento jurídico 2º)". C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/61 En todo caso, como bien señala MERCADONA en sus alegaciones, es la propuesta de resolución que se dicte una vez instruido el procedimiento la que fija los hechos que se consideren probados y su exacta calificación jurídica, determina la infracción que, en su caso, aquéllos constituyan, la persona o personas responsables y la sanción que se proponga. Esta propuesta debe ser notificada a la parte interesada, concediéndosele plazo para formular alegaciones y presentar los documentos e informaciones que se estimen pertinentes. En ningún caso se adoptará resolución sin que el interesado tenga ocasión de manifestarse sobre todos los extremos considerados. Por tanto, los escritos de alegaciones presentados por MERCADONA no contienen ningún argumento que modifique ese planteamiento y la conclusión expuesta. MERCADONA, en este caso, ha visto respetadas todas las garantías del interesado que prevé la normativa procesal IV De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Del mismo modo, el ordenamiento jurídico interno, en el artículo 65.4 la LOPDGDD, ha previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la Agencia Española de Protección de Datos, que consiste en dar traslado de las mismas a los delegados de protección de datos designados por los responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de la citada norma, o a éstos cuando no los hubieren designado, para que procedan al análisis de dichas reclamaciones y a darles respuesta en el plazo de un mes. De conformidad con esta normativa, con carácter previo a la admisión a trámite de la reclamación que da lugar al presente procedimiento, se dio traslado de la misma a la entidad responsable para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida, en el supuesto de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD. El resultado de dicho traslado no fue satisfactorio. En consecuencia, con fecha 16/04/2021, a los efectos previstos en su artículo 64.2 de la LOPDGDD, la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación que da lugar al presente procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/61 Tratándose de una reclamación por falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, con carácter general, se sigue el procedimiento regulado en el artículo 64.1 de la LOPDGDD, según el cual: “1. Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo siguiente. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación.” En sentido contrario, cuando el procedimiento no se refiera exclusivamente a la atención de una solicitud de ejercicio de los derechos, procede la depuración de responsabilidades administrativas en el marco de un procedimiento sancionador, siendo competencia exclusiva de esta Agencia valorar si existen responsabilidades administrativas que deban ser depuradas en un procedimiento de esta naturaleza y, en consecuencia, la decisión sobre su apertura. Esta depuración de responsabilidades, en contra de lo señalado por MERCADONA en sus alegaciones, no puede acordarse en un procedimiento por falta de atención de los derechos. Este régimen específico respecto de los procedimientos ante las autoridades de control en materia de protección de datos también se contempla en el RGPD. El Capítulo VIII del RGPD lleva por título “Recursos, responsabilidad y sanciones”, y el primero de los artículos de dicho Capítulo VIII, el artículo 77.1, establece el derecho a presentar una reclamación ante una autoridad de control: “Sin perjuicio de cualquier otro recurso administrativo o acción judicial, todo interesado tendrá derecho a presentar una reclamación ante una autoridad de control, en particular en el Estado miembro en el que tenga su residencia habitual, lugar de trabajo o lugar de la supuesta infracción, si considera que el tratamiento de datos personales que le conciernen infringe el presente Reglamento”. A su vez, el artículo 79 del mismo Reglamento establece que “[s]in perjuicio de los recursos administrativos o extrajudiciales disponibles, incluido el derecho a presentar una reclamación ante una autoridad de control en virtud del artículo 77, todo interesado tendrá derecho a la tutela judicial efectiva cuando considere que sus derechos en virtud del presente Reglamento han sido vulnerados como consecuencia de un tratamiento de sus datos personales”. Por lo tanto, una “reclamación” de un particular puede dar lugar a dos tipos de procedimientos, uno de ellos relativo a infracciones del RGPD, con carácter general, y otro por vulneración de sus derechos. Dicha distinción también se ha plasmado en el Título VIII de la LOPDGDD, que regula conjuntamente los “procedimientos en caso de posible vulneración de la normativa de protección de datos”. Así, su artículo 63.1, “Régimen jurídico”, incluye (
23. a)los procedimientos en caso de infracción del RGPD y la propia LOPDGDD y (
24. b)los derivados de una posible vulneración de los derechos de los interesados. No prevé la LOPDGDD ningún tipo adicional de procedimiento en caso de posible vulneración de la normativa de protección de datos, de manera que todas las funciones y poderes que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/61 el RGPD otorga a las autoridades de control en los arts. 57 y 58 RGPD habrán de ejercitarse a través de dichos procedimientos en caso de posible vulneración de la normativa de protección de datos. No existen otros. De ello se desprende, teniendo en cuenta igualmente el art. 64 LOPDGDD, que cuando el procedimiento se dirija exclusivamente a la falta de atención de una solicitud de los derechos los artículos 15 a 22 RGPD será necesaria una reclamación, pero que (art. 64.2 LOPDGDD) “[c]uando el procedimiento tenga por objeto la determinación de la posible existencia de una infracción de lo dispuesto en el Reglamento (UE) 2016/679 y en la presente ley orgánica, se iniciará mediante acuerdo de inicio adoptado por propia iniciativa o como consecuencia de reclamación”. Es decir, tanto el RGPD como la LOPDGDD consideran que una reclamación de un afectado puede ser la vía o el medio de llevar a conocimiento de la autoridad de control una posible infracción de la normativa de protección de datos, pero en ningún caso restringe la actuación de la autoridad de control a la específica y concreta queja de los afectados. Lo contrario sería inconsistente con la finalidad y la voluntad del legislador comunitario, plasmada expresamente en el RGPD, de que las autoridades de control controlen y hagan aplicar el RGPD, y con lo previsto en el RGPD de que puedan ponerse de manifiesto “infracciones” de la normativa de protección de datos a través de “reclamaciones” que pueden trascender de las propias reclamaciones individuales formuladas. En relación con esta cuestión MERCADONA ha alegado que en un caso referido exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos debe seguirse por imperativo legal el procedimiento regulado en el artículo 64.1 de la LOPDGDD, no procediendo la apertura de un procedimiento sancionador, cuyo carácter excepcional ha sido puesto de manifiesto por la AEPD en diversas actuaciones que cita, indicando que “siempre que sea posible, deberá optarse por la prevalencia de mecanismos alternativos en el caso de que tengan amparo en la normativa vigente...” y que deben existir elementos que justifiquen el inicio del procedimiento sancionador. En este caso, a juicio de esta Agencia, tal y como se indicó en el acuerdo de apertura, existen elementos que justifican el inicio de la actividad sancionadora, considerando que con el procedimiento previsto en el artículo 64.1 de la LOPDGDD citado no quedarían debidamente restauradas las garantías y derechos de los interesados. En este caso, el derecho ejercitado tenía el propósito de acceder a unas imágenes que la entidad responsable eliminó antes de que se formulara la reclamación, por lo que carecía de objeto la tramitación de un procedimiento por falta de atención de un ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, cuyo fin último es resolver si procede o no atender el derecho ejercitado, en este caso, la entrega o no a la reclamante de unas imágenes que ya no existían. Además, considerando las circunstancias puestas de manifiesto, resulta que la actuación de MERCADONA va más allá de la no atención en plazo de la solicitud de acceso de la reclamada, y se estimó oportuno analizar en el presente procedimiento el alcance, desde el punto de vista de la protección de datos personales, que debe otorgarse al tratamiento de datos consistente en la supresión de las imágenes pretendidas por la reclamante, su posible ilicitud y la responsabilidad que este hecho C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/61 puede conllevar para la entidad la reclamada. Extremo este que en modo alguno puede realizarse en el marco del procedimiento regulado en el artículo 64.1 de la LOPDGDD. También ha alegado la reclamada que existen precedentes similares en los que la AEPD ha seguido el procedimiento regulado en el artículo 64.1 de la LOPDGDD y que el propio CEPD, en sus Directrices 3/2019 se pronuncia en el mismo sentido. Sin embargo, tanto la declaración del CEPD reseñada por MERCADONA como los precedentes citados, dos de ellos, se refieren a solicitudes de ejercicio de derechos formuladas cuando las imágenes ya habían sido suprimidas. En el procedimiento señalado con el número TD/01272/2017 la solicitud de acceso se formula en fecha 14/04/2017 y requiere imágenes captadas el 14/11/2016 (la reclamación fue desestimada); y el expediente número TD/00955/2018 analiza una solicitud de 20/03/2018 mediante la que el interesado solicita imágenes captadas el 25/11/2017 (la reclamación fue estimada por cuanto la solicitud de acceso no fue respondida por el responsable). El tercer precedente citado, el señalado con el número TD/00830/2017, se resuelve estimatoriamente por falta de respuesta y, aunque la reclamación hace referencia al acceso a imágenes captadas por un sistema de videovigilancia, la solicitud de acceso que motivó la reclamación no especificaba este objeto ni hace referencia a la fecha en que fueron captadas las supuestas imágenes. Siendo así, en aquellos precedentes no existía responsabilidad por la supresión de los datos, siendo desestimado uno de los casos y en dos de ellos únicamente se valoró la falta de respuesta en plazo, dado lugar a una resolución que estima formalmente la reclamación y obliga a la entidad reclamada a responder debidamente al reclamante respectivo informándole en el sentido expresado por el CEPD en aquellas Directrices (no existen datos). En cuanto a las actuaciones seguidas con el número E/02434/2020, también citadas por la reclamada, conviene preciar que el acuerdo de archivo adoptado tuvo en cuenta que los hechos transmitidos encontraban acomodo en una presunta conducta delictiva, por la que existía causa judicial sub iudice, y que no se conocían las circunstancias que dieron lugar a la eliminación de las imágenes. Finalmente, alega MERCADONA que no se justifica la apertura de un procedimiento sancionador porque únicamente se ha incumplido el artículo 12 en relación con el derecho de acceso ejercitado, y argumenta que la supuesta infracción imputada se tipifica como “No atender las solicitudes de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento”. Como bien dice la reclamada, ese incumplimiento es constitutivo de infracción y da lugar a la depuración de responsabilidades. Entender que ante ese incumplimiento solo puede actuarse a través del procedimiento de falta de atención de derechos es tanto como entender que dicho tipo infractor no se aplica en ningún caso. Finalmente, interesa poner de relieve que ninguna norma impide que el órgano que ejerce la potestad sancionadora, cuando determina la apertura de un procedimiento sancionador, siempre de oficio (art. 63.1 ley 39/2015, de 1 de octubre), determine su alcance conforme a las circunstancias puestas de manifiesto, aunque las mismas no se ajusten estrictamente a las manifestaciones y pretensiones del reclamante. Es decir, el acuerdo de inicio del procedimiento sancionador no está constreñido por la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/61 reclamación presentada por el particular. No ocurre así en el caso de procedimientos tramitados a solicitud del interesado, en los que el artículo 88.2 de la LPACAP exige que la resolución sea congruente con las peticiones formuladas por éste. Incluso, en este caso, queda a salvo la potestad de la Administración de incoar de oficio un nuevo procedimiento. Este mismo artículo 88 de la LPACAP, referido al contenido de la resolución, en su apartado 1 establece la obligación de decidir todas las cuestiones planteadas por los interesados y aquellas otras que deriven del procedimiento, incluidas cuestiones conexas no planteadas por los interesados. Este artículo establece expresamente lo siguiente: “1. La resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Cuando se trate de cuestiones conexas que no hubieran sido planteadas por los interesados, el órgano competente podrá pronunciarse sobre las mismas, poniéndolo antes de manifiesto a aquéllos por un plazo no superior a quince días, para que formulen las alegaciones que estimen pertinentes y aporten, en su caso, los medios de prueba”. En el procedimiento sancionador, incluso, se tendrán en cuenta los hechos que se pongan de manifiesto durante su instrucción, los cuales se determinarán en la propuesta de resolución, y podrán motivar la modificación de las imputaciones contenidas en el acuerdo de inicio del procedimiento o su calificación jurídica. En este sentido, al referirse a las especialidades de la resolución en los procedimientos sancionadores, el artículo 90 de la LPACAP establece: “2. En la resolución no se podrán aceptar hechos distintos de los determinados en el curso del procedimiento, con independencia de su diferente valoración jurídica…”. V Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. El artículo 12 “Transparencia de la información, comunicación y modalidades de ejercicio de derechos” del RGPD establece lo siguiente: “1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/61 2. El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos en virtud de los artículos 15 a 22. En los casos a que se refiere el artículo 11, apartado 2, el responsable no se negará a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no está en condiciones de identificar al interesado. 3. El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, sin dilación indebida y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo.” 4.Si el responsable del tratamiento no da curso a la solicitud del interesado, le informará sin dilación, y a más tardar transcurrido un mes de la recepción de la solicitud, de las razones de su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales. 5.La información facilitada en virtud de los artículos 13 y 14 así como toda comunicación y cualquier actuación realizada en virtud de los artículos 15 a 22 y 34 serán a título gratuito. Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo, el responsable del tratamiento podrá:
25. a)cobrar un canon razonable en función de los costes administrativos afrontados para facilitar la información o la comunicación o realizar la actuación solicitada, o
26. b)negarse a actuar respecto de la solicitud. El responsable del tratamiento soportará la carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud. 6.Sin perjuicio de lo dispuesto en el artículo 11, cuando el responsable del tratamiento tenga dudas razonables en relación con la identidad de la persona física que cursa la solicitud a que se refieren los artículos 15 a 21, podrá solicitar que se facilite la información adicional necesaria para confirmar la identidad del interesado. 7.La información que deberá facilitarse a los interesados en virtud de los artículos 13 y 14 podrá transmitirse en combinación con iconos normalizados que permitan proporcionar de forma fácilmente visible, inteligible y claramente legible una adecuada visión de conjunto del tratamiento previsto. Los iconos que se presenten en formato electrónico serán legibles mecánicamente. 8.La Comisión estará facultada para adoptar actos delegados de conformidad con el artículo 92 a fin de especificar la información que se ha de presentar a través de iconos y los procedimientos para proporcionar iconos normalizados”. Por su parte, el artículo 12 “Disposiciones generales sobre ejercicio de los derechos” de la LOPDGDD, en sus apartados 2 y 4, añade lo siguiente: “2. El responsable del tratamiento estará obligado a informar al afectado sobre los medios a su disposición para ejercer los derechos que le corresponden. Los medios deberán ser fácilmente accesibles para el afectado. El ejercicio del derecho no podrá ser denegado por el solo motivo de optar el afectado por otro medio”. “4. La prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulado por el afectado recaerá sobre el responsable”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/61 Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD); viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado; así como a expresar sus motivos en caso de que no atendiera la solicitud. De lo anterior se desprende que la solicitud de ejercicio de derechos formulada por el interesado debe ser respondida en todo caso, recayendo sobre el responsable la prueba del cumplimiento de este deber. Esta obligación de actuar no resulta exigible cuando el responsable del tratamiento pueda demostrar que no está en condiciones de identificar al interesado (en los casos a que se refiere el artículo 11.2 del RGPD). En supuestos distintos al previsto en este artículo, en los que el responsable del tratamiento tenga dudas razonables en relación con la identidad del solicitante, podrá requerir información adicional necesaria para confirmar esa identidad. A este respecto, el Considerando 64 del RGPD se expresa en los términos siguientes: “