PS-00441-2024

1/55  Expediente N.º: EXP202404507 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: En fecha 24 de febrero de 2025, la AEPD acordó iniciar procedimiento sancionador UNICAJA BANCO, S.A.U. con NIF A93139053. Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, en fecha 16 de enero de 2026, se emitió la Propuesta de resolución que a continuación se transcribe: << Expediente N.º: EXP202404507 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Denuncias ante la Agencia Española de Protección de Datos Como consecuencia de una denuncia, la Agencia Española de Protección de Datos ha tenido conocimiento de ciertos hechos que podrían constituir una posible vulneración de la normativa de protección de datos, imputable a UNICAJA BANCO, S.A.U. con NIF A93139053 (en adelante, UNICAJA), en relación con el sistema establecido para el procesamiento, análisis, gestión y custodia de las imágenes captadas por los sistemas de videovigilancia utilizados por UNICAJA como elemento preventivo ante la comisión de delitos. Según los hechos denunciados, la entidad UNICAJA tenía una Central Receptora de Alarmas (en adelante, CRA) formada por once operarios que trabajaban para Gestión de Actividades y Servicios Empresariales S.L. (en adelante, GDA), empresa de servicios del grupo de empresas de UNICAJA, que realizaba, además del servicio de CRA, funciones de seguridad privada, a pesar de no estar inscrita en el listado de empresas de seguridad de la Unidad de Seguridad Privada de la Dirección General de la Policía, requisito necesario para poder realizar dichas funciones. De acuerdo con la denuncia, en fecha 18 de marzo de 2019, UNICAJA contrató la actividad de CRA con la entidad de seguridad privada Grupo Control Empresa de Seguridad, S.A. (en adelante, Grupo Control), a la que se incorporaron los once trabajadores de GDA que, además de las funciones de CRA, llevaban a cabo el procesamiento, análisis, gestión y custodia de imágenes captadas por los sistemas de videovigilancia, pudiendo acceder sin ningún control ni límite a todos los equipos, programas y material disponible, en cualquiera de los puestos que ocuparan, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/55 compartiendo perfil de usuario y con acceso a información muy sensible. SEGUNDO: Acuerdo de realización de actuaciones previas de investigación Como consecuencia de los hechos conocidos, en fecha 22 de marzo de 2024, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante, LOPDGDD). TERCERO: Actuaciones previas de investigación. La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Se examina, en primer término, la documentación adjunta a la denuncia, consistente en su mayoría en correos electrónicos dirigidos a la CRA, remitidos principalmente por el Departamento de Seguridad de UNICAJA, que reflejan solicitudes de acceso a imágenes, y correos de contestación con el resultado de las comprobaciones realizadas sobre las imágenes del sistema de videovigilancia. Como ejemplo de estos correos pueden citarse los siguientes casos: . Mediante correo de fecha 31/03/2023 13:57h se solicita una comprobación de imágenes a la CRA desde el Departamento de Seguridad, que pide informe de visionado de unas imágenes ya solicitadas con relación a un reintegro supuestamente con suplantación de identidad, para determinar si se trata o no del cliente (se realizó la petición de custodia de las imágenes previa). Se indica la fecha y hora de interacciones en el sistema de información para la operación y se adjuntan imágenes de los anversos de los DNI del empleado y del cliente. En la contestación, la CRA indica “Buenos días, se observa por las cámaras que la persona que hace el reintegro en la Caja a las 08.33 no es el mismo del DNI adjunto. […] el cliente le entrega al empleado de Caja un DNI”. Mediante correo de fecha 11/05/2023 el Departamento de Seguridad de UNICAJA reenvía una solicitud de comprobación de imágenes capturadas el día 31/01/2023 indicando que se debieron guardar por solicitud de la policía. Se indica que se trata de una suplantación de identidad de una clienta, se aportan datos de fecha, hora y sucursales, y se solicita si es posible la confirmación de que no fue la cliente, de la que se aporta fotografía extraída del DNI. Por otra parte, durante las actuaciones ha sido requerida la siguiente información y documentación a UNICAJA, con el siguiente resultado: PUNTO 1.A Se ha solicitado copia del contrato o contratos suscritos con Grupo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/55 Control para el Sistema de Videovigilancia y servicio CRA. Se ha pedido aportar todas las cláusulas de protección de datos, incluidas Adendas o Anexos firmados al efecto. UNICAJA ha aportado copia del contrato formalizado en fecha 1 de enero de 2023, en el que consta incorporado, como Anexo VII, la Adenda de Encargado del tratamiento de datos personales responsabilidad de UNICAJA. Incluye un Anexo VIII con Requisitos de Seguridad de la Información. Se verifica que en la Adenda de Encargo de tratamiento citada figuran, entre otras estipulaciones, que el encargado actuará siguiendo Instrucciones del responsable, que los datos personales tratados no podrán ser utilizados para ninguna otra finalidad distinta de la ejecución del servicio, que tendrán carácter confidencial y no serán publicados o puestos en conocimiento de terceras partes sin la autorización previa y por escrito del responsable. Figuran así mismo, referencias a las medidas de seguridad y sobre la devolución o destrucción de los datos al finalizar la relación. Indican que desean poner de manifiesto que UNICAJA tiene aprobado un Procedimiento Interno de Homologación de Proveedores/Encargados del Tratamiento, a fin de verificar que ofrecen garantías suficientes en materia de protección de datos personales, de conformidad con lo establecido en el artículo 28.1 del RGPD. Aportan para este caso la cumplimentación del Cuestionario con la referida homologación, manifestando que, con base en las respuestas consignadas, Grupo Control ofrece suficientes garantías en lo que respecta a conocimientos especializados, fiabilidad y recursos, de cara a la aplicación de medidas técnicas y organizativas que cumplan los requisitos de la normativa vigente en materia de protección de datos, incluida la seguridad del tratamiento, es decir, que ofrece suficientes garantías para actuar como Encargado del Tratamiento de la entidad. Se verifica que en el cuestionario citado consiste en unas preguntas de control al encargado al objeto de determinar si ofrece suficientes garantías con relación a la protección de datos de carácter personal. Sobre las medidas técnicas y organizativas se indica: “¿Existe una política de control y acceso sobre los soportes que contienen datos personales? Sí”. Se ha requerido copia del contrato con Grupo Control anterior en fecha, aportando la entidad copia de un contrato de 26 de febrero de 2019. PUNTO 1.B Descripción de los servicios contratados con Grupo Control con relación al sistema de videovigilancia. Indican que los servicios objeto del contrato vienen recogidos en su Cláusula Segunda que establece: "El objeto del presente contrato es la realización por Grupo Control, en la Central Receptora de Alarmas propia de Grupo Control, de los servicios de concesión y gestión de alarmas de las oficinas, edificios y locales de Unicaja Banco, tanto las que hasta la fecha están siendo gestionadas desde la Central Receptora de Alarmas explotada por Grupo Control y sita en ***DIRECCIÓN.1, como los nuevos centros que se conectarán directamente a la CRA de Grupo Control. El servicio, por tanto, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/55 consistirá en la recepción, verificación (no personal) y, en su caso, transmisión de las señales de alarma, relativa a la seguridad y protección de personas y bienes a las Fuerzas y Cuerpos de Seguridad competentes, según dispone el Artículo 5.1.

1. g)de la Ley 5/2014, de 4 de abril de Seguridad Privada. Es también objeto de Servicio la recepción, seguimiento y notificación al cuerpo de Bomberos de las señales de incendio de las instalaciones conectadas." Se verifica que en dicha Cláusula Segunda se cita que “para una mayor claridad expositiva” los servicios expresamente incluidos son: la” explotación de centrales de alarmas”, y la “verificación de alarmas por imágenes o CCTV”. Indican que el Servicio se corresponde con el definido en el Pliego Técnico de licitación como "escenario 2" que aportan adjunto al contrato como Anexo I. En este Pliego, se recoge en el Apartado 3, relativo a los Requerimientos de Servicio la “Descarga de vídeo”. Se verifica que consta en el apartado 3 la descarga de video, y se cita sobre ella que “La descarga de imágenes será realizada por cuenta de Unicaja Banco a través del servicio específico contratado a este respecto …”. Asimismo, en la Cláusula Octava “Sistemática” se indica que UNICAJA concede los permisos necesarios a la Empresa para el acceso, tratamiento y registro informático de las imágenes. Indican que consta, en la Adenda de Encargado, expresamente establecida y regulada la actividad de tratamiento de Videovigilancia (Cláusula Primera). Se verifica que en la referida Adenda (anexo VII al contrato), en la cláusula primera consta “Gestión de Central Receptora de Alarmas” como objeto de tratamiento y como finalidad de tratamiento constan entre otras “Seguridad Privada”, “Seguridad y control de acceso a edificios” y “Videovigilancia”. En tipos de datos personales entre otros consta “imágenes” y en categorías de interesados “clientes”, “potenciales clientes”, “empleados y asimilados”, así como “proveedores”. PUNTO 1.C Se ha solicitado copia de la documentación acreditativa sobre la autorización de la empresa, por el órgano administrativo competente del Ministerio del Interior, como empresa de seguridad privada, número de acreditación y fecha de esta. Adjuntan certificado emitido por la Dirección General de la Policía, en el que consta que Grupo Control se encuentra inscrita en el Registro Nacional de Seguridad Privada del Ministerio del Interior con el núm. XXX, desde el 27 de noviembre de 1986 y autorizada para ejercer en el ámbito nacional, entre otras, las actividades de instalación y mantenimiento de aparatos, equipos, dispositivos y sistemas de seguridad conectados a centrales receptoras de alarma o a centros de control o de videovigilancia, y la explotación de centrales para la conexión, recepción, verificación y en su caso, respuesta y transmisión de las señales de alarmas, así como la monitorización de cualesquiera señales de dispositivos auxiliares para la seguridad de personas, de bienes muebles o inmuebles o de su cumplimiento de medidas impuestas, y la comunicación a las Fuerzas y Cuerpos de Seguridad competentes en estos casos.” PUNTO 1.D Se ha solicitado copia de la documentación que permita comprobar que la empresa de seguridad ha notificado las características de la citada instalación a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/55 autoridad competente en materia de seguridad privada. Indican que la titularidad de los sistemas de videovigilancia es de UNICAJA, prestando Grupo Control el servicio de videovigilancia a través de la CRA y que las características de la instalación fueron comunicadas a la autoridad competente, mediante el registro del contrato formalizado entre UNICAJA y la empresa instaladora S&C Automatismos de Seguridad, S.L. (en adelante Automatismos S&C) de fecha 1 de enero de 2023. Se verifica que el contrato quedó registrado ante la Policía Nacional, con fecha 15 de febrero de 2023. PUNTO 2.A Se ha solicitado el listado de las personas de la CRA de ***LOCALIDAD.1 que han tenido acceso al sistema de visualización de imágenes del Sistema de Videovigilancia de UNICAJA desde enero de 2023 a la fecha del requerimiento, incluido personal dado de baja en este periodo. En la inspección de trabajo girada el 19/05/2023 al servicio de CRA se mencionaban 11 personas. Aportan listado de 11 personas (personal de Grupo Control) de las cuales 10 son operadores, con categoría de operadores telefónicos, y uno jefe de sala (coordinador). Sobre las funciones desempeñadas indican: - Gestión de alarmas según protocolo definido por el departamento de Seguridad de Unicaja. - Atención telefónica de las llamadas del departamento de CRA. - Gestión de emails de la cuenta del departamento de CRA. - Apertura garaje acceso al edificio donde se encuentra ubicada la CRA. Entre otras, realizan las funciones de visionado de imágenes grabadas, así como comprobaciones sobre las mismas, tales como las reflejadas en los correos electrónicos de los casos que fueron adjuntados al requerimiento. Destacan los siguientes apartados del Contrato de Prestación de Servicios de Seguridad suscrito con la entidad Grupo Control, de fecha 1 de enero de 2023: - Estipulación Quinta. - Obligaciones de Grupo Control “Sin perjuicio de cuantas obligaciones constan en el presente contrato, se establecen las siguientes de forma específica. La organización. dirección, control, aseguramiento, retribución, disciplina y cuantas obligaciones se derivan de la legislación para un empresario respecto a sus trabajadores, corresponderán a Grupo Control, para con sus empleados asignados a la prestación del servicio…”. PUNTO 2.B Se ha solicitado información sobre si los trabajadores de la CRA tienen o tenían firmados compromisos de confidencialidad. Aportan copia de contratos de trabajo de los 11 empleados verificándose que en todos ellos consta un compromiso de confidencialidad sobre los datos a los que acceda que se extiende aun después de haber finalizado la relación laboral (punto 2.2 del contrato), entre otras estipulaciones de protección de datos. PUNTO 2.C Se ha requerido información sobre si cada persona tiene un usuario y clave propios para el acceso al Sistema de Videovigilancia o si acceden con un usuario C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/55 genérico del Sistema. Se ha requerido listar el código de usuario de cada uno de ellos y sus perfiles de acceso. Manifiestan al respecto que el software de soporte al sistema de videovigilancia, que administra la empresa instaladora/mantenedora que UNICAJA contrata para la instalación de alarmas y CCTV, Automatismos S&C, establece un único usuario y contraseña, a través del cual accede el personal que designe Grupo Control, conforme a las atribuciones que el proveedor confiera a cada empleado. Manifiestan también que en el Anexo VIII del Contrato de prestación de servicios entre UNICAJA y Grupo Control, de fecha 1 de enero de 2023, que aportan, titulado “Requisitos de Seguridad de la Información y Riesgo Tecnológico” (este Anexo firmado en fecha 25/05/2023) entre las medidas de seguridad que se establecen, se indica que deben darse de alta usuarios y contraseñas nominales. En el Hecho Probado Tercero se detalla parte del contenido de este Anexo VIII relativo a las medidas de seguridad. Por otra parte, sobre esta cuestión interesa destacar lo señalado sobre la política de seguridad en la oferta realizad por Grupo Control para la contratación: “Objetivos y principios de seguridad El objetivo principal de la Política de Seguridad de la Información de Grupo Control consiste en la protección de la información manejada por la empresa de las diferentes partes interesadas, así como de los sistemas de información que dan soporte a los productos y servicios prestados a los clientes... La gestión de la seguridad estará fundamentada en la protección de la información teniendo en cuenta las siguientes dimensiones de la seguridad: Disponibilidad. La información debe estar disponible cuando se necesite Integridad. La información debe ser exacta, veraz, y permanecer inalterada Confidencialidad. El acceso a la información debe realizarse únicamente por personal autorizado Autenticidad. La información debe mantenerse auténtica en origen y en destino Trazabilidad. Debe poder conocerse quién y cuándo ha accedido a la información, y las operaciones realizadas sobre las misma”. No se encuentran instrucciones giradas a Automatismos S&C, empresa que configuró el usuario genérico, con relación a medidas de seguridad, específicas sobre políticas de control de acceso lógico a las imágenes (política de usuarios y su configuración) en el contrato de 2023 aportado, por lo que se ha requerido a UNICAJA en una solicitud de información adicional para que aporte los contratos anteriores con Automatismos S&C e información sobre la existencia de instrucciones giradas a esa entidad con relación a medidas de seguridad, específicas sobre los usuarios y su configuración. Se ha requerido aportar copia de estas en su caso. Han aportado contratos anteriores al de la citada fecha, uno de enero de 2018 y otro de junio de 2021, señalando los representantes de UNICAJA algunas instrucciones giradas a Automatismos S&C con relación a medidas de seguridad, que no incluyen instrucciones de seguridad de acceso lógico a las imágenes. Las instrucciones facilitadas se refieren al Sistema Operativo, parches de seguridad, gestión de eventos, copias de seguridad, etc. No obstante, se comprueba que el contrato de enero de 2018 incluye un anexo III de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/55 protección de datos y seguridad informática. Consta además una adenda al contrato donde se modifica la normativa de protección de datos y seguridad con nuevos anexos III y IV, que también aportan. No se encuentran cláusulas en la documentación aportada de 2021. Se encuentran las siguientes cláusulas concretas en el citado ANEXO IV de 2018: “1.4 EI Proveedor definirá los roles de seguridad adecuados, dentro de sus sistemas, para garantizar que los accesos sean los estrictamente necesarios. Unicaja Banco se reserva el derecho a auditar periódicamente los usuarios asignados a la prestación del servicio. 1.5 Cualquier cambio en la prestación del presente servicio que implique una modificación de los usuarios que participan en el mismo (alta, baja y/o modificación de permisos), así como una modificación de los sistemas de información implicados en el presente servicio, deberá ser comunicado de manera inmediata por el interlocutor del Proveedor al interlocutor de Unicaja Banco. 1.6 EI Proveedor dispondrá de un sistema de backup que garantice la correcta recuperación de los datos. 1.7 EI Proveedor se compromete a cumplir con toda la legislación vigente aplicable al servicio que presta para Unicaja Banco, eximiéndose la entidad de toda responsabilidad al respecto. 1.8 Todo trabajador del Proveedor que vaya a prestar servicios para Unicaja Banco deberá conocer y acatar la Normativa de Seguridad de la Información en Unicaja Banco. 1.9 De acuerdo con las políticas de seguridad de Unicaja Banco, los mecanismos de identificación y autenticación para acceder a la red de Unicaja Banco deben ser nominativos.” También se encuentra suscrita con Automatismos S&C la Normativa General de Seguridad de la Información en UNICAJA que cita: “Identificación y control de acceso a la información - Los sistemas de identificación y autenticación en Unicaja Banco están basados en "identificador y contraseña", que deben ser personales e intransferibles, siendo el usuario el único responsable de la custodia de las credenciales otorgadas, no exponiéndolas a terceros.” Cabe resumir que UNICAJA, entidad responsable de los tratamientos, contrató con Automatismos S&C la instalación de los sistemas, configurando esta entidad un único usuario genérico en la instalación, siendo el personal de Grupo Control el que utiliza dicho usuario genérico. No consta relación contractual entre Grupo Control y Automatismos S&C, siendo ambas contratadas por UNICAJA. Se puede deducir que no han existido comunicaciones entre estas entidades, directamente o a través de UNICAJA, sobre qué usuarios se deben configurar para el acceso al sistema de videovigilancia. Sí existe un canal de comunicación de incidencias entre ambas entidades, establecido por UNICAJA según se refleja en el documento “Normas CRA Unicaja Banco, Protocolos de actuación” (documento que se mencionará más adelante). En este documento de instrucciones a Grupo Control sobre la gestión de las alarmas en la CRA se cita, sobre las incidencias detectadas de funcionamiento del sistema que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/55 puedan ocurrir en el día a día con los sistemas instalados y mantenidos por Automatismos S&C, lo siguiente: “- Durante el día la CRA irá recopilando todas las incidencias detectadas consideradas como no urgentes que deban resolverse por la empresa de mantenimiento de los sistemas de seguridad del Banco (Automatismos S&C). Al día siguiente todas estas incidencias se enviarán en un único archivo Word a primera hora de cada mañana al buzón de correo electrónico [se especifica una dirección de correo de Automatismos S&C]. - Las incidencias diarias consideradas por CRA como urgentes de resolver se enviarán en el mismo momento de ser detectadas por la CRA al buzón [se especifica una dirección de correo de Automatismos S&C]”. PUNTO 3. Sobre los accesos específicos a que se refieren los correos intercambiados en cada caso entre los departamentos y la CRA, sobre visionado de imágenes grabadas y las comprobaciones realizadas sobre las mismas, se ha requerido aportar información sobre los usuarios de la CRA que accedieron a las imágenes en cada caso y sus funciones. Manifiestan que queda registrado el usuario que accede durante 90 días, por lo que no pueden aportar información del registro de accesos, debido al periodo al que se refieren los accesos, de una antigüedad superior a 90 días. El registro de accesos reflejaría en todo caso los accesos por el usuario genérico que está configurado para su uso por parte todos los empleados de Grupo Control destinados en la CRA de UNICAJA, así como la dirección IP, que podría identificar el equipo de la sala de la CRA desde el que se accede. PUNTO 4.A Se ha requerido información sobre si existen protocolos escritos sobre el acceso a las imágenes por parte de la CRA y de UNICAJA, así como sobre las peticiones de imágenes, conservación de las imágenes o comprobaciones sobre las mismas por parte de la CRA, FFCC de Seguridad de Estado, Autoridades Judiciales, y empleados de UNICAJA. Copia de los protocolos en su caso. Los representantes de UNICAJA han manifestado al respecto que el protocolo se encuentra como anexo VI al contrato, ya aportado, y que recoge las normas CRA de UNICAJA. Se verifica que el documento se titula “Normas CRA Unicaja Banco, Protocolos de actuación”. Se comprueba que se trata de un protocolo de actuaciones con instrucciones de cómo proceder ante señales de alarma, incluidas las comprobaciones a realizar con el sistema de videovigilancia en caso de alarma, gestión de averías de las comunicaciones, incendios, etc. pero no se especifica en el documento ninguna instrucción ni información con relación a cómo proceder ante peticiones de accesos a las imágenes almacenadas. PUNTO 4.B Se ha requerido aportar copia de las normas internas, circulares, e instrucciones dirigidas a la entidad Grupo Control y a su personal (de la CRA de Unicaja) sobre la protección de los datos personales, en concreto, sobre la visualización de imágenes y la respuesta a posibles peticiones de visualización o extracción de imágenes del Sistema de Videovigilancia por parte de empleados de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/55 UNICAJA, así como la acreditación de las fechas en las que se han puesto en conocimiento de los empleados de Grupo Control. Los representantes de UNICAJA se remiten a los documentos contractuales con Grupo Control, ya aportados, (contrato y anexos). Se verifica que ni en el contrato, ni en el Anexo VII consistente en la Adenda de encargado del tratamiento de datos personales, ni en el Anexo VIII de Requisitos de Seguridad de la Información se encuentran instrucciones específicas sobre la visualización de imágenes ni sobre cómo proceder o responder ante posibles peticiones de visualización o extracción de imágenes del Sistema de Videovigilancia. PUNTO 4.C Se ha requerido información sobre si existen instrucciones con respecto a los datos de los clientes y empleados que se deben facilitar a la CRA para las comprobaciones de visionado de imágenes. A este respecto los representantes de la entidad han manifestado lo siguiente: “Las revisiones solicitadas por el área de Auditoría Interna en las que se precisa del conocimiento del contenido de las cámaras de seguridad van siempre asociadas a un caso o investigación de fraude, ya sea de carácter interno o externo, y actuaciones de investigación. Por tal razón y, dado que las peticiones de visualización de imágenes de Auditoría Interna se realizan siempre en un escenario interno / privado / restringido, es el Departamento de Seguridad el responsable de su visualización con base en la información que desea obtener Auditoría Interna (quien facilita la información oportuna que motiva el caso de investigación y la información que necesita obtener o verificar a raíz del visionado de las imágenes por parte del Departamento de Seguridad). La necesidad de llevar a cabo investigaciones exhaustivas (por su relevancia, en materia de detección y prevención del fraude), a estas peticiones se deben acompañar los datos relevantes para poder llevar a cabo una correcta visualización de imágenes”. PUNTO 4.D Sobre si en algún caso se permite el acceso a las imágenes a personal de UNICAJA (tal como auditores internos). Forma en que se emite la autorización y para que finalidades se permite la visualización. Manifiestan que solo se permite el acceso a las imágenes al Departamento de Seguridad de la entidad. PUNTO 5. Sobre si quedan registrados los accesos a las imágenes del sistema de videovigilancia, y el periodo de retención de los datos de dicho registro. Contestan que los accesos a las imágenes del sistema quedan registrados durante 90 días. El periodo de retención de las imágenes es de 15 días. PUNTO 6.A. Sobre si se han realizado auditorias de protección de datos a la entidad Grupo Control. Se ha requerido aportar del último informe en caso afirmativo. Informan que no han realizado auditorias debido a la reciente fecha de formalización del contrato. No obstante, hacen constar que, en aras de una actuación proactiva y del principio de accountability, ambas partes han formalizado un compromiso para llevar a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/55 cabo una auditoría de protección de datos en este sentido, aportando copia del ANEXO IX al contrato donde se refleja dicho compromiso y en el que expresamente si dice: “El alcance de la auditoría abarcará, como mínimo la comprobación del cumplimiento por Grupo Control de sus obligaciones en materia de protección de datos y, en particular, aquellas relacionadas con los siguientes ámbitos:
2. a)las medidas de seguridad. En concreto, la aplicación de medidas sobre control de accesos a las imágenes captadas por los sistemas de videovigilancia”. La posibilidad de realizar auditorías está prevista en el apartado 11 del Anexo VII “Sobre el régimen de prestación de servicio con acceso a datos personales responsabilidad de Unicaja Banco”: “11. Auditorías. Unicaja Banco, en cumplimiento de su capacidad de control, podrá realizar por su cuenta revisiones que verifiquen el cumplimiento de las políticas y medidas de seguridad exigidas en este acuerdo para la protección de los datos personales”. Manifiestan que sí han realizado controles sin haber encontrado incidencias con relación a la Videovigilancia y cumplimiento de la normativa de Seguridad Privada, en concreto durante los años 2022 y 2023. Indican que se han efectuado los siguientes controles generales y específicos mediante la comprobación de evidencias y casos singulares planteados y revisados: - Revisión de RAT y Evaluación de Impacto de tratamiento de Videovigilancia con la Dirección de Seguridad. - Verificación del deber de información en zonas videovigiladas, a fin de comprobar la correcta instalación de carteles de videovigilancia y el contenido de estos. - Verificación del cumplimiento de exigencias del reglamente de seguridad privada, a fin de comprobar que se han cumplido los siguientes requisitos: (
3. i)Borrado de las imágenes en el intervalo de 15 días desde su grabación. (
4. ii)Muestreo requerimientos de puesta a disposición de imágenes a autoridades y organismos competentes y plazos de conservación de dichas imágenes previamente su entrega. PUNTO 6.B. Sobre la existencia de auditorías al registro de accesos al Sistema de Videovigilancia con el propósito de identificar posibles accesos no justificados y copia de estas auditorías en caso afirmativo. Manifiestan que no constan, indicando que sí como consecuencia de los datos que no han dado tiempo a recabarse se obtuviese información adicional que motivase una potencial auditoría se procedería a su realización inmediata. PUNTO 7. Sobre la existencia de consultas realizadas a la Oficina de Protección de Datos (OPD) o al DPD de UNICAJA, o informes emitidos por los mismos, sobre aspectos de Protección de Datos de imágenes del sistema de Videovigilancia. Copia de los documentos en caso afirmativo. Contestan aportando detalle de tres informes sobre aspectos de Protección de Datos de imágenes del sistema de videovigilancia: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/55 1.- En primer lugar y tras la aprobación del RGPD, se efectuó desde el Departamento de Recursos Humanos consulta a Asesoría Jurídica y a Oficina de Protección de datos sobre el uso de las imágenes grabadas por UNICAJA. Aportan copia del correo enviado por la Oficina de Protección de Datos en fecha 1 de agosto de 2018, en el que se informa lo siguiente: "Así, el acceso a las imágenes puede realizarse con la sola y única finalidad de, en caso detectar la comisión de hechos delictivos, poner las mismas a disposición de las autoridades judiciales y Fuerzas y Cuerpos de Seguridad...” 2.- Posteriormente, se solicita por el Departamento de Recursos Humanos ampliación a la anterior consulta a los efectos de que se informara sobre la posibilidad del uso de las imágenes en aspectos laborales. Aportan copia del correo enviado por la DPO de UNICAJA en fecha 26 de octubre de 2018. 3.- Por otro lado, se efectuó nueva consulta relativa a los plazos de conservación de grabaciones en los supuestos de apertura de expediente disciplinario y posterior proceso judicial, así como relativa a las personas que tengan acceso a las imágenes. Aportan copia del correo enviado por la Oficina de Protección de datos en fecha 24 de abril de 2019. PUNTO 8. Sobre si en el Registro de Actividades de Tratamiento (RAT) de UNICAJA se registra la actividad de tratamiento de Videovigilancia. En caso afirmativo copia del registro de esta actividad de tratamiento. Aportan copia del RAT donde consta el registro de la actividad de videovigilancia. PUNTO 9. Sobre la realización de un Análisis de Riesgo (AR) y Evaluación de Impacto de Protección de Datos (EIPD) del Tratamiento de Videovigilancia. Aportan copia de un estudio previo para analizar y valorar si en el tratamiento de videovigilancia concurren circunstancias y situaciones que obliguen a realizar un Análisis de Impacto de Privacidad (PIA), concluyendo que sí. Aportan también copia de la PIA efectuada, con valoraciones de riesgo inherente y el riesgo residual una vez aplicadas las medidas mitigantes. Se observa entre las medidas o controles a implementar las siguientes sobre el control de los accesos: - 6.6.2.1 de la ISO 27701. Registro y baja de usuario: se debe implementar un proceso formal de registro y desregistro de usuario para permitir la asignación de derechos de acceso. - 6.6.2.5 de la ISO 27701. Los propietarios de activos deben revisar los derechos de acceso los usuarios de manera periódica. - 6.6.2.5 de la ISO 27701. Restricciones de acceso a la información. Se debe restringir el acceso a la información y a las funciones del sistema de aplicaciones, de acuerdo con la Política de control de acceso. - ISO 27701-6.9.4.1. Se deben generar, mantener y revisar con regularidad los registros de eventos de las actividades de usuario, excepciones, faltas y eventos de Seguridad de la Información. A la vista de estas medidas, si bien han sido consideradas en el análisis, se evidencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/55 que no han sido implementadas, al estar configurado un único usuario de acceso genérico al sistema de videovigilancia, de forma continuada, para todos los empleados de la CRA. CUARTO: Volumen de negocios de UNICAJA Según consta en el “Informe Anual 2023”, publicado en https://www.unicajabanco.com/es/inversores-y-accionistas/informacion-economicofinanciera/cuentas-anuales-auditadas, en el año 2023, el volumen de negocio de UNICAJA ha sido de 1.775.548 miles de €, según consta en la diligencia que se incorpora al expediente, de fecha 20 de febrero de 2025. QUINTO: Acuerdo de inicio de procedimiento sancionador En fecha 24 de febrero de 2025, la Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía, acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD. En dicho acuerdo de apertura se determinó que la sanción que pudiera corresponder por la infracción imputada, sin perjuicio de lo que resulte de la instrucción, sería de 3.500.000 euros (tres millones quinientos mil euros). Asimismo, se advirtió que la infracción, de confirmarse, podrá conllevar la imposición de medidas, de acuerdo con lo establecido en el citado artículo 58.2 del RGPD. El acuerdo de inicio fue enviado, conforme a las normas establecidas en la LPACAP, mediante notificación electrónica, siendo recibido en fecha 25 de febrero de 2025, como consta en el certificado que obra en el expediente. SEXTO: Ampliación de plazo En contestación al escrito en el que solicitaba la ampliación del plazo que fue concedido para formular alegaciones, así como copia de expediente, en fecha 5 de marzo de 2025, se acordó ampliar el plazo para formular alegaciones hasta un máximo de cinco días, que debían computarse a partir del día siguiente a aquel en el que finalizara el primer plazo de alegaciones. En la misma fecha de emisión de ese escrito, se procedió a remitir a la parte reclamada mediante mensajería, un soporte físico (CD o memoria USB) cifrado, que contenía la copia completa del expediente administrativo solicitado, puesto que la copia del expediente solicitada tenía un tamaño que excedía el máximo permitido en el sistema Notific@. En la misma fecha se enviaba, de forma independiente, otro documento a través de la citada plataforma Notific@, en el que se facilitaba la clave para acceder a la documentación incluida en el soporte físico. SÉPTIMO: Alegaciones al acuerdo de inicio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/55 Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, en fecha 18 de marzo de 2025 la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: PRELIMINAR PRIMERA- Cuestiones de hecho que deben ser tenidas en cuenta en relación con el procedimiento. Señala, por un lado, que la titularidad de los sistemas de videovigilancia sería de UNICAJA y Grupo Control le prestaría el servicio de videovigilancia a través de la CRA del Grupo Control; y que la documentación contractual recoge que el encargado actuará siguiendo Instrucciones del responsable, que los datos personales tratados no podrán ser utilizados para ninguna otra finalidad distinta de la ejecución del servicio, que tendrán carácter confidencial y no serán publicados o puestos en conocimiento de terceras partes sin la autorización previa y por escrito del responsable; así como las medidas de seguridad que deberá adoptar, incluida la obligación de dar de alta usuarios y contraseñas nominales, definiendo los roles de seguridad o perfiles de usuarios de forma que garanticen los permisos estrictamente necesarios de cada usuario para la prestación del servicio. En el apartado medidas de seguridad para el caso de cuentas de servicio, se incluye claramente la exigencia de que existan usuarios nominativos siguiendo la política de nomenclaturas de UNICAJA. Por otro lado, hace referencia UNICAJA al conflicto laboral que derivó de la contratación formalizada con Grupo Control en 2019, cuando se decidió la subrogación de esta entidad en la condición de empleador de los trabajadores que realizaban la actividad de explotación de la CRA y visionado de imágenes a través de una empresa de servicios del grupo UNICAJA, denominada Gestión de Actividades y Servicios Empresariales S.L. (“GDA”). La plantilla de GDA estaba formada por once operarios, entre los que se encontraba el ahora denunciante. PRIMERA. UNICAJA no ha incumplido las obligaciones del art. 32 RGPD. 1.1 Falta de acreditación de la ausencia de medidas adecuadas. Alega que la AEPD está atribuyendo a UNICAJA una falta de medidas que corresponde adoptar al personal de Grupo Control. Afirma que sí tiene implementadas las medidas por lo que UNICAJA no ha incumplido sus obligaciones del art. 32 RGPD. 1.2 Error en la apreciación por la AEPD de falta de instrucciones. En relación con la supuesta falta de instrucciones sobre el tratamiento de imágenes, afirma que ha aportado documentación sobre protocolos e instrucciones en el requerimiento de información y que tiene documentadas instrucciones clara y precisas sobre el tratamiento de imágenes y que, en todo momento, impartía instrucciones al encargado del tratamiento sobre el tratamiento de datos. 1.3 Falta de acreditación de la culpabilidad de UNICAJA y error en la asignación de la responsabilidad. Alega que la obligación de establecer medidas técnicas y organizativas apropiadas al riesgo corresponde de igual manera al responsable y al encargado y, por tanto, en los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/55 tratamientos de datos en que hay un encargado del tratamiento es necesario realizar la imputación subjetiva del hecho infractor al sujeto que verdaderamente ha realizado los hechos, ya sea el responsable o el encargado del tratamiento. En cualquier caso, entiende que la obligación derivada del art. 32 RGPD es una obligación de medios y no de resultado haciendo referencia al Tribunal Supremo en sentencia de 5 de febrero de 2022. Afirma que UNICAJA dio instrucciones claras y precisas sobre el tratamiento de imágenes de videovigilancia y sobre la creación de usuarios nominativos. En este sentido, considera que la AEPD no puede imputar una infracción a UNICAJA por el mero hecho de que el personal de Grupo Control no haya implementado usuarios nominativos, pues ello supondría convertir la obligación del art 32 del RGPD en una obligación de resultado, que no lo es. Indica que UNICAJA tiene establecidas, además, medidas de seguimiento y control para los encargados del tratamiento, a fin de que garanticen que el tratamiento de datos que realizan cuenta con las medidas de seguridad técnicas y organizativas adecuadas, y que este control no se limita a la documentación contractual, sino que realiza también comprobaciones específicas para detectar potenciales riesgos o áreas de refuerzo que revelen incumplimientos en materia de protección de datos por parte de sus proveedores (a título ejemplificativo, los Controles específicos en materia de protección de datos personales de los recientes años 2023 y 2024). En estas comprobaciones indica que se revisan el nivel de cumplimiento de la normativa de protección de datos, incluidas las medidas de seguridad, por parte de proveedores de UNICAJA elegidos aleatoriamente. Añadido a estos controles rutinarios aplicables a todos los proveedores, en lo que concierne a Grupo Control, antes del inicio del procedimiento sancionador UNICAJA ya había realizado una Auditoría específica ad-hoc con un auditor externo para asegurar su cumplimiento e identificar posibles deficiencias o áreas de mejora. Por este motivo, entiende que nada se puede reprochar a UNICAJA sobre una falta de vigilancia de sus proveedores en general o de Grupo Control, en particular. En su opinión, no puede atribuirse a UNICAJA culpa o negligencia en la vigilancia. Además, entiende que los responsables del tratamiento no pueden tener responsabilidad por la actuación de los encargados del tratamiento cuando estos actúan al margen de las instrucciones impartidas por el responsable. Alega que esta cuestión ha sido recientemente objeto de análisis por el TJUE determinando que la actuación de los encargados del tratamiento no puede derivar en responsabilidad para el responsable del tratamiento, cuando el encargado: (
5. i)haya utilizado los datos para fines propios; (
6. ii)los haya tratado de manera incompatible con las modalidades del tratamiento determinadas por el responsable; o (iii) los haya tratado de una manera que no pueda considerarse razonable que el responsable hubiese dado su consentimiento. En este caso, entiende que es claro que Grupo Control, encargada del tratamiento, no cumplió con las instrucciones para el tratamiento de los datos impartidas por UNICAJA, por lo que no se le puede responsabilizar a esta última de dicha actuación. Afirma que UNICAJA había establecido claramente la obligación de que los usuarios C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/55 debían ser nominativos y que el incumplimiento flagrante de esta obligación es algo “incompatible con el marco o las modalidades del tratamiento tal como hayan sido determinados por el responsable del del tratamiento”. Afirma que UNICAJA cuenta además con un canal interno de denuncias que abarca también a proveedores de servicios, canal de denuncias que era conocido por el personal de Grupo Control y que podría haber sido utilizado por los trabajadores de Grupo Control para reportar cualquier incidencia, incluidas deficiencias en las medidas de seguridad implantadas. Es decir, ya no sólo es que Grupo Control desatendiera las instrucciones de UNICAJA, es que los trabajadores ocultaron deliberadamente la existencia de dicho incumplimiento. Considera que no se puede culpabilizar a UNICAJA de falta de control del encargado del tratamiento, cuando son precisamente el encargado -a través de los empleados del encargado-, quienes -por motivos espurios y particulares- encubrieron activamente estos hechos pudiendo haberlos levantado como era su obligación contractual y legal. SEGUNDA. Falta de objeto del procedimiento sancionador. UNICAJA ha iniciado trámites para abordar aquellos elementos que pudieran presentar áreas de mejora, desde el momento en que llegaron a su conocimiento, habiendo encargado en septiembre de 2024 la realización de una auditoría a Grupo Control por una empresa externa y puesto todos los medios para acometer esas mejoras a través del nuevo sistema ***SISTEMA.1. Se asegura así de la efectiva implementación de su Protocolo de Seguridad, en el que se indica expresamente, entre otras cosas, que deben darse de alta usuarios y contraseñas nominales. Considera que esto lleva inevitablemente a la desaparición del objeto del procedimiento, una supuesta infracción del artículo 32 del RGPD, ya que con el perfeccionamiento del sistema de control accesos a imágenes de videovigilancia UNICAJA cumple con todas las exigencias del RGPD, y especialmente, con aquellas que la AEPD reprocha en el Acuerdo de Inicio. TERCERA. Falta de motivación en la tipificación del hecho infractor. Alega que, en el Acuerdo de Inicio, la AEPD decide tipificar los hechos objeto del procedimiento sancionador en el tipo recogido en el art. 73.
7. f)LOPDGDD, pero no da ninguna justificación de cómo los hechos se subsumen en ese tipo, que no es aplicable a los hechos supuestamente atribuidos a UNICAJA y no se puede justificar. Según UNICAJA, la falta de motivación en este punto es esencial puesto que en relación con las infracciones del art.32 RGPD, la LOPDGDD recoge diversos tipos en su art. 73. CUARTA. Falta de proporcionalidad de la sanción impuesta. Considera que teniendo en cuenta los hechos que concurren en el presente caso, la imposición de una sanción económica es en todo punto desproporcionada y es especialmente desproporcionada en la cuantía de 3.500.000 euros. Considera que las siguientes circunstancias obligan a la AEPD a graduar adecuadamente la sanción y reducir su cuantía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/55 • UNICAJA tiene implementadas de forma generalizada un conjunto de medidas de seguridad técnicas y organizativas robustas y acordes con la normativa de protección de datos que incluyen, específicamente: la adopción de usuarios nominativos para el acceso a los sistemas de información e instrucciones específicas para el manejo de imágenes de videovigilancia. • La culpabilidad o intencionalidad de UNICAJA ha quedado demostrada que no existe, ya que correspondía al personal de Grupo Control cumplir con las instrucciones impartidas por UNICAJA sobre el tratamiento de datos y adoptar las medidas de seguridad que UNICAJA expresamente le había solicitado por escrito en sus acuerdos contractuales. Y, en cualquier caso, habría una concurrencia de culpabilidad en la medida en que Grupo Control y los Trabajadores de Grupo control, podían y debían haber comunicado cualquier incumplimiento de las medidas de seguridad a las que estaban obligados, pero no lo hicieron, ocultando así dichos incumplimientos. • La supuesta falta de medidas de seguridad se circunscribe a una única falta consistente en que el encargado del tratamiento, Grupo Control, no había implantado usuarios nominativos para el acceso a los sistemas de información, pero no se refiere una falta generalizada de medidas de seguridad. • Las peticiones de visualización de imágenes son mínimas y se circunscriben única y exclusivamente a aquellos casos en que se identifica un suceso que requiere investigar una conducta fraudulenta o delictiva y sólo se revisan las imágenes correspondientes a ese suceso, ninguna más. • No se acredita perjuicio o daño alguno sufrido por ninguno de los interesados. •No existe ningún beneficio económico de UNICAJA derivado del tratamiento de datos, al revés, la finalidad del tratamiento de imágenes de videovigilancia es preservar la seguridad de las personas, bienes e instalaciones, así como la prevención del fraude e investigación de delitos, en muchos casos en interés del propio cliente. Este tratamiento lícito y legitimado con base en un interés público reconocido por la ley como así lo reconoce la AEPD en su Guía sobre el uso de videocámaras para seguridad y otras finalidades. •Antes de la iniciación del procedimiento sancionador, UNICAJA ya ha iniciado voluntariamente la implementación de medidas para reforzar las medidas de seguridad y paliar cualquier efecto negativo. Los hechos supuestamente infractores ya habrían quedado resueltos con la implementación de estas medidas. Además, alega que la AEPD obvia que en este caso es más adecuado ordenar la adopción de una medida correctiva, la cual, además, ya ha sido adoptada por UNICAJA voluntariamente por lo que considera que realmente, lo adecuado es archivar el procedimiento sin imponer ninguna sanción. Afirma que la AEPD ha valorado un volumen de negocio erróneo y muy superior al real de UNICAJA. En las Cuentas Anuales de 2023 de UNICAJA, contenida en el expediente, el volumen de negocio del año 2023 se presenta en miles de euros, y arroja una cifra de 1.775.548 miles de euros. No obstante, indica que la AEPD en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/55 Acuerdo de Inicio ha considerado, de manera errónea, que el volumen de negocio de UNICAJA para el año 2023 es de 1.775.548 millones de euros. Por ello, entiende que debe rectificar el error y reducir la sanción significativamente acorde al volumen de negocio real que es considerablemente inferior al tomado en consideración por la AEPD. Por último, señala que la mayoría de los hechos consignados en el acuerdo de inicio han prescrito ya que el plazo de prescripción de infracciones graves es de 2 años. Así, afirma que todos los hechos anteriores al 25 de febrero de 2023 (momento de notificación del Acuerdo de Inicio) habrían prescrito y no pueden ser tenidos en cuenta por la AEPD, por haber trascurrido el plazo de 2 años que dispone la LOPDGDD. Considera que esto es algo importante ya que la AEPD hace alusión a hechos de mucha antigüedad y pone el foco especialmente en hechos entre diciembre de 2021 y febrero de 2022, todos prescritos. En consecuencia, alega que la sanción ha de reducirse proporcionalmente, sólo teniendo en cuenta los hechos no prescritos del período de referencia de la AEPD, entre febrero de 2023 y mayo de 2023, por lo que deberá verse notablemente reducida. En virtud de lo expuesto, solicita a la AEPD que acuerde el archivo del procedimiento sancionador sin la imposición de sanción alguna por las supuestas infracciones imputadas a UNICAJA o subsidiariamente reduzca adecuadamente la cuantía de la sanción propuesta. Asimismo, solicita que la apertura del período de prueba por un plazo de 30 días para que puedan acreditarse los hechos relevantes que interesan en este procedimiento. OCTAVO: Periodo probatorio Por la instrucción del procedimiento se acordó abrir período de práctica de pruebas, dándose por reproducidos a efectos probatorios las reclamaciones interpuestas y su documentación, los documentos obtenidos y generados durante las fases de admisión a trámite y de actuaciones previas de investigación que forman parte del expediente; y por presentadas las alegaciones al acuerdo de inicio del procedimiento sancionador formuladas por UNICAJA y la documentación que a ellas acompaña. Por otra parte, en atención a lo solicitado por UNICAJA, se concedió a dicha entidad un plazo de diez días hábiles para que aportase la información y/o documentación siguiente: 1. Las instrucciones que UNICAJA imparte a Grupo Control respecto del tratamiento de datos y de las medidas de seguridad a implantar, referidas en la Alegación Segunda de su escrito de alegaciones al inicio del procedimiento sancionador de referencia. 2. Las medidas de seguridad que UNICAJA tiene implementadas a las que se refiere la Alegación Primera de su escrito de alegaciones al inicio del procedimiento sancionador de referencia. 3. El contexto del conflicto laboral y la denuncia presentada por el sindicato CGT ante la APED, así como el procedimiento de inspección llevado a cabo por la policía a UNICAJA a los que se refieren las Alegaciones Preliminar Primera y Preliminar Segunda de su escrito de alegaciones al inicio del procedimiento sancionador de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/55 referencia. Con fecha 05/01/2026, se recibe de UNICAJA respuesta a la petición de prueba aportando la documentación siguiente: 1. En relación con el apartado 1 anterior, aporta nuevamente los contratos de servicios de Central Receptora de Alarmas suscritos con Grupo Control en fechas 26/02/2019 y 01/01/2023, novación modificativa (30/05/2024) y Anexo de modificación de los términos de auditoría (14/05/2024) de este último contrato; así como el Protocolo de tratamiento de imágenes, de 21/05/2018. Según manifiesta, con esta documentación acredita tener implantados protocolos específicos para el tratamiento de imágenes de videovigilancia y dar instrucciones concretas sobre las medidas de seguridad a implantar por el Grupo Control, expresamente y por escrito, en documentos con eficacia jurídica y desde el momento en el que se contrata al proveedor, instruyendo a dicha entidad que los usuarios de los aplicativos han de ser nominativos. Por tanto, entiende que las indicaciones de la AEPD respecto a la ausencia de instrucciones carecen manifiestamente de base. Del contenido de estos documentos cabe destacar: Novación modificativa, en la que se concretan los procedimientos y niveles exigidos para de acceso y extracción de imágenes por cuenta de UNICAJA y se actualizan los Anexos VII (protección de datos) y VIII (medidas de seguridad de la información y riesgo tecnológico. El detalle de lo estipulado en estos documentos, en lo que al presente procedimiento interesa, consta reseñado en los Hechos Probados Segundo y Tercero. 2. En relación con las medidas de seguridad a las que se refiere el apartado 2 de la prueba acordada, UNICAJA aporta los siguientes documentos: Documento nº 2-1 Procedimiento de gestión de usuarios de Grupo Control. Documento nº 2-2 Medidas de seguridad de acceso remoto de proveedores. Guía para usuarios. Documento nº 2-3 Evaluación previa de EIPD de videovigilancia. Documento nº 2-4 EIPD de videovigilancia. Documento nº 2-5 Memoria del software de gestión de seguridad ***SISTEMA.2. Documento nº 2-6 Folleto del software de gestión de seguridad ***SISTEMA.2. Documento nº 2-7 Auditoría interna de protección de datos 2023. Documento nº 2-8 Correspondencia Oficina de Protección de Datos homologación proveedores (Grupo Control) Documento nº 2-9 Cuestionario homologación proveedores (Grupo Control). Documento nº 2-10 Auditoría a Grupo Control 2024. Documento nº 2-11 Recomendaciones de la Auditoría a Grupo Control de 2024. Documento nº 2-12 Auditoría a Grupo Control 2025. A este respecto manifiesta: “Unicaja tiene implantadas medidas de seguridad adecuadas a los riesgos del tratamiento de datos relativo a la videovigilancia de conformidad con una evaluación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/55 de impacto sobre la protección de datos (Documento nº 2-3) llevada a cabo con base en la normativa de protección de datos. Además, tanto Unicaja (Documento nº 2-2) como Grupo Control (Documento nº 2-1) tiene medidas de seguridad específicas para la gestión de usuarios y acceso lógico a los aplicativos utilizados en relación con el tratamiento de datos de videovigilancia (véase información de ***SISTEMA.2, software de gestión de seguridad actualmente utilizado por Unicaja, Documentos nº 2-5 y 2-6). Adicionalmente, Unicaja cuenta con mecanismos de revisión continua y control de la efectividad de las medidas de seguridad. Estos controles se establecen tanto a nivel general a todos los proveedores (Documento nº 2-7) como específico de algunos proveedores. Además, Unicaja cuenta con un proceso de homologación de proveedores en el que participa la Oficina de Protección de Datos de Unicaja, que no se limita a cumplir un mero formalismo, sino que analiza y revisa las cuestiones de protección de datos (Documento nº 2-8). Se aporta la última versión del cuestionario de homologación de Grupo Control (Documento nº 2-9). En concreto y sin limitación, como demostración del continuo compromiso de Unicaja con la protección de datos y la seguridad de la información, en el contexto del programa continuado de revisión de proveedores, en lo que respecta a Grupo Control se le ha realizado –previo al Acuerdo de Inicio– una auditoría en 2024 para asegurar el cumplimiento efectivo de instrucciones de Unicaja y las medidas de seguridad impuestas con el fin de identificar posibles deficiencias o áreas de mejora (Documento nº 2-10). De hecho, a raíz de esa auditoría Unicaja inició trámites para abordar los elementos que pudieran presentar áreas de continua mejora y actualización, tal como realiza con sus proveedores de forma habitual (Documento nº 2- 11), hizo recomendaciones específicas a Grupo Control y ha dado seguimiento para confirmar que, a día de hoy, Grupo Control ha implementado tales recomendaciones (Documento nº 2-12). La documentación aportada en este punto demuestra que Unicaja, no solo de forma previa a los hechos analizados, sino que de forma continuada y hasta fecha de hoy, tiene implantados sólidos mecanismos de medidas de seguridad y revisión de proveedores, que están por encima del estándar y diligencia exigibles y que buscan la mejora y revisión continuada de sus sistemas”. Del contenido de la documentación aportada, interesa destacar lo siguiente:
8. a)Procedimiento de gestión de usuarios de Grupo Control Este documento define los procedimientos de alta, baja, identificación, autenticación y control de acceso lógico de los usuarios de los sistemas de información de Grupo Control, en todo su ámbito de actuación, además de concretar los roles y responsabilidades de los usuarios, así como la gestión de privilegios. Sobre el control de acceso se indica: “Todos los identificadores personales de la empresa… deben estar normalizados, para posibilitar la identificación biunívoca y fiel de los usuarios. La creación de un identificador de usuario debe estar autorizada por su superior jerárquico, de acuerdo con las normas internas y procedimentales de la empresa… No se permitirá el uso de identificadores de grupo, salvo cuando sea estrictamente necesario y por razones operacionales. Esta circunstancia deberá estar debidamente justificada y aprobada formalmente, aplicando los controles de seguridad precisos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/55 Los identificadores de usuarios anónimos y los identificadores por defecto estarán siempre deshabilitados”. “Se deben aplicar controles de acceso en todos los niveles de la arquitectura y topología de los Sistemas de Información de la empresa Grupo Control Empresa de Seguridad S.A.U. Esto incluye: redes, plataformas o sistemas operativos, bases de datos y aplicaciones. Los atributos de cada uno de ellos deben reflejar alguna forma de identificación y autenticación, autorización de acceso, verificación de recursos de información y registro y monitorización de las actividades”.
9. b)Auditoría interna de protección de datos 2023 Entre las cuestiones sometidas a control figura la verificación del cumplimiento de las exigencias del reglamento de seguridad privada, concretamente el borrado de las imágenes en el intervalo de 15 días desde su grabación y un muestreo de la puesta a disposición de imágenes a autoridades y organismos competentes. Además, un control aleatorio de los contratos con proveedores para verificar que están adaptados a la normativa de protección de datos personales. No consta ninguna incidencia detectada sobre en relación con estos temas.
10. c)Auditoría a Grupo Control de septiembre de 2024, que consta detallada en el Hecho Probado Sexto.
11. d)En diciembre de 2025 se realizó un “Análisis de finalización recomendaciones emitidas en la auditoría de datos Central Receptora de Alarmas”, cuyo resultado consta detallado en el Hecho Probado Séptimo. 3. En relación con las cuestiones a las que se refiere el apartado 3 de la prueba acordada, UNICAJA aporta los siguientes documentos: (…) NOVENO: Anexo documentación del procedimiento Se acompaña como anexo relación de documentos obrantes en el procedimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Con fecha 01/01/2023, UNICAJA y Grupo Control suscribieron un contrato de prestación de servicios, cuyo contenido y anexos se declaran reproducidos a efectos probatorios. En virtud de este contrato, Grupo Control se obliga a la prestación “de los servicios de concesión y gestión de alarmas de las oficinas, edificios y locales de Unicaja Banco”. Según se indica en la Cláusula Segunda, los servicios expresamente incluidos son “la explotación de centrales de alarmas” y la “verificación de alarmas por imágenes o CCTV”. En la definición del servicio recogida en el Pliego Técnico de licitación se incluyen los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/55 Requerimientos de Servicio la “Descarga de vídeo”: “La descarga de imágenes será realizada por cuenta de Unicaja Banco a través del servicio específico contratado a este respecto …”. Sobre esta cuestión, la Cláusula Octava del contrato indica: “Unicaja Banco concede por la presente cláusula los permisos necesarios a la Empresa para el acceso, tratamiento y registro informático de las imágenes que se generen como consecuencia de las alarmas procedentes de su instalación, así como para las operaciones necesarias de supervisión y mantenimiento del sistema”. SEGUNDO: El Anexo VII del contrato reseñado en el Hecho Probado Primero corresponde a la Adenda de Encargo y recoge el régimen de prestación de servicios con acceso a datos personales responsabilidad de UNICAJA. Entre otras estipulaciones, consta que “el encargado actuará siguiendo Instrucciones del responsable, que los datos personales tratados no podrán ser utilizados para ninguna otra finalidad distinta de la ejecución del servicio, que tendrán carácter confidencial y no serán publicados o puestos en conocimiento de terceras partes sin la autorización previa y por escrito del responsable.” El apartado 6 de este Anexo VII está dedicado a las “Medidas de seguridad en materia de protección de datos personales”, señalando: “El Encargado del Tratamiento se compromete a cumplir las medidas de seguridad, de carácter organizativo, técnico, físico y administrativo, que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo que pudiera derivarse del tratamiento... Dichas medidas de seguridad vienen recogidas en el anexo de Requisitos de Seguridad de la Información…”. Este mismo Anexo detalla los datos personales a los que podrá acceder el encargado del tratamiento (entre ellos, las “imágenes”) y las categorías de interesados (“clientes”, “potenciales clientes”, “empleados y asimilados”, así como “proveedores”). Se contempla, asimismo, la posibilidad de realizar auditorías “Sobre el régimen de prestación de servicio con acceso a datos personales responsabilidad de Unicaja Banco”: “11. Auditorías. Unicaja Banco, en cumplimiento de su capacidad de control, podrá realizar por su cuenta revisiones que verifiquen el cumplimiento de las políticas y medidas de seguridad exigidas en este acuerdo para la protección de los datos personales”. TERCERO: El Anexo VIII del contrato reseñado en el Hecho Probado Primero, suscrito en fecha 25/05/2023, detalla los “Requisitos de Seguridad de la Información y Riesgo Tecnológico” (“Protocolo de Seguridad”). En este documento se imponen medidas de confidencialidad de seguridad para Grupo Control. Entre estas últimas se recoge expresamente que deben darse de alta usuarios y contraseñas nominales y la obligación del proveedor de definir, para cada aplicación o activo de información que pudiera albergar información de UNICAJA, los roles de seguridad o perfiles de usuarios de forma que garanticen los permisos estrictamente necesarios de cada usuario para la prestación del servicio. En el apartado 3 de este documento se estipula: “3. Medidas de seguridad de carácter general Estas medidas parten de la premisa de que el Proveedor, para el objeto del presente contrato, accederá directa o indirectamente al sistema de información de Unicaja C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/55 Banco. Se entiende por sistema de información todo activo que preste servicios a Unicaja Banco o albergue información de su propiedad independientemente del emplazamiento final de la solución (servicio interno o en la nube) o de si la prestación del servicio esta externalizada en un tercero… Si se diera acceso a una herramienta de compartición de archivos y en lo relativo a la confidencialidad de los autenticadores y credenciales de acceso los empleados del Proveedor y en los que este delegue o subcontrate se comprometen a: • Custodiar las credenciales asignadas, así como velar porque no sean accesibles por personas no autorizadas. • No utilizar los mismos autenticadores de acceso a los sistemas de Unicaja Banco en sistemas externos y no usar el mismo autenticador en dos o más sistemas con autenticación independiente… 3.5.2. Medidas de seguridad en aplicativos EI Proveedor se compromete a que todo aplicativo que almacene o procese información propiedad de Unicaja Banco dará cumplimiento a las siguientes medidas de seguridad: - Previo a la prestación del servicio el Proveedor tendrá definido para cada aplicación o activo de información que pudiera albergar información de Unicaja Banco los roles de seguridad o perfiles de usuarios de forma que se garantice para cada usuario los permisos estrictamente necesarios para la prestación del servicio. - EI Proveedor deberá tener la capacidad de obtener un listado de usuarios con privilegios de acceso a los sistemas que tratan información de Unicaja Banco. En cumplimiento de los requisitos de trazabilidad de Unicaja Banco todo usuario que acceda a un sistema con información de Unicaja Banco deberá ser nominativo, no permitiéndose la compartición de cuentas de usuarios entre los empleados del Proveedor o en los que este pueda delegar. - Unicaja Banco se reserva el derecho a auditar periódicamente los roles y usuarios asignados a la prestación del servicio, ciñéndose exclusivamente a los espacios donde haya documentación de Unicaja Banco y sistemas de uso exclusivo para el servicio… - Cuando el Proveedor administre una herramienta con dedicación exclusiva a Unicaja Banco, cualquier cambio que implique una modificación de los usuarios del sistema (alta, baja y/o modificación de permisos) deberá ser comunicado sin dilación indebida por el Proveedor al Interlocutor Unicaja Banco… Obligaciones en el sistema de información de Unicaja Banco Medidas de seguridad en cuanto a usuarios de plataforma Unicaja Banco El Proveedor se compromete a utilizar estos usuarios de forma nominativa por cada empleado que preste servicio no pudiendo ser compartidos los usuarios entre dos empleados del grupo a no ser que la cuenta adquiera la consideración de “Cuenta del servicio” lo que deberá ser debidamente solicitado por parte del Proveedor a Unicaja Banco. Unicaja Banco se reserva el derecho a auditar periódicamente los roles y usuarios asignados a la prestación del servicio. Dicho proceso de auditoria se realizará sin necesidad de preaviso al ser únicamente auditados los sistemas propiedad de la entidad”. CUARTO: La plantilla de la CRA empleada por Grupo Control con acceso al sistema C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/55 de visualización de imágenes del Sistema de Videovigilancia de UNICAJA está integrada por 10 operadores (categoría de operadores telefónicos) y un jefe de sala (coordinador). Los servicios de inspección de la AEPD consultaron a UNICAJA si cada una de estas personas tiene un usuario y clave propios para el acceso al Sistema de Videovigilancia o si acceden con un usuario genérico del Sistema. En respuesta a esta solicitud de información, UNICAJA manifestó que el software de soporte al sistema de videovigilancia establece un único usuario y contraseña, a través del cual accede el personal designado por Grupo Control, conforme a las atribuciones que el proveedor confiera a cada empleado. Asimismo, se informó que el acceso queda registrado durante 90 días y que el registro de accesos refleja en todo caso los accesos por el usuario genérico que está configurado para su uso por parte todos los empleados de Grupo Control destinados en la CRA de UNICAJA, así como la dirección IP, que podría identificar el equipo de la sala de la CRA desde el que se accede. QUINTO: UNICAJA ha manifestado haber realizado controles durante los años 2022 y 2023, sin haber advertido incidencias en relación con la Videovigilancia y cumplimiento de la normativa de Seguridad Privada. Sobre la existencia de auditorías al registro de accesos al Sistema de Videovigilancia con el propósito de identificar posibles accesos no justificados UNICAJA manifestó que no constan. Durante la fase de prueba, UNICAJA aportó documentación correspondiente a una auditoría interna de protección de datos realizada en 2023. Entre las cuestiones sometidas a control figura la verificación del cumplimiento de las exigencias del reglamento de seguridad privada, concretamente el borrado de las imágenes en el intervalo de 15 días desde su grabación y un muestreo de la puesta a disposición de imágenes a autoridades y organismos competentes. Además, un control aleatorio de los contratos con proveedores para verificar que están adaptados a la normativa de protección de datos personales. Pero no consta ningún control sobre el acceso a las imágenes captadas por los sistemas de videovigilancia y la aplicación de las necesarias medidas de seguridad en cuanto a la segmentación de perfiles y la trazabilidad de los accesos. SEXTO: Durante la fase de prueba, UNICAJA aportó documentación correspondiente a una auditoría realizada a Grupo Control en septiembre de 2024 por una entidad externa. En su resumen de conclusiones define su alcance y se concretan, entre otras, las siguientes conclusiones y recomendaciones: “Alcance: . Se ha llevado a cabo una valoración sobre la aplicación de medidas sobre control de accesos a las imágenes captadas por los sistemas de videovigilancia. . Han sido objeto de revisión los métodos de conservación, plazos, medios para la efectiva destrucción de imágenes, y se han identificado y revisado evidencias que permiten acreditar el bloqueo y borrado de imágenes. . Se ha solicitado información y se ha revisado pormenorizadamente la cualificación del personal con acceso a las imágenes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/55 . Se han revisado los procedimientos para articular el seguimiento de las instrucciones de Unicaja relativas al tratamiento de los datos personales”. “Conclusiones Tras el desarrollo de la auditoría han podido identificarse las siguientes fortalezas: - Medidas de Seguridad: la Política de Seguridad facilitada por Grupo Control establece los objetivos y principios de seguridad de la información que la compañía se compromete a cumplir, así como pautas para el análisis de riesgos en el marco del sistema de seguridad de la información. Además, se observa que se aplican medidas técnicas en cuanto a la segmentación de perfiles con acceso a la CRA y a la red de Grupo Control y medidas de control físico de acceso a la CRA y al CPD. - Conservación de imágenes: ha podido verificarse que el borrado definitivo de las imágenes del CCTV es acorde con el plazo de conservación dispuesto por la normativa aplicable. - Cualificación del personal con acceso a imágenes: Grupo Control ha definido dos tipologías de operadores con acceso a imágenes, de forma que la labor de videovigilancia (visionado de imágenes en directo de la CCTV) es desarrollado por vigilantes que cuentan con homologación del Ministerio del Interior. - Aplicación de las instrucciones ordenadas por Unicaja: el protocolo establecido regula adecuadamente la actuación de Unicaja y Grupo Control, en el marco de la CRA. No obstante, lo anterior, se han identificado los siguientes hallazgos: - Grupo Control dispone de un único usuario genérico para el acceso a todas las grabadoras del sistema de videovigilancia de la compañía. - A pesar de disponerse en la práctica de dos perfiles diferenciados para el acceso a las imágenes del CCTV, Grupo Control no dispone de un procedimiento que formalice el modelo de control de acceso a las imágenes por los distintos operadores. - Se identifica que Grupo Control no dispone de un registro de las comunicaciones intercambiadas con Unicaja”. “Principales recomendaciones Se emiten 3 recomendaciones en total, siendo 2 de riesgo medio y 1 de riesgo bajo: - Actualizar las medidas técnicas de control de acceso a las videograbadoras de modo que sea factible desarrollar una traza y registro del usuario que accede a las videograbadoras (riesgo medio). - Documentar la aplicación de las medidas de segmentación física y lógica definidas para el acceso de los dos tipos de perfiles de operadores a las imágenes de los sistemas de videovigilancia. Esto es, videovigilancia por vigilantes habilitados y video-verificación por operadores no habilitados (riesgo medio). - Formalizar y mantener un registro de las comunicaciones intercambiadas entre Grupo Control y Unicaja, de manera que se tenga una trazabilidad de éstas (riesgo bajo)”. En el informe correspondiente, sobre las medidas de seguridad y cualificación del personal con acceso a imágenes se expone: “Ha podido comprobarse que: - La Política de Seguridad facilitada por Grupo Control establece de forma adecuada los objetivos y principios de seguridad de la información que la citada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/55 compañía se compromete a cumplir, así como pautas para el análisis de riesgos en el marco del sistema de seguridad de la información… - Además de lo anterior, de acuerdo con la información facilitada, se observa que Grupo Control aplica medidas técnicas adecuadas en cuanto a la segmentación de perfiles con acceso a la CRA y a la red de Grupo Control… - Por último, en cuanto a las medidas técnicas de acceso a las grabadoras del sistema de videovigilancia, se observa que, Grupo Control dispone de un único usuario que accede a todas las grabadoras de la compañía. Asimismo, se identifica que dicho usuario, es un usuario genérico de manera que podría dificultar la llevanza de un registro y traza de las personas que acceden a través de dicho usuario. No obstante, de acuerdo con la información facilitada por Grupo Control y la Propuesta de securización del sistema de accesos a imágenes del sistema de videovigilancia dirigido al Comité de Riesgos Tecnológicos con fecha de 21 de junio de 2024, se observa que Unicaja se encuentra actualmente actualizando el sistema de control de acceso a las grabadoras de manera que se centralice a través de un aplicativo en el que conste registro y traza del usuario que accede”. “5.2 Dominio 3 – Cualificación del personal con acceso a las imágenes. (…) A pesar de lo anterior, de acuerdo con la información facilitada verbalmente por Grupo control, la compañía no dispone de un procedimiento que regule el acceso a las imágenes por los distintos operadores”. SÉPTIMO: En Relación con la auditoría reseñada en el Hecho Probado Sexto, en diciembre de 2025, se realizó un “Análisis de finalización recomendaciones emitidas en la auditoría de datos Central Receptora de Alarmas”, con el resultado siguiente:
12. a)Sobre la implementación de un sistema que refuerce el control de acceso a las videograbadoras: “(…) Ha podido comprobarse que para la implementación del proyecto se han mantenido sesiones recurrentes, que han llegado a periodicidad semanal durante la etapa de definición y despliegue de la solución (segundo semestre de 2025)”. “Conclusiones Tras confirmación de últimos avances en el proyecto de implantación de la solución ***SISTEMA.1, que ha facultado la administración centralizada y visionado de elementos de cámaras y lectores de control de acceso a salas, hemos confirmado que, finalizada la puesta en producción, a fecha noviembre 2025 se dispone de 8.885 cámaras conectadas al sistema, quedando por conectar 736 equipos (8,28%) ... En este contexto, entendemos mitigado a un nivel adecuado el riesgo expuesto en el hallazgo… será objeto de seguimiento en el contexto de la Auditoría de Seguridad Física prevista para el plan de auditoría 2026 de la Dirección de Auditoría de Riesgo Tecnológico y Seguridad”.
13. b)Sobre la formalización de un procedimiento que recoja los controles aplicados sobre los distintos tipos de operadores de Grupo Control con acceso a imágenes se indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/55 “Con todo lo anterior, se ha podido comprobar la generación de los siguientes documentos: (…) Procedimiento de Gestión de Altas, Bajas, Identificación, Autenticación y Control de Acceso Lógico Establece las directrices corporativas en lo que respecta a la gestión de usuarios, en lo que respecta a: Altas, Bajas, Identificación, Autenticación y Control de Acceso Lógico de los usuarios de los Sistemas de Información… En el mismo se establece el principio de segmentación, especificándose que los accesos se segmentan en función de los roles y responsabilidades de cada usuario dentro de la central receptora de alarmas... … se establece el siguiente proceso de segmentación: . Acceso a Imágenes de Grabadores: - Usuarios Autorizados: Aquellos usuarios que tienen permisos para revisar y descargar imágenes de grabadores de clientes deben ser autorizados por su superior jerárquico y el responsable de Seguridad. Estos usuarios tienen acceso a las funciones de visualización y descarga de imágenes, necesarias para la investigación y resolución de incidentes. - Control de Acceso: Se implementan controles de acceso específicos para garantizar que solo los usuarios autorizados puedan acceder a estas funciones. Esto incluye la autenticación mediante credenciales únicas y la monitorización de las actividades realizadas”. “Conclusión Se comprueba que Grupo Control ha formalizado en sesión del 19 de mayo la “Normativa de control de acceso físico” y el “Procedimiento de Gestión de Altas, Bajas, Identificación, Autenticación y Control de Acceso Lógico”. Pudiéndose validar que la misma da cobertura a los requerimientos del hallazgo al facultar la aplicación de las medidas de segmentación física y lógica definidas para el acceso de los dos tipos de perfiles de operadores a las imágenes de los sistemas de videovigilancia (videovigilancia por vigilantes habilitados y video-verificación por operadores no habilitados)”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento, la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/55 reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección es objeto de dicho Reglamento, entendiendo por dato de carácter personal, como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. Es, por tanto, pertinente analizar si el tratamiento de datos personales (imagen de las personas físicas) llevado a cabo a través del sistema de videovigilancia denunciado es acorde con lo establecido en el RGPD. El artículo 22 de la LOPDGDD establece que las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento.” En el presente caso, la titularidad de los sistemas de videovigilancia es de UNICAJA, prestando GRUPO CONTROL el servicio de videovigilancia a través de la CRA. En este sentido, UNICAJA ostenta la condición de “responsable del tratamiento”, al ser quien determina los fines y medios del tratamiento (artículo 4 punto 7º RGPD), encomendando a la empresa de seguridad, como encargado del tratamiento, la prestación del servicio de videovigilancia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/55 En el transcurso de las actuaciones de investigación UNICAJA ha aportado copia del contrato formalizado en fecha 1 de enero de 2023, en cuyo Anexo VII consta la Adenda de Encargado del tratamiento de datos personales responsabilidad de UNICAJA. Incluye un Anexo VIII con Requisitos de Seguridad de la Información. En la Adenda de Encargo de tratamiento citada figuran, entre otras estipulaciones, que el encargado actuará siguiendo Instrucciones del responsable, que los datos personales tratados no podrán ser utilizados para ninguna otra finalidad distinta de la ejecución del servicio, que tendrán carácter confidencial y no serán publicados o puestos en conocimiento de terceras partes sin la autorización previa y por escrito del responsable. Figuran, asimismo, referencias a las medidas de seguridad y sobre la devolución o destrucción de los datos al finalizar la relación. Para la correcta prestación de dicho servicio, según aparece definido en la documentación contractual formalizada, el encargado del tratamiento debe acceder a datos de carácter personal. Por su parte, la parte reclamada tendrá todas las obligaciones propias establecidas, respetando en todo caso la normativa vigente en materia de protección de datos personales. Entre ellas, la de que los datos personales sean tratados de tal manera que se garantice una seguridad adecuada de los mismos, mediante la aplicación de medidas técnicas u organizativas apropiadas. III Alegaciones al Acuerdo de inicio En relación con las consideraciones preliminares realizadas por UNICAJA, sobre circunstancias de hecho que, en su opinión, deben ser consideradas, conviene indicar lo siguiente: En primer término, señala que la documentación contractual recoge que el encargado actuará siguiendo instrucciones del responsable, entre las que figuran las medidas de seguridad que deberá adoptar, incluida la obligación de dar de alta usuarios y contraseñas nominales, definiendo los roles de seguridad o perfiles de usuarios de forma que garanticen los permisos estrictamente necesarios de cada usuario para la prestación del servicio. En el apartado medidas de seguridad para el caso de cuentas de servicio, se incluye claramente la exigencia de que existan usuarios nominativos siguiendo la política de nomenclaturas de UNICAJA. Todo ello consta debidamente reseñado en los Hechos Probados. Por otra parte, conviene advertir que el presente acto no contiene ningún pronunciamiento sobre cuestiones ajenas al ámbito competencial de la AEPD, como el conflicto laboral al que se alude en las actuaciones, que resultan ajenas al objeto del procedimiento, que se reduce a la falta de medidas de seguridad puestas de manifiesto. PRIMERA. UNICAJA no ha incumplido las obligaciones del art. 32 RGPD. Como punto de partida aclara que la obligación de establecer medidas de seguridad recogida en el art. 32 RGPD: (
14. a)es una obligación que aplica igualmente tanto al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/55 responsable como al encargado del tratamiento y (
15. b)es una obligación de medios, y no de resultado. Igualmente, entiende que la infracción de esta obligación consiste en la no adopción de medidas adecuadas al riesgo, por lo que para acreditar la existencia de infracción es necesario probar la ausencia de medidas y la adecuación de dichas medidas al riesgo. Alega que la AEPD está atribuyendo a UNICAJA una falta de medidas que corresponde adoptar al personal de Grupo Control y concluye que no puede ser jurídicamente atribuible culpa alguna a UNICAJA cuando los trabajadores, incluido el denunciante, en vez de señalarlo o cuando menos requerir dentro de su organización que se revisara conforme a su obligación contractual y laboral, mantuvieron su incumplimiento encubierto y solo procedieron a denunciar a UNICAJA. Por todo lo anterior, afirma que la AEPD no ha podido acreditar en el expediente que UNICAJA haya incumplido sus obligaciones del art. 32 RGPD, toda vez que el establecimiento de la medida a la que se refiere la AEPD se trata de una obligación legal y contractual exigible directamente al encargado. Por tanto, considera que tampoco es exigible a UNICAJA culpabilidad cuando -habiendo desplegado UNICAJA medidas apropiadas, incluyendo medidas de control posteriores al contrato con Grupo Control- existía una evidente intención de ocultación del incumplimiento de sus deberes contractuales y legales. Conviene señalar en primer término que, si bien el artículo 32 del RGPD establece una obligación considerada por la jurisprudencia como obligación de medios, los hechos probados demuestran una carencia total de implementación efectiva de las medidas de seguridad comprometidas y exigidas por la normativa. Por otra parte, conviene precisar que, en el marco de la relación contractual entre ambas partes, la titularidad de los sistemas de videovigilancia es de UNICAJA y Grupo Control le presta el servicio de videovigilancia a través de la CRA del Grupo Control. En dicho contrato, se incluye una Adenda de Encargo mediante el Anexo VII sobre el régimen de prestación de servicios con acceso a datos personales responsabilidad de UNICAJA (“Adenda de Encargo”) en el que “figuran, entre otras estipulaciones, que el encargado actuará siguiendo Instrucciones del responsable, que los datos personales tratados no podrán ser utilizados para ninguna otra finalidad distinta de la ejecución del servicio, que tendrán carácter confidencial y no serán publicados o puestos en conocimiento de terceras partes sin la autorización previa y por escrito del responsable.” El Anexo VIII del Contrato firmado por Grupo Control, en fecha 25 de mayo de 2023, Requisitos de Seguridad de la Información y Riesgo Tecnológico (“Protocolo de Seguridad”) impone también medidas de confidencialidad para Grupo Control y, de manera explícita, indica que éstas alcanzan a cualquier empleado de Grupo Control. Entre las medidas de seguridad que se establecen en este Protocolo, se indica expresamente que deben darse de alta usuarios y contraseñas nominales y que el proveedor deberá tener definido para cada aplicación o activo de información que pudiera albergar información de UNICAJA, los roles de seguridad o perfiles de usuarios de forma que garanticen los permisos estrictamente necesarios de cada usuario para la prestación del servicio. En el apartado medidas de seguridad para el caso de cuentas de servicio, se incluye claramente la exigencia de que existan C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/55 usuarios nominativos siguiendo la política de nomenclaturas de UNICAJA. No obstante, las actuaciones de investigación llevadas a cabo han permitido constatar, no existiendo controversia al respecto al haber sido admitido por UNICAJA, que todos los empleados de Grupo Control accedían a las imágenes del sistema de videovigilancia de UNICAJA mediante un único usuario genérico. La investigación constata la ausencia de las medidas técnicas y organizativas mínimas exigidas por el propio contrato y por la debida gestión de riesgos de datos sensibles que impone la normativa. La falta de trazabilidad intrínseca al usuario genérico es, per se, una medida inadecuada al riesgo, contraviniendo directamente el artículo 32 del RGPD. Esto se relaciona directamente con el principio de responsabilidad proactiva del responsable del tratamiento previsto en el artículo 5.2 del RGPD que establece que «el responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (“responsabilidad proactiva”)». Esto significa que el responsable deberá garantizar la aplicación efectiva de los principios del tratamiento tanto en el momento de determinar los medios del tratamiento como durante el tratamiento en sí, bien lleve a cabo el tratamiento de datos personales directamente o encargue a un encargado del tratamiento que lo realice por su cuenta (a efectos de la normativa de protección de datos es lo mismo), a través de la articulación de una serie de medidas técnicas y organizativa de todo tipo, las cuales deberán ser objeto de revisión y actualización periódica. Ello implica que el responsable es el que asume su propia responsabilidad dirigiendo, revisando y coordinando el tratamiento, incluyendo el realizado por el encargado del tratamiento que le presta servicios. En el caso que nos ocupa, el contrato establecía las medidas nominales, pero el responsable del tratamiento, UNICAJA, no supervisó ni verificó que se implementaran. La investigación demuestra que la configuración real difería de la contractual. Asimismo, la falta de trazabilidad (registros de accesos que solo se conservan 90 días) impide al responsable auditar a posteriori los accesos no justificados. UNICAJA es la responsable del tratamiento, es el garante final de que los datos se traten de forma segura. Delegar la ejecución no exime de la responsabilidad de verificar el cumplimiento. La falta de implementación de controles de acceso lógico efectivos es responsabilidad última de UNICAJA. El TJUE, en su sentencia de 14 de diciembre de 2023, asunto C-340/21 (VB), ha declarado que la carga de la prueba del cumplimiento de las obligaciones derivadas de los artículos 5, apartado 1, letra f), y 32 del RGPD corresponde al responsable del tratamiento, en virtud del principio enunciado en el artículo 5, apartado 2, del RGPD y desarrollado en su artículo 24: “49 A este respecto, procede recordar, en primer lugar, que el artículo 5, apartado 2, del RGPD establece un principio de responsabilidad en virtud del cual el responsable del tratamiento es responsable del respeto de los principios relativos al tratamiento de datos personales enunciados en el apartado 1 de ese artículo y estipula que este responsable debe ser capaz de demostrar la conformidad del tratamiento con dichos principios. 50 En particular, el responsable del tratamiento debe, de conformidad con los principios de integridad y de confidencialidad de los datos personales establecidos en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/55 el artículo 5, apartado 1, letra f), de dicho Reglamento, garantizar que estos datos son tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas y debe ser capaz de demostrar la conformidad con los referidos principios. 51 Asimismo, procede señalar que tanto el artículo 24, apartado 1, del RGPD, en relación con el considerando 74 de este, como el artículo 32, apartado 1, del mismo Reglamento obligan al responsable del tratamiento, para todo tratamiento de datos personales realizado por él mismo o por su cuenta, a aplicar medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el Reglamento. 52 Del tenor de los artículos 5, apartado 2, 24, apartado 1, y 32, apartado 1, del RGPD se desprende inequívocamente que la carga de la prueba de que los datos personales se tratan de modo que se garantiza una seguridad adecuada, en el sentido de los artículos 5, apartado 1, letra f), y 32 de dicho Reglamento, incumbe al responsable del tratamiento en cuestión [véanse, por analogía, las sentencias de 4 de mayo de 2023, Bundesrepublik Deutschland (Buzón electrónico judicial), C 60/22, EU: C:2023:373, apartados 52 y 53, y de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C 252/21, EU:C:2023:537, apartado 95].” Tal y como se ha ido señalando a lo largo del procedimiento sancionador, la culpabilidad se deriva directamente de la negligencia grave al no asegurarse de la implementación efectiva de las medidas de seguridad comprometidas ni ejercer la debida diligencia en la supervisión del encargado del tratamiento. UNICAJA tenía conocimiento, a través de su propio Análisis de Impacto (EIPD), de que existían riesgos que requerían medidas de control de acceso lógico específicas, pero se implantó un sistema genérico que comprometía la trazabilidad de forma continuada. La infracción no se basa en una "obligación de resultado" imposible, sino en el incumplimiento de las obligaciones de medios razonables y pactados que, de haberse implementado, habrían garantizado un nivel de seguridad adecuado al riesgo, tal como exige el artículo 32 del RGPD. En consecuencia, las alegaciones deben ser desestimadas. SEGUNDA. Falta de objeto del procedimiento sancionador. UNICAJA señala que ha iniciado trámites para abordar aquellos elementos que pudieran presentar áreas de mejora y considera que esto lleva inevitablemente a la desaparición del objeto del procedimiento. Sin embargo, esta circunstancia no impide que nos encontremos ante una infracción consumada en el momento de la apertura del procedimiento sancionador y por todo el período de duración de la situación irregular. TERCERA. Falta de motivación en la tipificación del hecho infractor. Alega que, en el Acuerdo de Inicio, la AEPD decide tipificar los hechos objeto del procedimiento sancionador en el tipo recogido en el art. 73.
16. f)LOPDGDD, pero no da C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/55 ninguna justificación de cómo los hechos se subsumen en ese tipo, ya que ese tipo no es aplicable a los hechos que supuestamente se pretenden atribuir a UNICAJA y no se puede justificar y que la falta de motivación en este punto es esencial puesto que en relación con las infracciones del art.32 RGPD, la LOPDGDD recoge diversos tipos en el art. 73 LOPDGDD. A este respecto, se significa que la exigencia de motivación de los actos administrativos, como señala entre otras la STS de 19 de nov 2001 (Rec. 6690/2000) tiene su engarce constitucional en el principio de legalidad que establece el artículo 103 CE, así como en la efectividad del control jurisdiccional de la actuación de la Administración reconocido en el artículo 106 CE, siendo en el plano legal, el artículo 35.1 de la Ley 39/2015, del Procedimiento Administrativo Común de las Administraciones Públicas, el precepto que concreta los actos que han de ser motivados. Dicha exigencia responde, según reiterada doctrina jurisprudencial, de la que es exponente la STS 16 de julio de 2001 (Rec. 92/1994), a la finalidad de que el interesado pueda conocer el cuándo, cómo y por qué de lo establecido por la Administración, con la amplitud necesaria para la defensa de sus derechos e intereses, permitiendo también, a su vez, a los órganos jurisdiccionales el conocimiento de los datos fácticos y normativos que les permitan resolver la impugnación judicial del acto, en el juicio de su facultad de revisión y control de la actividad administrativa; de tal modo que la falta de esa motivación o su insuficiencia notoria, en la medida que impiden impugnar ese acto con seria posibilidad de criticar las bases y criterios en que se funda, integran un vicio de anulabilidad, en cuanto dejan al interesado en situación de indefensión. Motivación de los actos administrativos, que como señala la STS de 29 de marzo de 2012 (Rec. 2940/2010, por todas), no exige ningún razonamiento exhaustivo y pormenorizado, debiendo expresar las razones que permitan conocer los criterios esenciales que fundamentan la decisión “facilitando a los interesados el conocimiento necesario para valorar la corrección o incorrección jurídica del acto a los efectos de ejercitar las acciones de impugnación que el ordenamiento jurídico establece y articular adecuadamente sus medios de defensa”. Pues bien, en el presente procedimiento no cabe apreciar la falta de motivación. Cuestión distinta es que la reclamada discrepe legítimamente de dicha argumentación, pero ello no implica la inexistencia de motivación suficiente en la tipificación del hecho infractor. En todo caso, según se expresa en el Fundamento de Derecho V, la vulneración del artículo 32 del RGPD se tipifica como infracción en el artículo 83.4 del mismo Reglamento, que, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/55
17. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” Por otra parte, la calificación de las infracciones recogida en la LOPDGDD se establece a los únicos efectos de la prescripción de las infracciones. A estos meros efectos de la prescripción, las conductas tipificadas en el artículo 83.4 del RGPD se incardinan en el artículo 73 de la LOPDGDD, que las califica como grave con un plazo de prescripción de dos años. Se da la circunstancia, por otra parte, de que el supuesto de hecho analizado coincide exactamente con el establecido en el citado artículo 73.
18. f)de la LOPDGDD. En consecuencia, las alegaciones deben ser desestimadas. CUARTA. - Falta de proporcionalidad de la sanción impuesta. Sobre esta cuestión relativa a la cuantía de la multa, cabe remitirse a lo expuesto en el Fundamento de Derecho VI, en el que se detallan las circunstancias valoradas para determinar el importe de la sanción que se propone y dan respuesta a las alegaciones formuladas al respecto por UNICAJA. No obstante, se estima oportuno realizar las precisiones siguientes en relación con las cuestiones suscitadas por dicha entidad: 1. Considera que teniendo en cuenta los hechos que concurren en el presente caso, la imposición de una sanción económica por el importe determinado en el acuerdo de apertura del procedimiento y que la AEPD obvia que en este caso es más adecuado ordenar la adopción de una medida correctiva, la cual, además, ya ha sido adoptada por UNICAJA voluntariamente por lo que considera que realmente, lo adecuado es archivar el procedimiento sin imponer ninguna sanción. En cuanto al principio de proporcionalidad, la STS, Sala 3ª, de 16 de diciembre de 2003 (Rec. 4996/98) ya señalaba que este principio exige que "la discrecionalidad que se otorga a la Administración para la aplicación de la sanción se desarrolle ponderando en todo caso las circunstancias concurrentes, al objeto de alcanzar la debida proporcionalidad entre los hechos imputados y la responsabilidad exigida". Principio de proporcionalidad que no se entiende vulnerado, considerándose proporcionada la sanción propuesta a la entidad, por los hechos probados y ponderadas las circunstancias concurrentes que se detallan más adelante. Ahora bien, frente a lo alegado, procede señalar varias cosas: En primer lugar, el artículo 83.1 RGPD establece que las multas administrativas por las infracciones del RGPD deben ser “…en cada caso individual efectivas, proporcionadas y disuasorias”, indicando a continuación en el apartado 2 del citado precepto, que “Las multas administrativas se impondrán en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas…”. Estableciendo a continuación determinadas circunstancias a tener en cuenta. Así, el cálculo del importe de las multas queda a decisión de la autoridad de control, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/55 con sujeción a las normas previstas en el RGPD. En este contexto, el RGPD exige, como se ha señalado, que el importe de la multa sea en cada caso efectivo, proporcionado y disuasorio (artículo 83, apartado 1, del RGPD). Además, al fijar el importe de la multa, las autoridades de control tendrán debidamente en cuenta una lista de circunstancias que se refieren a las características de la infracción (su gravedad) o al carácter del autor (artículo 83, apartado 2, del RGPD). Por último, el importe de la multa no excederá de los importes máximos previstos en el artículo 83, apartado 4, apartados 5 y 6, del RGPD. Por lo tanto, la cuantificación del importe de la multa se basa en una evaluación específica realizada en cada caso, dentro de los parámetros previstos por el RGPD. Además, debe tenerse en cuenta que el cálculo de una multa no es un mero ejercicio matemático, siendo las circunstancias del caso específico los factores determinantes que conducen a la cantidad final, que puede ser, en todos los casos y para cada infracción, una cantidad distinta hasta el máximo legal. Como consideración general y final, procede señalar que la sanción propuesta no vulnera el principio de proporcionalidad. Así, debe recordarse que el artículo 83.4, donde se encuentran tipificada la infracción del artículo 32 establece unos límites en las cuantías de las multas que se pueden imponer muy alejados de la que se ha establecido en este acto. Recordemos en este punto lo manifestado por el TJUE en la sentencia dictada en el asunto C-683-21. 78 La existencia de un sistema de sanciones que permita imponer, cuando las circunstancias específicas de cada caso lo justifiquen, una multa administrativa con arreglo al artículo 83 del RGPD crea un incentivo para que los responsables y encargados del tratamiento cumplan el Reglamento. Con su efecto disuasorio, las multas administrativas contribuyen a reforzar la protección de las personas físicas en lo que respecta al tratamiento de datos personales y constituyen, por ende, un elemento clave para garantizar el respeto de los derechos de dichas personas, de conformidad con la finalidad del citado Reglamento de asegurar un elevado nivel de protección de esas personas en lo que respecta al tratamiento de los datos personales. Asimismo, la reciente STJUE de 13 de febrero de 2025, en el asunto C-383/23, dispone que la imposición de una multa exige en el examen de cada caso particular de una serie de elementos previstos en el artículo 83 del RGPD, del que el volumen de negocios es un elemento más (ni el único ni el determinante), para imponer una multa que sea proporcional, disuasoria y efectiva y se refuerce, de esta forma, la protección de las personas físicas. Sobre esta cuestión, después de detallar el contenido de los apartados 1 y 2 del artículo 83 del RGPD, declara: 29 Aunque estos elementos no hacen referencia al concepto de empresa, en el sentido de los artículos 101 TFUE y 102 TFUE, el Tribunal de Justicia ya ha declarado que solamente una multa que tenga en cuenta no solo todos los elementos que caractericen las infracciones del RGPD constatadas, sino también, en su caso, la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/55 capacidad económica real o material de su destinatario, reúne los tres requisitos establecidos en el artículo 83, apartado 1, del RGPD, a saber, ser a la vez efectiva, proporcionada y disuasoria...”. Asimismo, la Sentencia del TJUE, de 13 de junio de 2013, Versalis Spa/Comisión, C511/11, ECLI:EU:C:2013:386, dice: “94. Respecto, en primer lugar, a la referencia a la sentencia Showa Denko/Comisión, antes citada, es preciso señalar que Versalis la interpreta incorrectamente. En efecto, el Tribunal de Justicia, al señalar en el apartado 23 de dicha sentencia que el factor disuasorio se valora tomando en consideración una multitud de elementos y no sólo la situación particular de la empresa de que se trata, se refería a los puntos 53 a 55 de las conclusiones presentadas en aquel asunto por el Abogado General Geelhoed, que había señalado, en esencia, que el coeficiente multiplicador de carácter disuasorio puede tener por objeto no sólo una «disuasión general», definida como una acción para desincentivar a todas las empresas, en general, de que cometan la infracción de que se trate, sino también una «disuasión específica», consistente en disuadir al demandado concreto para que no vuelva a infringir las normas en el futuro. Por lo tanto, el Tribunal de Justicia sólo confirmó, en esa sentencia, que la Comisión no estaba obligada a limitar su valoración a los factores relacionados únicamente con la situación particular de la empresa en cuestión.” “102. Según reiterada jurisprudencia, el objetivo del factor multiplicador disuasorio y de la consideración, en este contexto, del tamaño y de los recursos globales de la empresa en cuestión reside en el impacto deseado sobre la citada empresa, ya que la sanción no debe ser insignificante, especialmente en relación con la capacidad financiera de la empresa (en este sentido, véanse, en particular, la sentencia de 17 de junio de 2010, Lafarge/Comisión, C-413/08 P, Rec. p. I-5361, apartado 104, y el auto de 7 de febrero de 2012, Total y Elf Aquitaine/Comisión, C-421/11 P, apartado 82).” 2. En cuanto a la inexistencia de beneficio obtenido por razón de la infracción, cabe indicar que el artículo 83.2.
19. k)del RGPD se refiere a “cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Y el artículo 76.2c) de la LOPDGDD dice que “2. De acuerdo con lo previsto en el artículo 83.2.
20. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta: [..]
21. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.” Ambas disposiciones mencionan como factor que puede tenerse en cuenta en la graduación de la sanción los “beneficios” obtenidos, pero no la “ausencia” de éstos. Además, conforme al artículo 83.1 del RGPD la imposición de las sanciones de multa está presidida por los siguientes principios: deberán estar individualizadas para cada caso particular, ser efectivas, proporcionadas y disuasorias. La admisión de que opere como una atenuante la ausencia de beneficios es contraria al espíritu del artículo 83.1 del RGPD y a los principios por los que se rige la determinación del importe de la sanción de multa. Si a raíz de la comisión de una infracción del RGPD se califica como atenuante que no han existido beneficios, se anula en parte la finalidad disuasoria que se cumple a través de la sanción. Aceptar la tesis de la reclamada en un supuesto como el que nos ocupa supondría introducir una rebaja artificial en la sanción que verdaderamente procede imponerse; la que resulta de considerar las circunstancias C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/55 del artículo 83.2 RGPD que sí deben de ser valoradas. La Sala de lo Contencioso Administrativo de la Audiencia Nacional ha advertido que, el hecho de que en un supuesto concreto no estén presentes todos los elementos que integran una circunstancia modificativa de la responsabilidad que, por su naturaleza, tiene carácter agravante, no puede llevar a concluir que tal circunstancia es aplicable en calidad de atenuante. El pronunciamiento que hace la Audiencia Nacional en su SAN de 5 de mayo de 2021 (Rec. 1437/2020) -por más que esa resolución verse sobre la circunstancia del apartado
22. e)del artículo 83.2. del RGPD, la comisión de infracciones anteriores- es extrapolable a la cuestión planteada, la pretensión de la reclamada de que se acepte como atenuante la “ausencia” de beneficios siendo así que tanto el RGPD como la LOPDGDD se refieren solo a “los beneficios obtenidos”. 3. En cuanto a la prescripción, procede señalar que la AEPD ha tomado como referencia los hechos probados a partir del contrato suscrito por UNICAJA y Grupo Control en fecha 01/01/2023 y que la infracción por falta de medidas de seguridad por la que se sanciona no ha prescrito. 4. La Sala de lo Contencioso Administrativo de la Audiencia Nacional ha advertido que, el hecho de que en un supuesto concreto no estén presentes todos los elementos que integran una circunstancia modificativa de la responsabilidad que, por su naturaleza, tiene carácter agravante, no puede llevar a concluir que tal circunstancia es aplicable en calidad de atenuante. El pronunciamiento que hace la Audiencia Nacional en su SAN de 5 de mayo de 2021 (Rec. 1437/2020) -por más que esa resolución verse sobre la circunstancia del apartado
23. e)del artículo 83.2. del RGPD, la comisión de infracciones anteriores- es extrapolable a las cuestiones planteadas por la reclamada IV Obligación incumplida. Seguridad del tratamiento Establece el artículo 32 del RGPD, seguridad del tratamiento, lo siguiente: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
24. a)la seudonimización y el cifrado de datos personales;
25. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
26. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
27. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/55 consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. Así, dicho precepto obliga la adopción de medidas de seguridad, que pueden ser de índole técnica u organizativa y que deberán ser adecuadas al riesgo del tratamiento de datos personales realizados. A sensu contrario dicho precepto se vería vulnerado si no se adoptasen dichas medidas que, adecuadas al riesgo y con carácter general, garantizasen la seguridad del tratamiento. De la documentación incorporada a las actuaciones resulta evidente la ausencia de adopción de medidas técnicas y organizativas de seguridad apropiadas con el fin de garantizar un nivel de seguridad adecuado al riesgo. En el Anexo VIII del Contrato de prestación de servicios entre UNICAJA y grupo control, suscrito en fecha 1 de enero de 2023, se indica entre las medidas de seguridad que se establecen bajo el título “Requisitos de Seguridad de la Información y Riesgo Tecnológico”, que deben darse de alta usuarios y contraseñas nominales. Así consta en su punto 3.5.2: “3.5.2. Medidas de seguridad en aplicativos EI PROVEEDOR se compromete a que todo aplicativo que almacene o procese información propiedad de UNICAJA BANCO dará cumplimiento a las siguientes medidas de seguridad: - Previo a la prestación del servicio el PROVEEDOR tendrá definido para cada aplicación o activo de información que pudiera albergar información de UNICAJA BANCO los roles de seguridad o perfiles de usuarios de forma que se garantice para cada usuario los permisos estrictamente necesarios para la prestación del servicio. - EI PROVEEDOR deberá tener la capacidad de obtener un listado de usuarios con privilegios de acceso a los sistemas que tratan información de UNICAJA BANCO. En cumplimiento de los requisitos de trazabilidad de UNICAJA BANCO todo usuario que acceda a un sistema con información de UNICAJA BANCO deberá ser nominativo, no permitiéndose la compartición de cuentas de usuarios entre los empleados del PROVEEDOR o en los que este pueda delegar. Sin embargo, las actuaciones de investigación llevadas a cabo han permitido constatar que el sistema se configuró con un único usuario genérico, siendo el personal de Grupo Control el que utilizaba dicho usuario genérico. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/55 Se ha aportado un listado del personal de GRUPO CONTROL con permisos de acceso, siendo de 10 operadores (categoría de operadores telefónicos) y un jefe de sala (coordinador), que accedían al sistema de visualización de las imágenes bajo dicho usuario genérico. UNICAJA en su condición de responsable del tratamiento, dado que es quien determina los fines y los medios relacionados con el tratamiento de los datos de carácter personal, en virtud del artículo 4.7 del RGPD, debe asumir dicha responsabilidad. Como responsable del tratamiento se debe encargar de adoptar o verificar que se adoptan efectivamente las medidas técnicas y organizativas que salvaguarden la seguridad de los datos personales, controlar que son debidamente aplicadas y ser capaz de demostrar el cumplimiento del RGPD y de la LOPDGDD. Si bien consta un estudio previo de Análisis de Impacto donde han sido consideradas medidas de seguridad específicas sobre el control de acceso lógico a las imágenes, no consta que hayan sido implementadas, al estar configurado un único usuario de acceso genérico al sistema de videovigilancia, de forma continuada, para todos los empleados de la CRA. Asimismo, las actuaciones de investigación han permitido constatar que no se revisaron por parte de UNICAJA los perfiles de acceso al inicio de la ejecución de los servicios que presta Grupo Control, habiéndose realizado una auditoría al respecto en septiembre de 2024, cuando UNICAJA ya tenía conocimiento de las investigaciones que esta AEPD estaba realizando, la cual confirmó la falta de aquella medida de seguridad en el control de los accesos por los empleados de Grupo Control a los sistemas de videovigilancia de UNICAJA. Por otra parte, se observa también que las medidas dispuestas no garantizan una adecuada trazabilidad de los accesos, ya que éstos sólo se conservan durante 90 días. La responsabilidad del reclamado viene determinada por la falta de las indicadas medidas de seguridad, ya que es responsable de tomar decisiones destinadas a adoptar e implementar de manera efectiva las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, para asegurar la confidencialidad de los datos o evitar que se produzcan accesos no necesarios o excesivos por parte de los trabajadores. Por tanto, la no adopción de dichas medidas de seguridad adecuadas al riesgo por parte del responsable supone un incumplimiento de lo establecido en el artículo 32 del RGPD, siendo tales hechos constitutivos de una infracción imputable a UNICAJA por vulneración del citado precepto. V Tipificación de la infracción del artículo 32 del RGPD La citada infracción del artículo 32 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/55 “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
28. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
29. f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679.” VI Propuesta de sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la im