Video Gözetim Sisteminde Erişim İzlenebilirliği

1/55

 Expediente N.º: EXP202404507

RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: En fecha 24 de febrero de 2025, la AEPD acordó iniciar procedimiento
sancionador UNICAJA BANCO, S.A.U. con NIF A93139053. Notificado el acuerdo de
inicio y tras analizar las alegaciones presentadas, en fecha 16 de enero de 2026, se
emitió la Propuesta de resolución que a continuación se transcribe:

<<
Expediente N.º: EXP202404507

PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes:
ANTECEDENTES

PRIMERO: Denuncias ante la Agencia Española de Protección de Datos

Como consecuencia de una denuncia, la Agencia Española de Protección de Datos ha
tenido conocimiento de ciertos hechos que podrían constituir una posible vulneración
de la normativa de protección de datos, imputable a UNICAJA BANCO, S.A.U. con NIF
A93139053 (en adelante, UNICAJA), en relación con el sistema establecido para el
procesamiento, análisis, gestión y custodia de las imágenes captadas por los sistemas
de videovigilancia utilizados por UNICAJA como elemento preventivo ante la comisión
de delitos.

Según los hechos denunciados, la entidad UNICAJA tenía una Central Receptora de
Alarmas (en adelante, CRA) formada por once operarios que trabajaban para Gestión
de Actividades y Servicios Empresariales S.L. (en adelante, GDA), empresa de
servicios del grupo de empresas de UNICAJA, que realizaba, además del servicio de
CRA, funciones de seguridad privada, a pesar de no estar inscrita en el listado de
empresas de seguridad de la Unidad de Seguridad Privada de la Dirección General de
la Policía, requisito necesario para poder realizar dichas funciones.

De acuerdo con la denuncia, en fecha 18 de marzo de 2019, UNICAJA contrató la
actividad de CRA con la entidad de seguridad privada Grupo Control Empresa de
Seguridad, S.A. (en adelante, Grupo Control), a la que se incorporaron los once
trabajadores de GDA que, además de las funciones de CRA, llevaban a cabo el
procesamiento, análisis, gestión y custodia de imágenes captadas por los sistemas de
videovigilancia, pudiendo acceder sin ningún control ni límite a todos los equipos,
programas y material disponible, en cualquiera de los puestos que ocuparan,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

2/55

compartiendo perfil de usuario y con acceso a información muy sensible.

SEGUNDO: Acuerdo de realización de actuaciones previas de investigación

Como consecuencia de los hechos conocidos, en fecha 22 de marzo de 2024, la
Directora de la Agencia Española de Protección de Datos instó a la Subdirección
General de Inspección de Datos (SGID) a iniciar las actuaciones previas de
investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales
(en adelante, LOPDGDD).

TERCERO: Actuaciones previas de investigación.

La Subdirección General de Inspección de Datos procedió a la realización de
actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VIII, de la LOPDGDD.

Se examina, en primer término, la documentación adjunta a la denuncia, consistente
en su mayoría en correos electrónicos dirigidos a la CRA, remitidos principalmente por
el Departamento de Seguridad de UNICAJA, que reflejan solicitudes de acceso a
imágenes, y correos de contestación con el resultado de las comprobaciones
realizadas sobre las imágenes del sistema de videovigilancia.

Como ejemplo de estos correos pueden citarse los siguientes casos:

. Mediante correo de fecha 31/03/2023 13:57h se solicita una comprobación de
imágenes a la CRA desde el Departamento de Seguridad, que pide informe de
visionado de unas imágenes ya solicitadas con relación a un reintegro
supuestamente con suplantación de identidad, para determinar si se trata o no
del cliente (se realizó la petición de custodia de las imágenes previa). Se indica
la fecha y hora de interacciones en el sistema de información para la operación
y se adjuntan imágenes de los anversos de los DNI del empleado y del cliente.
En la contestación, la CRA indica “Buenos días, se observa por las cámaras
que la persona que hace el reintegro en la Caja a las 08.33 no es el mismo del
DNI adjunto. […] el cliente le entrega al empleado de Caja un DNI”.

Mediante correo de fecha 11/05/2023 el Departamento de Seguridad de
UNICAJA reenvía una solicitud de comprobación de imágenes capturadas el
día 31/01/2023 indicando que se debieron guardar por solicitud de la policía. Se
indica que se trata de una suplantación de identidad de una clienta, se aportan
datos de fecha, hora y sucursales, y se solicita si es posible la confirmación de
que no fue la cliente, de la que se aporta fotografía extraída del DNI.

Por otra parte, durante las actuaciones ha sido requerida la siguiente información y
documentación a UNICAJA, con el siguiente resultado:

PUNTO 1.A Se ha solicitado copia del contrato o contratos suscritos con Grupo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

3/55

Control para el Sistema de Videovigilancia y servicio CRA. Se ha pedido aportar todas
las cláusulas de protección de datos, incluidas Adendas o Anexos firmados al efecto.

UNICAJA ha aportado copia del contrato formalizado en fecha 1 de enero de 2023, en
el que consta incorporado, como Anexo VII, la Adenda de Encargado del tratamiento
de datos personales responsabilidad de UNICAJA. Incluye un Anexo VIII con
Requisitos de Seguridad de la Información.

Se verifica que en la Adenda de Encargo de tratamiento citada figuran, entre otras
estipulaciones, que el encargado actuará siguiendo Instrucciones del responsable, que
los datos personales tratados no podrán ser utilizados para ninguna otra finalidad
distinta de la ejecución del servicio, que tendrán carácter confidencial y no serán
publicados o puestos en conocimiento de terceras partes sin la autorización previa y
por escrito del responsable. Figuran así mismo, referencias a las medidas de
seguridad y sobre la devolución o destrucción de los datos al finalizar la relación.

Indican que desean poner de manifiesto que UNICAJA tiene aprobado un
Procedimiento Interno de Homologación de Proveedores/Encargados del Tratamiento,
a fin de verificar que ofrecen garantías suficientes en materia de protección de datos
personales, de conformidad con lo establecido en el artículo 28.1 del RGPD.

Aportan para este caso la cumplimentación del Cuestionario con la referida
homologación, manifestando que, con base en las respuestas consignadas, Grupo
Control ofrece suficientes garantías en lo que respecta a conocimientos
especializados, fiabilidad y recursos, de cara a la aplicación de medidas técnicas y
organizativas que cumplan los requisitos de la normativa vigente en materia de
protección de datos, incluida la seguridad del tratamiento, es decir, que ofrece
suficientes garantías para actuar como Encargado del Tratamiento de la entidad.

Se verifica que en el cuestionario citado consiste en unas preguntas de control al
encargado al objeto de determinar si ofrece suficientes garantías con relación a la
protección de datos de carácter personal. Sobre las medidas técnicas y organizativas
se indica: “¿Existe una política de control y acceso sobre los soportes que contienen
datos personales? Sí”.

Se ha requerido copia del contrato con Grupo Control anterior en fecha, aportando la
entidad copia de un contrato de 26 de febrero de 2019.

PUNTO 1.B Descripción de los servicios contratados con Grupo Control con relación al
sistema de videovigilancia.

Indican que los servicios objeto del contrato vienen recogidos en su Cláusula Segunda
que establece:

"El objeto del presente contrato es la realización por Grupo Control, en la Central
Receptora de Alarmas propia de Grupo Control, de los servicios de concesión y
gestión de alarmas de las oficinas, edificios y locales de Unicaja Banco, tanto las que
hasta la fecha están siendo gestionadas desde la Central Receptora de Alarmas
explotada por Grupo Control y sita en ***DIRECCIÓN.1, como los nuevos centros que
se conectarán directamente a la CRA de Grupo Control. El servicio, por tanto,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

4/55

consistirá en la recepción, verificación (no personal) y, en su caso, transmisión de las
señales de alarma, relativa a la seguridad y protección de personas y bienes a las
Fuerzas y Cuerpos de Seguridad competentes, según dispone el Artículo 5.1.g) de la
Ley 5/2014, de 4 de abril de Seguridad Privada. Es también objeto de Servicio la
recepción, seguimiento y notificación al cuerpo de Bomberos de las señales de
incendio de las instalaciones conectadas."

Se verifica que en dicha Cláusula Segunda se cita que “para una mayor claridad
expositiva” los servicios expresamente incluidos son: la” explotación de centrales de
alarmas”, y la “verificación de alarmas por imágenes o CCTV”.

Indican que el Servicio se corresponde con el definido en el Pliego Técnico de
licitación como "escenario 2" que aportan adjunto al contrato como Anexo I. En este
Pliego, se recoge en el Apartado 3, relativo a los Requerimientos de Servicio la
“Descarga de vídeo”. Se verifica que consta en el apartado 3 la descarga de video, y
se cita sobre ella que “La descarga de imágenes será realizada por cuenta de Unicaja
Banco a través del servicio específico contratado a este respecto …”.

Asimismo, en la Cláusula Octava “Sistemática” se indica que UNICAJA concede los
permisos necesarios a la Empresa para el acceso, tratamiento y registro informático de
las imágenes.

Indican que consta, en la Adenda de Encargado, expresamente establecida y regulada
la actividad de tratamiento de Videovigilancia (Cláusula Primera). Se verifica que en la
referida Adenda (anexo VII al contrato), en la cláusula primera consta “Gestión de
Central Receptora de Alarmas” como objeto de tratamiento y como finalidad de
tratamiento constan entre otras “Seguridad Privada”, “Seguridad y control de acceso a
edificios” y “Videovigilancia”. En tipos de datos personales entre otros consta
“imágenes” y en categorías de interesados “clientes”, “potenciales clientes”,
“empleados y asimilados”, así como “proveedores”.

PUNTO 1.C Se ha solicitado copia de la documentación acreditativa sobre la
autorización de la empresa, por el órgano administrativo competente del Ministerio del
Interior, como empresa de seguridad privada, número de acreditación y fecha de esta.

Adjuntan certificado emitido por la Dirección General de la Policía, en el que consta
que Grupo Control se encuentra inscrita en el Registro Nacional de Seguridad Privada
del Ministerio del Interior con el núm. XXX, desde el 27 de noviembre de 1986 y
autorizada para ejercer en el ámbito nacional, entre otras, las actividades de
instalación y mantenimiento de aparatos, equipos, dispositivos y sistemas de
seguridad conectados a centrales receptoras de alarma o a centros de control o de
videovigilancia, y la explotación de centrales para la conexión, recepción, verificación y
en su caso, respuesta y transmisión de las señales de alarmas, así como la
monitorización de cualesquiera señales de dispositivos auxiliares para la seguridad de
personas, de bienes muebles o inmuebles o de su cumplimiento de medidas
impuestas, y la comunicación a las Fuerzas y Cuerpos de Seguridad competentes en
estos casos.”

PUNTO 1.D Se ha solicitado copia de la documentación que permita comprobar que la
empresa de seguridad ha notificado las características de la citada instalación a la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

5/55

autoridad competente en materia de seguridad privada.

Indican que la titularidad de los sistemas de videovigilancia es de UNICAJA, prestando
Grupo Control el servicio de videovigilancia a través de la CRA y que las
características de la instalación fueron comunicadas a la autoridad competente,
mediante el registro del contrato formalizado entre UNICAJA y la empresa instaladora
S&C Automatismos de Seguridad, S.L. (en adelante Automatismos S&C) de fecha 1 de
enero de 2023. Se verifica que el contrato quedó registrado ante la Policía Nacional,
con fecha 15 de febrero de 2023.

PUNTO 2.A Se ha solicitado el listado de las personas de la CRA de ***LOCALIDAD.1
que han tenido acceso al sistema de visualización de imágenes del Sistema de
Videovigilancia de UNICAJA desde enero de 2023 a la fecha del requerimiento,
incluido personal dado de baja en este periodo. En la inspección de trabajo girada el
19/05/2023 al servicio de CRA se mencionaban 11 personas.

Aportan listado de 11 personas (personal de Grupo Control) de las cuales 10 son
operadores, con categoría de operadores telefónicos, y uno jefe de sala (coordinador).

Sobre las funciones desempeñadas indican:
- Gestión de alarmas según protocolo definido por el departamento de Seguridad de
Unicaja.
- Atención telefónica de las llamadas del departamento de CRA.
- Gestión de emails de la cuenta del departamento de CRA.
- Apertura garaje acceso al edificio donde se encuentra ubicada la CRA.

Entre otras, realizan las funciones de visionado de imágenes grabadas, así como
comprobaciones sobre las mismas, tales como las reflejadas en los correos
electrónicos de los casos que fueron adjuntados al requerimiento.

Destacan los siguientes apartados del Contrato de Prestación de Servicios de
Seguridad suscrito con la entidad Grupo Control, de fecha 1 de enero de 2023:
- Estipulación Quinta. - Obligaciones de Grupo Control
“Sin perjuicio de cuantas obligaciones constan en el presente contrato, se establecen
las siguientes de forma específica.
La organización. dirección, control, aseguramiento, retribución, disciplina y cuantas
obligaciones se derivan de la legislación para un empresario respecto a sus
trabajadores, corresponderán a Grupo Control, para con sus empleados asignados a
la prestación del servicio…”.

PUNTO 2.B Se ha solicitado información sobre si los trabajadores de la CRA tienen o
tenían firmados compromisos de confidencialidad.

Aportan copia de contratos de trabajo de los 11 empleados verificándose que en todos
ellos consta un compromiso de confidencialidad sobre los datos a los que acceda que
se extiende aun después de haber finalizado la relación laboral (punto 2.2 del
contrato), entre otras estipulaciones de protección de datos.

PUNTO 2.C Se ha requerido información sobre si cada persona tiene un usuario y
clave propios para el acceso al Sistema de Videovigilancia o si acceden con un usuario
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

6/55

genérico del Sistema. Se ha requerido listar el código de usuario de cada uno de ellos
y sus perfiles de acceso.

Manifiestan al respecto que el software de soporte al sistema de videovigilancia, que
administra la empresa instaladora/mantenedora que UNICAJA contrata para la
instalación de alarmas y CCTV, Automatismos S&C, establece un único usuario y
contraseña, a través del cual accede el personal que designe Grupo Control, conforme
a las atribuciones que el proveedor confiera a cada empleado.

Manifiestan también que en el Anexo VIII del Contrato de prestación de servicios entre
UNICAJA y Grupo Control, de fecha 1 de enero de 2023, que aportan, titulado
“Requisitos de Seguridad de la Información y Riesgo Tecnológico” (este Anexo firmado
en fecha 25/05/2023) entre las medidas de seguridad que se establecen, se indica que
deben darse de alta usuarios y contraseñas nominales. En el Hecho Probado Tercero
se detalla parte del contenido de este Anexo VIII relativo a las medidas de seguridad.
Por otra parte, sobre esta cuestión interesa destacar lo señalado sobre la política de
seguridad en la oferta realizad por Grupo Control para la contratación:

“Objetivos y principios de seguridad
El objetivo principal de la Política de Seguridad de la Información de Grupo Control
consiste en la protección de la información manejada por la empresa de las diferentes
partes interesadas, así como de los sistemas de información que dan soporte a los
productos y servicios prestados a los clientes...
La gestión de la seguridad estará fundamentada en la protección de la información
teniendo en cuenta las siguientes dimensiones de la seguridad:
Disponibilidad. La información debe estar disponible cuando se necesite
Integridad. La información debe ser exacta, veraz, y permanecer inalterada
Confidencialidad. El acceso a la información debe realizarse únicamente por
personal autorizado
Autenticidad. La información debe mantenerse auténtica en origen y en destino
Trazabilidad. Debe poder conocerse quién y cuándo ha accedido a la información,
y las operaciones realizadas sobre las misma”.

No se encuentran instrucciones giradas a Automatismos S&C, empresa que configuró
el usuario genérico, con relación a medidas de seguridad, específicas sobre políticas
de control de acceso lógico a las imágenes (política de usuarios y su configuración) en
el contrato de 2023 aportado, por lo que se ha requerido a UNICAJA en una solicitud
de información adicional para que aporte los contratos anteriores con Automatismos
S&C e información sobre la existencia de instrucciones giradas a esa entidad con
relación a medidas de seguridad, específicas sobre los usuarios y su configuración. Se
ha requerido aportar copia de estas en su caso.

Han aportado contratos anteriores al de la citada fecha, uno de enero de 2018 y otro
de junio de 2021, señalando los representantes de UNICAJA algunas instrucciones
giradas a Automatismos S&C con relación a medidas de seguridad, que no incluyen
instrucciones de seguridad de acceso lógico a las imágenes. Las instrucciones
facilitadas se refieren al Sistema Operativo, parches de seguridad, gestión de eventos,
copias de seguridad, etc.

No obstante, se comprueba que el contrato de enero de 2018 incluye un anexo III de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

7/55

protección de datos y seguridad informática. Consta además una adenda al contrato
donde se modifica la normativa de protección de datos y seguridad con nuevos anexos
III y IV, que también aportan. No se encuentran cláusulas en la documentación
aportada de 2021. Se encuentran las siguientes cláusulas concretas en el citado
ANEXO IV de 2018:

“1.4 EI Proveedor definirá los roles de seguridad adecuados, dentro de sus sistemas,
para garantizar que los accesos sean los estrictamente necesarios. Unicaja Banco se
reserva el derecho a auditar periódicamente los usuarios asignados a la prestación del
servicio.
1.5 Cualquier cambio en la prestación del presente servicio que implique una
modificación de los usuarios que participan en el mismo (alta, baja y/o modificación de
permisos), así como una modificación de los sistemas de información implicados en el
presente servicio, deberá ser comunicado de manera inmediata por el interlocutor del
Proveedor al interlocutor de Unicaja Banco.
1.6 EI Proveedor dispondrá de un sistema de backup que garantice la correcta
recuperación de los datos.
1.7 EI Proveedor se compromete a cumplir con toda la legislación vigente aplicable al
servicio que presta para Unicaja Banco, eximiéndose la entidad de toda
responsabilidad al respecto.
1.8 Todo trabajador del Proveedor que vaya a prestar servicios para Unicaja Banco
deberá conocer y acatar la Normativa de Seguridad de la Información en Unicaja
Banco.
1.9 De acuerdo con las políticas de seguridad de Unicaja Banco, los mecanismos de
identificación y autenticación para acceder a la red de Unicaja Banco deben ser
nominativos.”

También se encuentra suscrita con Automatismos S&C la Normativa General de
Seguridad de la Información en UNICAJA que cita:
“Identificación y control de acceso a la información
- Los sistemas de identificación y autenticación en Unicaja Banco están basados en
"identificador y contraseña", que deben ser personales e intransferibles, siendo el
usuario el único responsable de la custodia de las credenciales otorgadas, no
exponiéndolas a terceros.”

Cabe resumir que UNICAJA, entidad responsable de los tratamientos, contrató con
Automatismos S&C la instalación de los sistemas, configurando esta entidad un único
usuario genérico en la instalación, siendo el personal de Grupo Control el que utiliza
dicho usuario genérico.

No consta relación contractual entre Grupo Control y Automatismos S&C, siendo
ambas contratadas por UNICAJA. Se puede deducir que no han existido
comunicaciones entre estas entidades, directamente o a través de UNICAJA, sobre
qué usuarios se deben configurar para el acceso al sistema de videovigilancia.

Sí existe un canal de comunicación de incidencias entre ambas entidades, establecido
por UNICAJA según se refleja en el documento “Normas CRA Unicaja Banco,
Protocolos de actuación” (documento que se mencionará más adelante). En este
documento de instrucciones a Grupo Control sobre la gestión de las alarmas en la
CRA se cita, sobre las incidencias detectadas de funcionamiento del sistema que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

8/55

puedan ocurrir en el día a día con los sistemas instalados y mantenidos por
Automatismos S&C, lo siguiente:

“- Durante el día la CRA irá recopilando todas las incidencias detectadas consideradas
como no urgentes que deban resolverse por la empresa de mantenimiento de los
sistemas de seguridad del Banco (Automatismos S&C).
Al día siguiente todas estas incidencias se enviarán en un único archivo Word a
primera hora de cada mañana al buzón de correo electrónico [se especifica una
dirección de correo de Automatismos S&C].
- Las incidencias diarias consideradas por CRA como urgentes de resolver se enviarán
en el mismo momento de ser detectadas por la CRA al buzón [se especifica una
dirección de correo de Automatismos S&C]”.

PUNTO 3. Sobre los accesos específicos a que se refieren los correos intercambiados
en cada caso entre los departamentos y la CRA, sobre visionado de imágenes
grabadas y las comprobaciones realizadas sobre las mismas, se ha requerido aportar
información sobre los usuarios de la CRA que accedieron a las imágenes en cada
caso y sus funciones.

Manifiestan que queda registrado el usuario que accede durante 90 días, por lo que no
pueden aportar información del registro de accesos, debido al periodo al que se
refieren los accesos, de una antigüedad superior a 90 días. El registro de accesos
reflejaría en todo caso los accesos por el usuario genérico que está configurado para
su uso por parte todos los empleados de Grupo Control destinados en la CRA de
UNICAJA, así como la dirección IP, que podría identificar el equipo de la sala de la
CRA desde el que se accede.

PUNTO 4.A Se ha requerido información sobre si existen protocolos escritos sobre el
acceso a las imágenes por parte de la CRA y de UNICAJA, así como sobre las
peticiones de imágenes, conservación de las imágenes o comprobaciones sobre las
mismas por parte de la CRA, FFCC de Seguridad de Estado, Autoridades Judiciales, y
empleados de UNICAJA. Copia de los protocolos en su caso.

Los representantes de UNICAJA han manifestado al respecto que el protocolo se
encuentra como anexo VI al contrato, ya aportado, y que recoge las normas CRA de
UNICAJA.

Se verifica que el documento se titula “Normas CRA Unicaja Banco, Protocolos de
actuación”. Se comprueba que se trata de un protocolo de actuaciones con
instrucciones de cómo proceder ante señales de alarma, incluidas las comprobaciones
a realizar con el sistema de videovigilancia en caso de alarma, gestión de averías de
las comunicaciones, incendios, etc. pero no se especifica en el documento ninguna
instrucción ni información con relación a cómo proceder ante peticiones de accesos a
las imágenes almacenadas.

PUNTO 4.B Se ha requerido aportar copia de las normas internas, circulares, e
instrucciones dirigidas a la entidad Grupo Control y a su personal (de la CRA de
Unicaja) sobre la protección de los datos personales, en concreto, sobre la
visualización de imágenes y la respuesta a posibles peticiones de visualización o
extracción de imágenes del Sistema de Videovigilancia por parte de empleados de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

9/55

UNICAJA, así como la acreditación de las fechas en las que se han puesto en
conocimiento de los empleados de Grupo Control.

Los representantes de UNICAJA se remiten a los documentos contractuales con
Grupo Control, ya aportados, (contrato y anexos).

Se verifica que ni en el contrato, ni en el Anexo VII consistente en la Adenda de
encargado del tratamiento de datos personales, ni en el Anexo VIII de Requisitos de
Seguridad de la Información se encuentran instrucciones específicas sobre la
visualización de imágenes ni sobre cómo proceder o responder ante posibles
peticiones de visualización o extracción de imágenes del Sistema de Videovigilancia.

PUNTO 4.C Se ha requerido información sobre si existen instrucciones con respecto a
los datos de los clientes y empleados que se deben facilitar a la CRA para las
comprobaciones de visionado de imágenes.

A este respecto los representantes de la entidad han manifestado lo siguiente:

“Las revisiones solicitadas por el área de Auditoría Interna en las que se precisa del
conocimiento del contenido de las cámaras de seguridad van siempre asociadas a un
caso o investigación de fraude, ya sea de carácter interno o externo, y actuaciones de
investigación. Por tal razón y, dado que las peticiones de visualización de imágenes de
Auditoría Interna se realizan siempre en un escenario interno / privado / restringido, es
el Departamento de Seguridad el responsable de su visualización con base en la
información que desea obtener Auditoría Interna (quien facilita la información oportuna
que motiva el caso de investigación y la información que necesita obtener o verificar a
raíz del visionado de las imágenes por parte del Departamento de Seguridad).
La necesidad de llevar a cabo investigaciones exhaustivas (por su relevancia, en
materia de detección y prevención del fraude), a estas peticiones se deben acompañar
los datos relevantes para poder llevar a cabo una correcta visualización de imágenes”.

PUNTO 4.D Sobre si en algún caso se permite el acceso a las imágenes a personal de
UNICAJA (tal como auditores internos). Forma en que se emite la autorización y para
que finalidades se permite la visualización.

Manifiestan que solo se permite el acceso a las imágenes al Departamento de
Seguridad de la entidad.

PUNTO 5. Sobre si quedan registrados los accesos a las imágenes del sistema de
videovigilancia, y el periodo de retención de los datos de dicho registro.

Contestan que los accesos a las imágenes del sistema quedan registrados durante 90
días. El periodo de retención de las imágenes es de 15 días.

PUNTO 6.A. Sobre si se han realizado auditorias de protección de datos a la entidad
Grupo Control. Se ha requerido aportar del último informe en caso afirmativo.

Informan que no han realizado auditorias debido a la reciente fecha de formalización
del contrato. No obstante, hacen constar que, en aras de una actuación proactiva y del
principio de accountability, ambas partes han formalizado un compromiso para llevar a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

10/55

cabo una auditoría de protección de datos en este sentido, aportando copia del
ANEXO IX al contrato donde se refleja dicho compromiso y en el que expresamente si
dice:

“El alcance de la auditoría abarcará, como mínimo la comprobación del cumplimiento
por Grupo Control de sus obligaciones en materia de protección de datos y, en
particular, aquellas relacionadas con los siguientes ámbitos: a) las medidas de
seguridad. En concreto, la aplicación de medidas sobre control de accesos a las
imágenes captadas por los sistemas de videovigilancia”.

La posibilidad de realizar auditorías está prevista en el apartado 11 del Anexo VII
“Sobre el régimen de prestación de servicio con acceso a datos personales
responsabilidad de Unicaja Banco”: “11. Auditorías. Unicaja Banco, en cumplimiento
de su capacidad de control, podrá realizar por su cuenta revisiones que verifiquen el
cumplimiento de las políticas y medidas de seguridad exigidas en este acuerdo para la
protección de los datos personales”.

Manifiestan que sí han realizado controles sin haber encontrado incidencias con
relación a la Videovigilancia y cumplimiento de la normativa de Seguridad Privada, en
concreto durante los años 2022 y 2023. Indican que se han efectuado los siguientes
controles generales y específicos mediante la comprobación de evidencias y casos
singulares planteados y revisados:

- Revisión de RAT y Evaluación de Impacto de tratamiento de Videovigilancia con la
Dirección de Seguridad.
- Verificación del deber de información en zonas videovigiladas, a fin de comprobar la
correcta instalación de carteles de videovigilancia y el contenido de estos.
- Verificación del cumplimiento de exigencias del reglamente de seguridad privada, a
fin de comprobar que se han cumplido los siguientes requisitos:
(i) Borrado de las imágenes en el intervalo de 15 días desde su grabación.
(ii) Muestreo requerimientos de puesta a disposición de imágenes a autoridades y
organismos competentes y plazos de conservación de dichas imágenes previamente
su entrega.

PUNTO 6.B. Sobre la existencia de auditorías al registro de accesos al Sistema de
Videovigilancia con el propósito de identificar posibles accesos no justificados y copia
de estas auditorías en caso afirmativo.

Manifiestan que no constan, indicando que sí como consecuencia de los datos que no
han dado tiempo a recabarse se obtuviese información adicional que motivase una
potencial auditoría se procedería a su realización inmediata.

PUNTO 7. Sobre la existencia de consultas realizadas a la Oficina de Protección de
Datos (OPD) o al DPD de UNICAJA, o informes emitidos por los mismos, sobre
aspectos de Protección de Datos de imágenes del sistema de Videovigilancia. Copia
de los documentos en caso afirmativo.

Contestan aportando detalle de tres informes sobre aspectos de Protección de Datos
de imágenes del sistema de videovigilancia:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

11/55

1.- En primer lugar y tras la aprobación del RGPD, se efectuó desde el Departamento
de Recursos Humanos consulta a Asesoría Jurídica y a Oficina de Protección de datos
sobre el uso de las imágenes grabadas por UNICAJA. Aportan copia del correo
enviado por la Oficina de Protección de Datos en fecha 1 de agosto de 2018, en el que
se informa lo siguiente:

"Así, el acceso a las imágenes puede realizarse con la sola y única finalidad de, en
caso detectar la comisión de hechos delictivos, poner las mismas a disposición de las
autoridades judiciales y Fuerzas y Cuerpos de Seguridad...”

2.- Posteriormente, se solicita por el Departamento de Recursos Humanos ampliación
a la anterior consulta a los efectos de que se informara sobre la posibilidad del uso de
las imágenes en aspectos laborales. Aportan copia del correo enviado por la DPO de
UNICAJA en fecha 26 de octubre de 2018.

3.- Por otro lado, se efectuó nueva consulta relativa a los plazos de conservación de
grabaciones en los supuestos de apertura de expediente disciplinario y posterior
proceso judicial, así como relativa a las personas que tengan acceso a las imágenes.
Aportan copia del correo enviado por la Oficina de Protección de datos en fecha 24 de
abril de 2019.

PUNTO 8. Sobre si en el Registro de Actividades de Tratamiento (RAT) de UNICAJA
se registra la actividad de tratamiento de Videovigilancia. En caso afirmativo copia del
registro de esta actividad de tratamiento.

Aportan copia del RAT donde consta el registro de la actividad de videovigilancia.

PUNTO 9. Sobre la realización de un Análisis de Riesgo (AR) y Evaluación de Impacto
de Protección de Datos (EIPD) del Tratamiento de Videovigilancia.

Aportan copia de un estudio previo para analizar y valorar si en el tratamiento de
videovigilancia concurren circunstancias y situaciones que obliguen a realizar un
Análisis de Impacto de Privacidad (PIA), concluyendo que sí. Aportan también copia de
la PIA efectuada, con valoraciones de riesgo inherente y el riesgo residual una vez
aplicadas las medidas mitigantes. Se observa entre las medidas o controles a
implementar las siguientes sobre el control de los accesos:

- 6.6.2.1 de la ISO 27701. Registro y baja de usuario: se debe implementar un proceso
formal de registro y desregistro de usuario para permitir la asignación de derechos de
acceso.
- 6.6.2.5 de la ISO 27701. Los propietarios de activos deben revisar los derechos de
acceso los usuarios de manera periódica.
- 6.6.2.5 de la ISO 27701. Restricciones de acceso a la información. Se debe restringir
el acceso a la información y a las funciones del sistema de aplicaciones, de acuerdo
con la Política de control de acceso.
- ISO 27701-6.9.4.1. Se deben generar, mantener y revisar con regularidad los
registros de eventos de las actividades de usuario, excepciones, faltas y eventos de
Seguridad de la Información.

A la vista de estas medidas, si bien han sido consideradas en el análisis, se evidencia
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

12/55

que no han sido implementadas, al estar configurado un único usuario de acceso
genérico al sistema de videovigilancia, de forma continuada, para todos los empleados
de la CRA.

CUARTO: Volumen de negocios de UNICAJA

Según consta en el “Informe Anual 2023”, publicado en
https://www.unicajabanco.com/es/inversores-y-accionistas/informacion-economico-
financiera/cuentas-anuales-auditadas, en el año 2023, el volumen de negocio de
UNICAJA ha sido de 1.775.548 miles de €, según consta en la diligencia que se
incorpora al expediente, de fecha 20 de febrero de 2025.

QUINTO: Acuerdo de inicio de procedimiento sancionador

En fecha 24 de febrero de 2025, la Subdirectora General de Inspección de Datos, de
conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de Presidencia y
Adjuntía, acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a
lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (en adelante,
LPACAP), por la presunta infracción del artículo 32 del RGPD, tipificada en el artículo
83.4 del RGPD.

En dicho acuerdo de apertura se determinó que la sanción que pudiera corresponder
por la infracción imputada, sin perjuicio de lo que resulte de la instrucción, sería de
3.500.000 euros (tres millones quinientos mil euros). Asimismo, se advirtió que la
infracción, de confirmarse, podrá conllevar la imposición de medidas, de acuerdo con
lo establecido en el citado artículo 58.2 del RGPD.

El acuerdo de inicio fue enviado, conforme a las normas establecidas en la LPACAP,
mediante notificación electrónica, siendo recibido en fecha 25 de febrero de 2025,
como consta en el certificado que obra en el expediente.

SEXTO: Ampliación de plazo

En contestación al escrito en el que solicitaba la ampliación del plazo que fue
concedido para formular alegaciones, así como copia de expediente, en fecha 5 de
marzo de 2025, se acordó ampliar el plazo para formular alegaciones hasta un máximo
de cinco días, que debían computarse a partir del día siguiente a aquel en el que
finalizara el primer plazo de alegaciones.

En la misma fecha de emisión de ese escrito, se procedió a remitir a la parte
reclamada mediante mensajería, un soporte físico (CD o memoria USB) cifrado, que
contenía la copia completa del expediente administrativo solicitado, puesto que la
copia del expediente solicitada tenía un tamaño que excedía el máximo permitido en el
sistema Notific@. En la misma fecha se enviaba, de forma independiente, otro
documento a través de la citada plataforma Notific@, en el que se facilitaba la clave
para acceder a la documentación incluida en el soporte físico.

SÉPTIMO: Alegaciones al acuerdo de inicio

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

13/55

Notificado el citado acuerdo de inicio conforme a las normas establecidas en la
LPACAP, en fecha 18 de marzo de 2025 la parte reclamada presentó escrito de
alegaciones en el que, en síntesis, manifestaba lo siguiente:

PRELIMINAR PRIMERA- Cuestiones de hecho que deben ser tenidas en cuenta en
relación con el procedimiento.

Señala, por un lado, que la titularidad de los sistemas de videovigilancia sería de
UNICAJA y Grupo Control le prestaría el servicio de videovigilancia a través de la CRA
del Grupo Control; y que la documentación contractual recoge que el encargado
actuará siguiendo Instrucciones del responsable, que los datos personales tratados no
podrán ser utilizados para ninguna otra finalidad distinta de la ejecución del servicio,
que tendrán carácter confidencial y no serán publicados o puestos en conocimiento de
terceras partes sin la autorización previa y por escrito del responsable; así como las
medidas de seguridad que deberá adoptar, incluida la obligación de dar de alta
usuarios y contraseñas nominales, definiendo los roles de seguridad o perfiles de
usuarios de forma que garanticen los permisos estrictamente necesarios de cada
usuario para la prestación del servicio. En el apartado medidas de seguridad para el
caso de cuentas de servicio, se incluye claramente la exigencia de que existan
usuarios nominativos siguiendo la política de nomenclaturas de UNICAJA.

Por otro lado, hace referencia UNICAJA al conflicto laboral que derivó de la
contratación formalizada con Grupo Control en 2019, cuando se decidió la subrogación
de esta entidad en la condición de empleador de los trabajadores que realizaban la
actividad de explotación de la CRA y visionado de imágenes a través de una empresa
de servicios del grupo UNICAJA, denominada Gestión de Actividades y Servicios
Empresariales S.L. (“GDA”). La plantilla de GDA estaba formada por once operarios,
entre los que se encontraba el ahora denunciante.

PRIMERA. UNICAJA no ha incumplido las obligaciones del art. 32 RGPD.

1.1 Falta de acreditación de la ausencia de medidas adecuadas.

Alega que la AEPD está atribuyendo a UNICAJA una falta de medidas que
corresponde adoptar al personal de Grupo Control. Afirma que sí tiene implementadas
las medidas por lo que UNICAJA no ha incumplido sus obligaciones del art. 32 RGPD.

1.2 Error en la apreciación por la AEPD de falta de instrucciones.

En relación con la supuesta falta de instrucciones sobre el tratamiento de imágenes,
afirma que ha aportado documentación sobre protocolos e instrucciones en el
requerimiento de información y que tiene documentadas instrucciones clara y precisas
sobre el tratamiento de imágenes y que, en todo momento, impartía instrucciones al
encargado del tratamiento sobre el tratamiento de datos.

1.3 Falta de acreditación de la culpabilidad de UNICAJA y error en la asignación de la
responsabilidad.

Alega que la obligación de establecer medidas técnicas y organizativas apropiadas al
riesgo corresponde de igual manera al responsable y al encargado y, por tanto, en los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

14/55

tratamientos de datos en que hay un encargado del tratamiento es necesario realizar
la imputación subjetiva del hecho infractor al sujeto que verdaderamente ha realizado
los hechos, ya sea el responsable o el encargado del tratamiento.

En cualquier caso, entiende que la obligación derivada del art. 32 RGPD es una
obligación de medios y no de resultado haciendo referencia al Tribunal Supremo en
sentencia de 5 de febrero de 2022.

Afirma que UNICAJA dio instrucciones claras y precisas sobre el tratamiento de
imágenes de videovigilancia y sobre la creación de usuarios nominativos. En este
sentido, considera que la AEPD no puede imputar una infracción a UNICAJA por el
mero hecho de que el personal de Grupo Control no haya implementado usuarios
nominativos, pues ello supondría convertir la obligación del art 32 del RGPD en una
obligación de resultado, que no lo es.

Indica que UNICAJA tiene establecidas, además, medidas de seguimiento y control
para los encargados del tratamiento, a fin de que garanticen que el tratamiento de
datos que realizan cuenta con las medidas de seguridad técnicas y organizativas
adecuadas, y que este control no se limita a la documentación contractual, sino que
realiza también comprobaciones específicas para detectar potenciales riesgos o áreas
de refuerzo que revelen incumplimientos en materia de protección de datos por parte
de sus proveedores (a título ejemplificativo, los Controles específicos en materia de
protección de datos personales de los recientes años 2023 y 2024). En estas
comprobaciones indica que se revisan el nivel de cumplimiento de la normativa de
protección de datos, incluidas las medidas de seguridad, por parte de proveedores de
UNICAJA elegidos aleatoriamente.

Añadido a estos controles rutinarios aplicables a todos los proveedores, en lo que
concierne a Grupo Control, antes del inicio del procedimiento sancionador UNICAJA ya
había realizado una Auditoría específica ad-hoc con un auditor externo para asegurar
su cumplimiento e identificar posibles deficiencias o áreas de mejora. Por este motivo,
entiende que nada se puede reprochar a UNICAJA sobre una falta de vigilancia de sus
proveedores en general o de Grupo Control, en particular. En su opinión, no puede
atribuirse a UNICAJA culpa o negligencia en la vigilancia.

Además, entiende que los responsables del tratamiento no pueden tener
responsabilidad por la actuación de los encargados del tratamiento cuando estos
actúan al margen de las instrucciones impartidas por el responsable. Alega que esta
cuestión ha sido recientemente objeto de análisis por el TJUE determinando que la
actuación de los encargados del tratamiento no puede derivar en responsabilidad para
el responsable del tratamiento, cuando el encargado: (i) haya utilizado los datos para
fines propios; (ii) los haya tratado de manera incompatible con las modalidades del
tratamiento determinadas por el responsable; o (iii) los haya tratado de una manera
que no pueda considerarse razonable que el responsable hubiese dado su
consentimiento.

En este caso, entiende que es claro que Grupo Control, encargada del tratamiento, no
cumplió con las instrucciones para el tratamiento de los datos impartidas por
UNICAJA, por lo que no se le puede responsabilizar a esta última de dicha actuación.
Afirma que UNICAJA había establecido claramente la obligación de que los usuarios
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

15/55

debían ser nominativos y que el incumplimiento flagrante de esta obligación es algo
“incompatible con el marco o las modalidades del tratamiento tal como hayan sido
determinados por el responsable del del tratamiento”.

Afirma que UNICAJA cuenta además con un canal interno de denuncias que abarca
también a proveedores de servicios, canal de denuncias que era conocido por el
personal de Grupo Control y que podría haber sido utilizado por los trabajadores de
Grupo Control para reportar cualquier incidencia, incluidas deficiencias en las medidas
de seguridad implantadas. Es decir, ya no sólo es que Grupo Control desatendiera las
instrucciones de UNICAJA, es que los trabajadores ocultaron deliberadamente la
existencia de dicho incumplimiento. Considera que no se puede culpabilizar a
UNICAJA de falta de control del encargado del tratamiento, cuando son precisamente
el encargado -a través de los empleados del encargado-, quienes -por motivos
espurios y particulares- encubrieron activamente estos hechos pudiendo haberlos
levantado como era su obligación contractual y legal.

SEGUNDA. Falta de objeto del procedimiento sancionador.

UNICAJA ha iniciado trámites para abordar aquellos elementos que pudieran presentar
áreas de mejora, desde el momento en que llegaron a su conocimiento, habiendo
encargado en septiembre de 2024 la realización de una auditoría a Grupo Control por
una empresa externa y puesto todos los medios para acometer esas mejoras a través
del nuevo sistema ***SISTEMA.1. Se asegura así de la efectiva implementación de su
Protocolo de Seguridad, en el que se indica expresamente, entre otras cosas, que
deben darse de alta usuarios y contraseñas nominales.

Considera que esto lleva inevitablemente a la desaparición del objeto del
procedimiento, una supuesta infracción del artículo 32 del RGPD, ya que con el
perfeccionamiento del sistema de control accesos a imágenes de videovigilancia
UNICAJA cumple con todas las exigencias del RGPD, y especialmente, con aquellas
que la AEPD reprocha en el Acuerdo de Inicio.

TERCERA. Falta de motivación en la tipificación del hecho infractor.

Alega que, en el Acuerdo de Inicio, la AEPD decide tipificar los hechos objeto del
procedimiento sancionador en el tipo recogido en el art. 73.f) LOPDGDD, pero no da
ninguna justificación de cómo los hechos se subsumen en ese tipo, que no es
aplicable a los hechos supuestamente atribuidos a UNICAJA y no se puede justificar.
Según UNICAJA, la falta de motivación en este punto es esencial puesto que en
relación con las infracciones del art.32 RGPD, la LOPDGDD recoge diversos tipos en
su art. 73.

CUARTA. Falta de proporcionalidad de la sanción impuesta.

Considera que teniendo en cuenta los hechos que concurren en el presente caso, la
imposición de una sanción económica es en todo punto desproporcionada y es
especialmente desproporcionada en la cuantía de 3.500.000 euros.

Considera que las siguientes circunstancias obligan a la AEPD a graduar
adecuadamente la sanción y reducir su cuantía:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

16/55

• UNICAJA tiene implementadas de forma generalizada un conjunto de medidas de
seguridad técnicas y organizativas robustas y acordes con la normativa de protección
de datos que incluyen, específicamente: la adopción de usuarios nominativos para el
acceso a los sistemas de información e instrucciones específicas para el manejo de
imágenes de videovigilancia.

• La culpabilidad o intencionalidad de UNICAJA ha quedado demostrada que no existe,
ya que correspondía al personal de Grupo Control cumplir con las instrucciones
impartidas por UNICAJA sobre el tratamiento de datos y adoptar las medidas de
seguridad que UNICAJA expresamente le había solicitado por escrito en sus acuerdos
contractuales. Y, en cualquier caso, habría una concurrencia de culpabilidad en la
medida en que Grupo Control y los Trabajadores de Grupo control, podían y debían
haber comunicado cualquier incumplimiento de las medidas de seguridad a las que
estaban obligados, pero no lo hicieron, ocultando así dichos incumplimientos.

• La supuesta falta de medidas de seguridad se circunscribe a una única falta
consistente en que el encargado del tratamiento, Grupo Control, no había implantado
usuarios nominativos para el acceso a los sistemas de información, pero no se refiere
una falta generalizada de medidas de seguridad.

• Las peticiones de visualización de imágenes son mínimas y se circunscriben única y
exclusivamente a aquellos casos en que se identifica un suceso que requiere
investigar una conducta fraudulenta o delictiva y sólo se revisan las imágenes
correspondientes a ese suceso, ninguna más.

• No se acredita perjuicio o daño alguno sufrido por ninguno de los interesados.

•No existe ningún beneficio económico de UNICAJA derivado del tratamiento de datos,
al revés, la finalidad del tratamiento de imágenes de videovigilancia es preservar la
seguridad de las personas, bienes e instalaciones, así como la prevención del fraude e
investigación de delitos, en muchos casos en interés del propio cliente. Este
tratamiento lícito y legitimado con base en un interés público reconocido por la ley
como así lo reconoce la AEPD en su Guía sobre el uso de videocámaras para
seguridad y otras finalidades.

•Antes de la iniciación del procedimiento sancionador, UNICAJA ya ha iniciado
voluntariamente la implementación de medidas para reforzar las medidas de seguridad
y paliar cualquier efecto negativo. Los hechos supuestamente infractores ya habrían
quedado resueltos con la implementación de estas medidas.

Además, alega que la AEPD obvia que en este caso es más adecuado ordenar la
adopción de una medida correctiva, la cual, además, ya ha sido adoptada por
UNICAJA voluntariamente por lo que considera que realmente, lo adecuado es
archivar el procedimiento sin imponer ninguna sanción.

Afirma que la AEPD ha valorado un volumen de negocio erróneo y muy superior al real
de UNICAJA. En las Cuentas Anuales de 2023 de UNICAJA, contenida en el
expediente, el volumen de negocio del año 2023 se presenta en miles de euros, y
arroja una cifra de 1.775.548 miles de euros. No obstante, indica que la AEPD en el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

17/55

Acuerdo de Inicio ha considerado, de manera errónea, que el volumen de negocio de
UNICAJA para el año 2023 es de 1.775.548 millones de euros. Por ello, entiende que
debe rectificar el error y reducir la sanción significativamente acorde al volumen de
negocio real que es considerablemente inferior al tomado en consideración por la
AEPD.

Por último, señala que la mayoría de los hechos consignados en el acuerdo de inicio
han prescrito ya que el plazo de prescripción de infracciones graves es de 2 años. Así,
afirma que todos los hechos anteriores al 25 de febrero de 2023 (momento de
notificación del Acuerdo de Inicio) habrían prescrito y no pueden ser tenidos en cuenta
por la AEPD, por haber trascurrido el plazo de 2 años que dispone la LOPDGDD.
Considera que esto es algo importante ya que la AEPD hace alusión a hechos de
mucha antigüedad y pone el foco especialmente en hechos entre diciembre de 2021 y
febrero de 2022, todos prescritos. En consecuencia, alega que la sanción ha de
reducirse proporcionalmente, sólo teniendo en cuenta los hechos no prescritos del
período de referencia de la AEPD, entre febrero de 2023 y mayo de 2023, por lo que
deberá verse notablemente reducida.

En virtud de lo expuesto, solicita a la AEPD que acuerde el archivo del procedimiento
sancionador sin la imposición de sanción alguna por las supuestas infracciones
imputadas a UNICAJA o subsidiariamente reduzca adecuadamente la cuantía de la
sanción propuesta.

Asimismo, solicita que la apertura del período de prueba por un plazo de 30 días para
que puedan acreditarse los hechos relevantes que interesan en este procedimiento.

OCTAVO: Periodo probatorio

Por la instrucción del procedimiento se acordó abrir período de práctica de pruebas,
dándose por reproducidos a efectos probatorios las reclamaciones interpuestas y su
documentación, los documentos obtenidos y generados durante las fases de admisión
a trámite y de actuaciones previas de investigación que forman parte del expediente; y
por presentadas las alegaciones al acuerdo de inicio del procedimiento sancionador
formuladas por UNICAJA y la documentación que a ellas acompaña.

Por otra parte, en atención a lo solicitado por UNICAJA, se concedió a dicha entidad
un plazo de diez días hábiles para que aportase la información y/o documentación
siguiente:

1. Las instrucciones que UNICAJA imparte a Grupo Control respecto del tratamiento
de datos y de las medidas de seguridad a implantar, referidas en la Alegación
Segunda de su escrito de alegaciones al inicio del procedimiento sancionador de
referencia.
2. Las medidas de seguridad que UNICAJA tiene implementadas a las que se refiere
la Alegación Primera de su escrito de alegaciones al inicio del procedimiento
sancionador de referencia.
3. El contexto del conflicto laboral y la denuncia presentada por el sindicato CGT ante
la APED, así como el procedimiento de inspección llevado a cabo por la policía a
UNICAJA a los que se refieren las Alegaciones Preliminar Primera y Preliminar
Segunda de su escrito de alegaciones al inicio del procedimiento sancionador de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

18/55

referencia.

Con fecha 05/01/2026, se recibe de UNICAJA respuesta a la petición de prueba
aportando la documentación siguiente:

1. En relación con el apartado 1 anterior, aporta nuevamente los contratos de servicios
de Central Receptora de Alarmas suscritos con Grupo Control en fechas 26/02/2019 y
01/01/2023, novación modificativa (30/05/2024) y Anexo de modificación de los
términos de auditoría (14/05/2024) de este último contrato; así como el Protocolo de
tratamiento de imágenes, de 21/05/2018.

Según manifiesta, con esta documentación acredita tener implantados protocolos
específicos para el tratamiento de imágenes de videovigilancia y dar instrucciones
concretas sobre las medidas de seguridad a implantar por el Grupo Control,
expresamente y por escrito, en documentos con eficacia jurídica y desde el momento
en el que se contrata al proveedor, instruyendo a dicha entidad que los usuarios de los
aplicativos han de ser nominativos. Por tanto, entiende que las indicaciones de la
AEPD respecto a la ausencia de instrucciones carecen manifiestamente de base.

Del contenido de estos documentos cabe destacar:

Novación modificativa, en la que se concretan los procedimientos y niveles exigidos
para de acceso y extracción de imágenes por cuenta de UNICAJA y se actualizan los
Anexos VII (protección de datos) y VIII (medidas de seguridad de la información y
riesgo tecnológico. El detalle de lo estipulado en estos documentos, en lo que al
presente procedimiento interesa, consta reseñado en los Hechos Probados Segundo y
Tercero.

2. En relación con las medidas de seguridad a las que se refiere el apartado 2 de la
prueba acordada, UNICAJA aporta los siguientes documentos:

Documento nº 2-1 Procedimiento de gestión de usuarios de Grupo Control.
Documento nº 2-2 Medidas de seguridad de acceso remoto de proveedores. Guía para
usuarios.
Documento nº 2-3 Evaluación previa de EIPD de videovigilancia.
Documento nº 2-4 EIPD de videovigilancia.
Documento nº 2-5 Memoria del software de gestión de seguridad ***SISTEMA.2.
Documento nº 2-6 Folleto del software de gestión de seguridad ***SISTEMA.2.
Documento nº 2-7 Auditoría interna de protección de datos 2023.
Documento nº 2-8 Correspondencia Oficina de Protección de Datos homologación
proveedores (Grupo Control)
Documento nº 2-9 Cuestionario homologación proveedores (Grupo Control).
Documento nº 2-10 Auditoría a Grupo Control 2024.
Documento nº 2-11 Recomendaciones de la Auditoría a Grupo Control de 2024.
Documento nº 2-12 Auditoría a Grupo Control 2025.

A este respecto manifiesta:

“Unicaja tiene implantadas medidas de seguridad adecuadas a los riesgos del
tratamiento de datos relativo a la videovigilancia de conformidad con una evaluación
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

19/55

de impacto sobre la protección de datos (Documento nº 2-3) llevada a cabo con base
en la normativa de protección de datos. Además, tanto Unicaja (Documento nº 2-2)
como Grupo Control (Documento nº 2-1) tiene medidas de seguridad específicas para
la gestión de usuarios y acceso lógico a los aplicativos utilizados en relación con el
tratamiento de datos de videovigilancia (véase información de ***SISTEMA.2, software
de gestión de seguridad actualmente utilizado por Unicaja, Documentos nº 2-5 y 2-6).

Adicionalmente, Unicaja cuenta con mecanismos de revisión continua y control de la
efectividad de las medidas de seguridad. Estos controles se establecen tanto a nivel
general a todos los proveedores (Documento nº 2-7) como específico de algunos
proveedores. Además, Unicaja cuenta con un proceso de homologación de
proveedores en el que participa la Oficina de Protección de Datos de Unicaja, que no
se limita a cumplir un mero formalismo, sino que analiza y revisa las cuestiones de
protección de datos (Documento nº 2-8). Se aporta la última versión del cuestionario
de homologación de Grupo Control (Documento nº 2-9). En concreto y sin limitación,
como demostración del continuo compromiso de Unicaja con la protección de datos y
la seguridad de la información, en el contexto del programa continuado de revisión de
proveedores, en lo que respecta a Grupo Control se le ha realizado –previo al Acuerdo
de Inicio– una auditoría en 2024 para asegurar el cumplimiento efectivo de
instrucciones de Unicaja y las medidas de seguridad impuestas con el fin de identificar
posibles deficiencias o áreas de mejora (Documento nº 2-10). De hecho, a raíz de esa
auditoría Unicaja inició trámites para abordar los elementos que pudieran presentar
áreas de continua mejora y actualización, tal como realiza con sus proveedores de
forma habitual (Documento nº 2- 11), hizo recomendaciones específicas a Grupo
Control y ha dado seguimiento para confirmar que, a día de hoy, Grupo Control ha
implementado tales recomendaciones (Documento nº 2-12).

La documentación aportada en este punto demuestra que Unicaja, no solo de forma
previa a los hechos analizados, sino que de forma continuada y hasta fecha de hoy,
tiene implantados sólidos mecanismos de medidas de seguridad y revisión de
proveedores, que están por encima del estándar y diligencia exigibles y que buscan la
mejora y revisión continuada de sus sistemas”.

Del contenido de la documentación aportada, interesa destacar lo siguiente:

a) Procedimiento de gestión de usuarios de Grupo Control

Este documento define los procedimientos de alta, baja, identificación, autenticación y
control de acceso lógico de los usuarios de los sistemas de información de Grupo
Control, en todo su ámbito de actuación, además de concretar los roles y
responsabilidades de los usuarios, así como la gestión de privilegios. Sobre el control
de acceso se indica:

“Todos los identificadores personales de la empresa… deben estar normalizados, para
posibilitar la identificación biunívoca y fiel de los usuarios.
La creación de un identificador de usuario debe estar autorizada por su superior
jerárquico, de acuerdo con las normas internas y procedimentales de la empresa…
No se permitirá el uso de identificadores de grupo, salvo cuando sea estrictamente
necesario y por razones operacionales. Esta circunstancia deberá estar debidamente
justificada y aprobada formalmente, aplicando los controles de seguridad precisos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

20/55

Los identificadores de usuarios anónimos y los identificadores por defecto estarán
siempre deshabilitados”.

“Se deben aplicar controles de acceso en todos los niveles de la arquitectura y
topología de los Sistemas de Información de la empresa Grupo Control Empresa de
Seguridad S.A.U. Esto incluye: redes, plataformas o sistemas operativos, bases de
datos y aplicaciones. Los atributos de cada uno de ellos deben reflejar alguna forma
de identificación y autenticación, autorización de acceso, verificación de recursos de
información y registro y monitorización de las actividades”.

b) Auditoría interna de protección de datos 2023

Entre las cuestiones sometidas a control figura la verificación del cumplimiento de las
exigencias del reglamento de seguridad privada, concretamente el borrado de las
imágenes en el intervalo de 15 días desde su grabación y un muestreo de la puesta a
disposición de imágenes a autoridades y organismos competentes. Además, un control
aleatorio de los contratos con proveedores para verificar que están adaptados a la
normativa de protección de datos personales. No consta ninguna incidencia detectada
sobre en relación con estos temas.

c) Auditoría a Grupo Control de septiembre de 2024, que consta detallada en el Hecho
Probado Sexto.

d) En diciembre de 2025 se realizó un “Análisis de finalización recomendaciones
emitidas en la auditoría de datos Central Receptora de Alarmas”, cuyo resultado
consta detallado en el Hecho Probado Séptimo.

3. En relación con las cuestiones a las que se refiere el apartado 3 de la prueba
acordada, UNICAJA aporta los siguientes documentos:

(…)

NOVENO: Anexo documentación del procedimiento

Se acompaña como anexo relación de documentos obrantes en el procedimiento.

De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:

HECHOS PROBADOS

PRIMERO: Con fecha 01/01/2023, UNICAJA y Grupo Control suscribieron un contrato
de prestación de servicios, cuyo contenido y anexos se declaran reproducidos a
efectos probatorios. En virtud de este contrato, Grupo Control se obliga a la prestación
“de los servicios de concesión y gestión de alarmas de las oficinas, edificios y locales
de Unicaja Banco”. Según se indica en la Cláusula Segunda, los servicios
expresamente incluidos son “la explotación de centrales de alarmas” y la “verificación
de alarmas por imágenes o CCTV”.

En la definición del servicio recogida en el Pliego Técnico de licitación se incluyen los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

21/55

Requerimientos de Servicio la “Descarga de vídeo”: “La descarga de imágenes será
realizada por cuenta de Unicaja Banco a través del servicio específico contratado a
este respecto …”. Sobre esta cuestión, la Cláusula Octava del contrato indica:
“Unicaja Banco concede por la presente cláusula los permisos necesarios a la
Empresa para el acceso, tratamiento y registro informático de las imágenes que se
generen como consecuencia de las alarmas procedentes de su instalación, así como
para las operaciones necesarias de supervisión y mantenimiento del sistema”.

SEGUNDO: El Anexo VII del contrato reseñado en el Hecho Probado Primero
corresponde a la Adenda de Encargo y recoge el régimen de prestación de servicios
con acceso a datos personales responsabilidad de UNICAJA. Entre otras
estipulaciones, consta que “el encargado actuará siguiendo Instrucciones del
responsable, que los datos personales tratados no podrán ser utilizados para ninguna
otra finalidad distinta de la ejecución del servicio, que tendrán carácter confidencial y
no serán publicados o puestos en conocimiento de terceras partes sin la autorización
previa y por escrito del responsable.”

El apartado 6 de este Anexo VII está dedicado a las “Medidas de seguridad en materia
de protección de datos personales”, señalando: “El Encargado del Tratamiento se
compromete a cumplir las medidas de seguridad, de carácter organizativo, técnico,
físico y administrativo, que resulten apropiadas para garantizar un nivel de seguridad
adecuado al riesgo que pudiera derivarse del tratamiento... Dichas medidas de
seguridad vienen recogidas en el anexo de Requisitos de Seguridad de la
Información…”.

Este mismo Anexo detalla los datos personales a los que podrá acceder el encargado
del tratamiento (entre ellos, las “imágenes”) y las categorías de interesados (“clientes”,
“potenciales clientes”, “empleados y asimilados”, así como “proveedores”).

Se contempla, asimismo, la posibilidad de realizar auditorías “Sobre el régimen de
prestación de servicio con acceso a datos personales responsabilidad de Unicaja
Banco”: “11. Auditorías. Unicaja Banco, en cumplimiento de su capacidad de control,
podrá realizar por su cuenta revisiones que verifiquen el cumplimiento de las políticas
y medidas de seguridad exigidas en este acuerdo para la protección de los datos
personales”.

TERCERO: El Anexo VIII del contrato reseñado en el Hecho Probado Primero, suscrito
en fecha 25/05/2023, detalla los “Requisitos de Seguridad de la Información y Riesgo
Tecnológico” (“Protocolo de Seguridad”). En este documento se imponen medidas de
confidencialidad de seguridad para Grupo Control. Entre estas últimas se recoge
expresamente que deben darse de alta usuarios y contraseñas nominales y la
obligación del proveedor de definir, para cada aplicación o activo de información que
pudiera albergar información de UNICAJA, los roles de seguridad o perfiles de
usuarios de forma que garanticen los permisos estrictamente necesarios de cada
usuario para la prestación del servicio. En el apartado 3 de este documento se
estipula:

“3. Medidas de seguridad de carácter general
Estas medidas parten de la premisa de que el Proveedor, para el objeto del presente
contrato, accederá directa o indirectamente al sistema de información de Unicaja
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

22/55

Banco. Se entiende por sistema de información todo activo que preste servicios a
Unicaja Banco o albergue información de su propiedad independientemente del
emplazamiento final de la solución (servicio interno o en la nube) o de si la prestación
del servicio esta externalizada en un tercero…

Si se diera acceso a una herramienta de compartición de archivos y en lo relativo a la
confidencialidad de los autenticadores y credenciales de acceso los empleados del
Proveedor y en los que este delegue o subcontrate se comprometen a:
• Custodiar las credenciales asignadas, así como velar porque no sean accesibles
por personas no autorizadas.
• No utilizar los mismos autenticadores de acceso a los sistemas de Unicaja
Banco en sistemas externos y no usar el mismo autenticador en dos o más
sistemas con autenticación independiente…

3.5.2. Medidas de seguridad en aplicativos
EI Proveedor se compromete a que todo aplicativo que almacene o procese
información propiedad de Unicaja Banco dará cumplimiento a las siguientes medidas
de seguridad:
- Previo a la prestación del servicio el Proveedor tendrá definido para cada
aplicación o activo de información que pudiera albergar información de Unicaja
Banco los roles de seguridad o perfiles de usuarios de forma que se garantice
para cada usuario los permisos estrictamente necesarios para la prestación del
servicio.
- EI Proveedor deberá tener la capacidad de obtener un listado de usuarios con
privilegios de acceso a los sistemas que tratan información de Unicaja Banco. En
cumplimiento de los requisitos de trazabilidad de Unicaja Banco todo usuario que
acceda a un sistema con información de Unicaja Banco deberá ser nominativo, no
permitiéndose la compartición de cuentas de usuarios entre los empleados del
Proveedor o en los que este pueda delegar.
- Unicaja Banco se reserva el derecho a auditar periódicamente los roles y
usuarios asignados a la prestación del servicio, ciñéndose exclusivamente a los
espacios donde haya documentación de Unicaja Banco y sistemas de uso
exclusivo para el servicio…
- Cuando el Proveedor administre una herramienta con dedicación exclusiva a
Unicaja Banco, cualquier cambio que implique una modificación de los usuarios
del sistema (alta, baja y/o modificación de permisos) deberá ser comunicado sin
dilación indebida por el Proveedor al Interlocutor Unicaja Banco…

Obligaciones en el sistema de información de Unicaja Banco
Medidas de seguridad en cuanto a usuarios de plataforma Unicaja Banco
El Proveedor se compromete a utilizar estos usuarios de forma nominativa por cada
empleado que preste servicio no pudiendo ser compartidos los usuarios entre dos
empleados del grupo a no ser que la cuenta adquiera la consideración de “Cuenta del
servicio” lo que deberá ser debidamente solicitado por parte del Proveedor a Unicaja
Banco. Unicaja Banco se reserva el derecho a auditar periódicamente los roles y
usuarios asignados a la prestación del servicio. Dicho proceso de auditoria se
realizará sin necesidad de preaviso al ser únicamente auditados los sistemas
propiedad de la entidad”.

CUARTO: La plantilla de la CRA empleada por Grupo Control con acceso al sistema
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

23/55

de visualización de imágenes del Sistema de Videovigilancia de UNICAJA está
integrada por 10 operadores (categoría de operadores telefónicos) y un jefe de sala
(coordinador).

Los servicios de inspección de la AEPD consultaron a UNICAJA si cada una de estas
personas tiene un usuario y clave propios para el acceso al Sistema de Videovigilancia
o si acceden con un usuario genérico del Sistema. En respuesta a esta solicitud de
información, UNICAJA manifestó que el software de soporte al sistema de
videovigilancia establece un único usuario y contraseña, a través del cual accede el
personal designado por Grupo Control, conforme a las atribuciones que el proveedor
confiera a cada empleado.

Asimismo, se informó que el acceso queda registrado durante 90 días y que el registro
de accesos refleja en todo caso los accesos por el usuario genérico que está
configurado para su uso por parte todos los empleados de Grupo Control destinados
en la CRA de UNICAJA, así como la dirección IP, que podría identificar el equipo de la
sala de la CRA desde el que se accede.

QUINTO: UNICAJA ha manifestado haber realizado controles durante los años 2022 y
2023, sin haber advertido incidencias en relación con la Videovigilancia y cumplimiento
de la normativa de Seguridad Privada. Sobre la existencia de auditorías al registro de
accesos al Sistema de Videovigilancia con el propósito de identificar posibles accesos
no justificados UNICAJA manifestó que no constan.

Durante la fase de prueba, UNICAJA aportó documentación correspondiente a una
auditoría interna de protección de datos realizada en 2023.

Entre las cuestiones sometidas a control figura la verificación del cumplimiento de las
exigencias del reglamento de seguridad privada, concretamente el borrado de las
imágenes en el intervalo de 15 días desde su grabación y un muestreo de la puesta a
disposición de imágenes a autoridades y organismos competentes. Además, un control
aleatorio de los contratos con proveedores para verificar que están adaptados a la
normativa de protección de datos personales. Pero no consta ningún control sobre el
acceso a las imágenes captadas por los sistemas de videovigilancia y la aplicación de
las necesarias medidas de seguridad en cuanto a la segmentación de perfiles y la
trazabilidad de los accesos.

SEXTO: Durante la fase de prueba, UNICAJA aportó documentación correspondiente
a una auditoría realizada a Grupo Control en septiembre de 2024 por una entidad
externa. En su resumen de conclusiones define su alcance y se concretan, entre otras,
las siguientes conclusiones y recomendaciones:

“Alcance:
. Se ha llevado a cabo una valoración sobre la aplicación de medidas sobre control de
accesos a las imágenes captadas por los sistemas de videovigilancia.
. Han sido objeto de revisión los métodos de conservación, plazos, medios para la
efectiva destrucción de imágenes, y se han identificado y revisado evidencias que
permiten acreditar el bloqueo y borrado de imágenes.
. Se ha solicitado información y se ha revisado pormenorizadamente la cualificación
del personal con acceso a las imágenes.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

24/55

. Se han revisado los procedimientos para articular el seguimiento de las instrucciones
de Unicaja relativas al tratamiento de los datos personales”.
“Conclusiones
Tras el desarrollo de la auditoría han podido identificarse las siguientes fortalezas:
- Medidas de Seguridad: la Política de Seguridad facilitada por Grupo Control
establece los objetivos y principios de seguridad de la información que la
compañía se compromete a cumplir, así como pautas para el análisis de riesgos
en el marco del sistema de seguridad de la información. Además, se observa que
se aplican medidas técnicas en cuanto a la segmentación de perfiles con acceso
a la CRA y a la red de Grupo Control y medidas de control físico de acceso a la
CRA y al CPD.
- Conservación de imágenes: ha podido verificarse que el borrado definitivo de las
imágenes del CCTV es acorde con el plazo de conservación dispuesto por la
normativa aplicable.
- Cualificación del personal con acceso a imágenes: Grupo Control ha definido
dos tipologías de operadores con acceso a imágenes, de forma que la labor de
videovigilancia (visionado de imágenes en directo de la CCTV) es desarrollado
por vigilantes que cuentan con homologación del Ministerio del Interior.
- Aplicación de las instrucciones ordenadas por Unicaja: el protocolo establecido
regula adecuadamente la actuación de Unicaja y Grupo Control, en el marco de la
CRA.
No obstante, lo anterior, se han identificado los siguientes hallazgos:
- Grupo Control dispone de un único usuario genérico para el acceso a todas las
grabadoras del sistema de videovigilancia de la compañía.
- A pesar de disponerse en la práctica de dos perfiles diferenciados para el acceso
a las imágenes del CCTV, Grupo Control no dispone de un procedimiento que
formalice el modelo de control de acceso a las imágenes por los distintos
operadores.
- Se identifica que Grupo Control no dispone de un registro de las comunicaciones
intercambiadas con Unicaja”.
“Principales recomendaciones
Se emiten 3 recomendaciones en total, siendo 2 de riesgo medio y 1 de riesgo bajo:
- Actualizar las medidas técnicas de control de acceso a las videograbadoras de
modo que sea factible desarrollar una traza y registro del usuario que accede a
las videograbadoras (riesgo medio).
- Documentar la aplicación de las medidas de segmentación física y lógica
definidas para el acceso de los dos tipos de perfiles de operadores a las
imágenes de los sistemas de videovigilancia. Esto es, videovigilancia por
vigilantes habilitados y video-verificación por operadores no habilitados (riesgo
medio).
- Formalizar y mantener un registro de las comunicaciones intercambiadas entre
Grupo Control y Unicaja, de manera que se tenga una trazabilidad de éstas
(riesgo bajo)”.

En el informe correspondiente, sobre las medidas de seguridad y cualificación del
personal con acceso a imágenes se expone:

“Ha podido comprobarse que:
- La Política de Seguridad facilitada por Grupo Control establece de forma
adecuada los objetivos y principios de seguridad de la información que la citada
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

25/55

compañía se compromete a cumplir, así como pautas para el análisis de riesgos
en el marco del sistema de seguridad de la información…
- Además de lo anterior, de acuerdo con la información facilitada, se observa que
Grupo Control aplica medidas técnicas adecuadas en cuanto a la segmentación
de perfiles con acceso a la CRA y a la red de Grupo Control…
- Por último, en cuanto a las medidas técnicas de acceso a las grabadoras del
sistema de videovigilancia, se observa que, Grupo Control dispone de un único
usuario que accede a todas las grabadoras de la compañía. Asimismo, se
identifica que dicho usuario, es un usuario genérico de manera que podría
dificultar la llevanza de un registro y traza de las personas que acceden a través
de dicho usuario.
No obstante, de acuerdo con la información facilitada por Grupo Control y la Propuesta
de securización del sistema de accesos a imágenes del sistema de videovigilancia
dirigido al Comité de Riesgos Tecnológicos con fecha de 21 de junio de 2024, se
observa que Unicaja se encuentra actualmente actualizando el sistema de control de
acceso a las grabadoras de manera que se centralice a través de un aplicativo en el
que conste registro y traza del usuario que accede”.

“5.2 Dominio 3 – Cualificación del personal con acceso a las imágenes.
(…)
A pesar de lo anterior, de acuerdo con la información facilitada verbalmente por Grupo
control, la compañía no dispone de un procedimiento que regule el acceso a las
imágenes por los distintos operadores”.

SÉPTIMO: En Relación con la auditoría reseñada en el Hecho Probado Sexto, en
diciembre de 2025, se realizó un “Análisis de finalización recomendaciones emitidas
en la auditoría de datos Central Receptora de Alarmas”, con el resultado siguiente:

a) Sobre la implementación de un sistema que refuerce el control de acceso a las
videograbadoras:

“(…)
Ha podido comprobarse que para la implementación del proyecto se han mantenido
sesiones recurrentes, que han llegado a periodicidad semanal durante la etapa de
definición y despliegue de la solución (segundo semestre de 2025)”.

“Conclusiones
Tras confirmación de últimos avances en el proyecto de implantación de la solución
***SISTEMA.1, que ha facultado la administración centralizada y visionado de
elementos de cámaras y lectores de control de acceso a salas, hemos confirmado
que, finalizada la puesta en producción, a fecha noviembre 2025 se dispone de 8.885
cámaras conectadas al sistema, quedando por conectar 736 equipos (8,28%) ...
En este contexto, entendemos mitigado a un nivel adecuado el riesgo expuesto en el
hallazgo… será objeto de seguimiento en el contexto de la Auditoría de Seguridad
Física prevista para el plan de auditoría 2026 de la Dirección de Auditoría de Riesgo
Tecnológico y Seguridad”.

b) Sobre la formalización de un procedimiento que recoja los controles aplicados sobre
los distintos tipos de operadores de Grupo Control con acceso a imágenes se indica:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

26/55

“Con todo lo anterior, se ha podido comprobar la generación de los siguientes
documentos:
(…)
Procedimiento de Gestión de Altas, Bajas, Identificación, Autenticación y Control de
Acceso Lógico
Establece las directrices corporativas en lo que respecta a la gestión de usuarios, en
lo que respecta a: Altas, Bajas, Identificación, Autenticación y Control de Acceso
Lógico de los usuarios de los Sistemas de Información…
En el mismo se establece el principio de segmentación, especificándose que los
accesos se segmentan en función de los roles y responsabilidades de cada usuario
dentro de la central receptora de alarmas...

… se establece el siguiente proceso de segmentación:
. Acceso a Imágenes de Grabadores:
- Usuarios Autorizados: Aquellos usuarios que tienen permisos para revisar y
descargar imágenes de grabadores de clientes deben ser autorizados por su superior
jerárquico y el responsable de Seguridad. Estos usuarios tienen acceso a las
funciones de visualización y descarga de imágenes, necesarias para la investigación y
resolución de incidentes.
- Control de Acceso: Se implementan controles de acceso específicos para garantizar
que solo los usuarios autorizados puedan acceder a estas funciones. Esto incluye la
autenticación mediante credenciales únicas y la monitorización de las actividades
realizadas”.

“Conclusión
Se comprueba que Grupo Control ha formalizado en sesión del 19 de mayo la
“Normativa de control de acceso físico” y el “Procedimiento de Gestión de Altas, Bajas,
Identificación, Autenticación y Control de Acceso Lógico”. Pudiéndose validar que la
misma da cobertura a los requerimientos del hallazgo al facultar la aplicación de las
medidas de segmentación física y lógica definidas para el acceso de los dos tipos de
perfiles de operadores a las imágenes de los sistemas de videovigilancia
(videovigilancia por vigilantes habilitados y video-verificación por operadores no
habilitados)”.

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento, la Presidencia de la Agencia Española de Protección de
Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

27/55

reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II
Cuestiones previas

La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato
personal y su protección es objeto de dicho Reglamento, entendiendo por dato de
carácter personal, como: “toda información sobre una persona física identificada o
identificable («el interesado»); se considerará persona física identificable toda persona
cuya identidad pueda determinarse, directa o indirectamente, en particular mediante
un identificador, como por ejemplo un nombre, un número de identificación, datos de
localización, un identificador en línea o uno o varios elementos propios de la identidad
física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”.

Es, por tanto, pertinente analizar si el tratamiento de datos personales (imagen de las
personas físicas) llevado a cabo a través del sistema de videovigilancia denunciado es
acorde con lo establecido en el RGPD.

El artículo 22 de la LOPDGDD establece que las personas físicas o jurídicas, públicas
o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de
cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y
bienes, así como de sus instalaciones

El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto
de operaciones realizadas sobre datos personales o conjuntos de datos personales,
ya sea por procedimientos automatizados o no, como la recogida, registro,
organización, estructuración, conservación, adaptación o modificación, extracción,
consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de
habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.”

El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable»
como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que,
solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la
Unión o de los Estados miembros determina los fines y medios del tratamiento, el
responsable del tratamiento o los criterios específicos para su nombramiento podrá
establecerlos el Derecho de la Unión o de los Estados miembros”.

A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o
«encargado» como “la persona física o jurídica, autoridad pública, servicio u otro
organismo que trate datos personales por cuenta del responsable del tratamiento.”

En el presente caso, la titularidad de los sistemas de videovigilancia es de UNICAJA,
prestando GRUPO CONTROL el servicio de videovigilancia a través de la CRA.

En este sentido, UNICAJA ostenta la condición de “responsable del tratamiento”, al ser
quien determina los fines y medios del tratamiento (artículo 4 punto 7º RGPD),
encomendando a la empresa de seguridad, como encargado del tratamiento, la
prestación del servicio de videovigilancia.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

28/55

En el transcurso de las actuaciones de investigación UNICAJA ha aportado copia del
contrato formalizado en fecha 1 de enero de 2023, en cuyo Anexo VII consta la
Adenda de Encargado del tratamiento de datos personales responsabilidad de
UNICAJA. Incluye un Anexo VIII con Requisitos de Seguridad de la Información.

En la Adenda de Encargo de tratamiento citada figuran, entre otras estipulaciones, que
el encargado actuará siguiendo Instrucciones del responsable, que los datos
personales tratados no podrán ser utilizados para ninguna otra finalidad distinta de la
ejecución del servicio, que tendrán carácter confidencial y no serán publicados o
puestos en conocimiento de terceras partes sin la autorización previa y por escrito del
responsable. Figuran, asimismo, referencias a las medidas de seguridad y sobre la
devolución o destrucción de los datos al finalizar la relación.

Para la correcta prestación de dicho servicio, según aparece definido en la
documentación contractual formalizada, el encargado del tratamiento debe acceder a
datos de carácter personal.

Por su parte, la parte reclamada tendrá todas las obligaciones propias establecidas,
respetando en todo caso la normativa vigente en materia de protección de datos
personales. Entre ellas, la de que los datos personales sean tratados de tal manera
que se garantice una seguridad adecuada de los mismos, mediante la aplicación de
medidas técnicas u organizativas apropiadas.
III
Alegaciones al Acuerdo de inicio

En relación con las consideraciones preliminares realizadas por UNICAJA, sobre
circunstancias de hecho que, en su opinión, deben ser consideradas, conviene indicar
lo siguiente:

En primer término, señala que la documentación contractual recoge que el encargado
actuará siguiendo instrucciones del responsable, entre las que figuran las medidas de
seguridad que deberá adoptar, incluida la obligación de dar de alta usuarios y
contraseñas nominales, definiendo los roles de seguridad o perfiles de usuarios de
forma que garanticen los permisos estrictamente necesarios de cada usuario para la
prestación del servicio. En el apartado medidas de seguridad para el caso de cuentas
de servicio, se incluye claramente la exigencia de que existan usuarios nominativos
siguiendo la política de nomenclaturas de UNICAJA.

Todo ello consta debidamente reseñado en los Hechos Probados.

Por otra parte, conviene advertir que el presente acto no contiene ningún
pronunciamiento sobre cuestiones ajenas al ámbito competencial de la AEPD, como el
conflicto laboral al que se alude en las actuaciones, que resultan ajenas al objeto del
procedimiento, que se reduce a la falta de medidas de seguridad puestas de
manifiesto.

PRIMERA. UNICAJA no ha incumplido las obligaciones del art. 32 RGPD.

Como punto de partida aclara que la obligación de establecer medidas de seguridad
recogida en el art. 32 RGPD: (a) es una obligación que aplica igualmente tanto al
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

29/55

responsable como al encargado del tratamiento y (b) es una obligación de medios, y
no de resultado. Igualmente, entiende que la infracción de esta obligación consiste en
la no adopción de medidas adecuadas al riesgo, por lo que para acreditar la existencia
de infracción es necesario probar la ausencia de medidas y la adecuación de dichas
medidas al riesgo.

Alega que la AEPD está atribuyendo a UNICAJA una falta de medidas que
corresponde adoptar al personal de Grupo Control y concluye que no puede ser
jurídicamente atribuible culpa alguna a UNICAJA cuando los trabajadores, incluido el
denunciante, en vez de señalarlo o cuando menos requerir dentro de su organización
que se revisara conforme a su obligación contractual y laboral, mantuvieron su
incumplimiento encubierto y solo procedieron a denunciar a UNICAJA.

Por todo lo anterior, afirma que la AEPD no ha podido acreditar en el expediente que
UNICAJA haya incumplido sus obligaciones del art. 32 RGPD, toda vez que el
establecimiento de la medida a la que se refiere la AEPD se trata de una obligación
legal y contractual exigible directamente al encargado. Por tanto, considera que
tampoco es exigible a UNICAJA culpabilidad cuando -habiendo desplegado UNICAJA
medidas apropiadas, incluyendo medidas de control posteriores al contrato con Grupo
Control- existía una evidente intención de ocultación del incumplimiento de sus
deberes contractuales y legales.

Conviene señalar en primer término que, si bien el artículo 32 del RGPD establece una
obligación considerada por la jurisprudencia como obligación de medios, los hechos
probados demuestran una carencia total de implementación efectiva de las medidas
de seguridad comprometidas y exigidas por la normativa.

Por otra parte, conviene precisar que, en el marco de la relación contractual entre
ambas partes, la titularidad de los sistemas de videovigilancia es de UNICAJA y Grupo
Control le presta el servicio de videovigilancia a través de la CRA del Grupo Control.
En dicho contrato, se incluye una Adenda de Encargo mediante el Anexo VII sobre el
régimen de prestación de servicios con acceso a datos personales responsabilidad de
UNICAJA (“Adenda de Encargo”) en el que “figuran, entre otras estipulaciones, que el
encargado actuará siguiendo Instrucciones del responsable, que los datos personales
tratados no podrán ser utilizados para ninguna otra finalidad distinta de la ejecución
del servicio, que tendrán carácter confidencial y no serán publicados o puestos en
conocimiento de terceras partes sin la autorización previa y por escrito del
responsable.”

El Anexo VIII del Contrato firmado por Grupo Control, en fecha 25 de mayo de 2023,
Requisitos de Seguridad de la Información y Riesgo Tecnológico (“Protocolo de
Seguridad”) impone también medidas de confidencialidad para Grupo Control y, de
manera explícita, indica que éstas alcanzan a cualquier empleado de Grupo Control.
Entre las medidas de seguridad que se establecen en este Protocolo, se indica
expresamente que deben darse de alta usuarios y contraseñas nominales y que el
proveedor deberá tener definido para cada aplicación o activo de información que
pudiera albergar información de UNICAJA, los roles de seguridad o perfiles de
usuarios de forma que garanticen los permisos estrictamente necesarios de cada
usuario para la prestación del servicio. En el apartado medidas de seguridad para el
caso de cuentas de servicio, se incluye claramente la exigencia de que existan
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

30/55

usuarios nominativos siguiendo la política de nomenclaturas de UNICAJA.

No obstante, las actuaciones de investigación llevadas a cabo han permitido constatar,
no existiendo controversia al respecto al haber sido admitido por UNICAJA, que todos
los empleados de Grupo Control accedían a las imágenes del sistema de
videovigilancia de UNICAJA mediante un único usuario genérico. La investigación
constata la ausencia de las medidas técnicas y organizativas mínimas exigidas por el
propio contrato y por la debida gestión de riesgos de datos sensibles que impone la
normativa. La falta de trazabilidad intrínseca al usuario genérico es, per se, una
medida inadecuada al riesgo, contraviniendo directamente el artículo 32 del RGPD.

Esto se relaciona directamente con el principio de responsabilidad proactiva del
responsable del tratamiento previsto en el artículo 5.2 del RGPD que establece que «el
responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el
apartado 1 y capaz de demostrarlo (“responsabilidad proactiva”)». Esto significa que el
responsable deberá garantizar la aplicación efectiva de los principios del tratamiento
tanto en el momento de determinar los medios del tratamiento como durante el
tratamiento en sí, bien lleve a cabo el tratamiento de datos personales directamente o
encargue a un encargado del tratamiento que lo realice por su cuenta (a efectos de la
normativa de protección de datos es lo mismo), a través de la articulación de una serie
de medidas técnicas y organizativa de todo tipo, las cuales deberán ser objeto de
revisión y actualización periódica. Ello implica que el responsable es el que asume su
propia responsabilidad dirigiendo, revisando y coordinando el tratamiento, incluyendo
el realizado por el encargado del tratamiento que le presta servicios.

En el caso que nos ocupa, el contrato establecía las medidas nominales, pero el
responsable del tratamiento, UNICAJA, no supervisó ni verificó que se implementaran.
La investigación demuestra que la configuración real difería de la contractual.
Asimismo, la falta de trazabilidad (registros de accesos que solo se conservan 90 días)
impide al responsable auditar a posteriori los accesos no justificados.

UNICAJA es la responsable del tratamiento, es el garante final de que los datos se
traten de forma segura. Delegar la ejecución no exime de la responsabilidad de
verificar el cumplimiento. La falta de implementación de controles de acceso lógico
efectivos es responsabilidad última de UNICAJA.

El TJUE, en su sentencia de 14 de diciembre de 2023, asunto C-340/21 (VB), ha
declarado que la carga de la prueba del cumplimiento de las obligaciones derivadas de
los artículos 5, apartado 1, letra f), y 32 del RGPD corresponde al responsable del
tratamiento, en virtud del principio enunciado en el artículo 5, apartado 2, del RGPD y
desarrollado en su artículo 24:

“49 A este respecto, procede recordar, en primer lugar, que el artículo 5, apartado 2,
del RGPD establece un principio de responsabilidad en virtud del cual el responsable
del tratamiento es responsable del respeto de los principios relativos al tratamiento de
datos personales enunciados en el apartado 1 de ese artículo y estipula que este
responsable debe ser capaz de demostrar la conformidad del tratamiento con dichos
principios.
50 En particular, el responsable del tratamiento debe, de conformidad con los
principios de integridad y de confidencialidad de los datos personales establecidos en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

31/55

el artículo 5, apartado 1, letra f), de dicho Reglamento, garantizar que estos datos son
tratados de tal manera que se garantice una seguridad adecuada de los datos
personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra
su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas
u organizativas apropiadas y debe ser capaz de demostrar la conformidad con los
referidos principios.
51 Asimismo, procede señalar que tanto el artículo 24, apartado 1, del RGPD, en
relación con el considerando 74 de este, como el artículo 32, apartado 1, del mismo
Reglamento obligan al responsable del tratamiento, para todo tratamiento de datos
personales realizado por él mismo o por su cuenta, a aplicar medidas técnicas y
organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es
conforme con el Reglamento.
52 Del tenor de los artículos 5, apartado 2, 24, apartado 1, y 32, apartado 1, del RGPD
se desprende inequívocamente que la carga de la prueba de que los datos personales
se tratan de modo que se garantiza una seguridad adecuada, en el sentido de los
artículos 5, apartado 1, letra f), y 32 de dicho Reglamento, incumbe al responsable del
tratamiento en cuestión [véanse, por analogía, las sentencias de 4 de mayo de 2023,
Bundesrepublik Deutschland (Buzón electrónico judicial), C 60/22, EU: C:2023:373,
apartados 52 y 53, y de 4 de julio de 2023, Meta Platforms y otros (Condiciones
generales del servicio de una red social), C 252/21, EU:C:2023:537, apartado 95].”

Tal y como se ha ido señalando a lo largo del procedimiento sancionador, la
culpabilidad se deriva directamente de la negligencia grave al no asegurarse de la
implementación efectiva de las medidas de seguridad comprometidas ni ejercer la
debida diligencia en la supervisión del encargado del tratamiento.

UNICAJA tenía conocimiento, a través de su propio Análisis de Impacto (EIPD), de que
existían riesgos que requerían medidas de control de acceso lógico específicas, pero
se implantó un sistema genérico que comprometía la trazabilidad de forma continuada.

La infracción no se basa en una "obligación de resultado" imposible, sino en el
incumplimiento de las obligaciones de medios razonables y pactados que, de haberse
implementado, habrían garantizado un nivel de seguridad adecuado al riesgo, tal como
exige el artículo 32 del RGPD.

En consecuencia, las alegaciones deben ser desestimadas.

SEGUNDA. Falta de objeto del procedimiento sancionador.

UNICAJA señala que ha iniciado trámites para abordar aquellos elementos que
pudieran presentar áreas de mejora y considera que esto lleva inevitablemente a la
desaparición del objeto del procedimiento. Sin embargo, esta circunstancia no impide
que nos encontremos ante una infracción consumada en el momento de la apertura
del procedimiento sancionador y por todo el período de duración de la situación
irregular.

TERCERA. Falta de motivación en la tipificación del hecho infractor.

Alega que, en el Acuerdo de Inicio, la AEPD decide tipificar los hechos objeto del
procedimiento sancionador en el tipo recogido en el art. 73.f) LOPDGDD, pero no da
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

32/55

ninguna justificación de cómo los hechos se subsumen en ese tipo, ya que ese tipo no
es aplicable a los hechos que supuestamente se pretenden atribuir a UNICAJA y no se
puede justificar y que la falta de motivación en este punto es esencial puesto que en
relación con las infracciones del art.32 RGPD, la LOPDGDD recoge diversos tipos en
el art. 73 LOPDGDD.

A este respecto, se significa que la exigencia de motivación de los actos
administrativos, como señala entre otras la STS de 19 de nov 2001 (Rec. 6690/2000)
tiene su engarce constitucional en el principio de legalidad que establece el artículo
103 CE, así como en la efectividad del control jurisdiccional de la actuación de la
Administración reconocido en el artículo 106 CE, siendo en el plano legal, el artículo
35.1 de la Ley 39/2015, del Procedimiento Administrativo Común de las
Administraciones Públicas, el precepto que concreta los actos que han de ser
motivados.

Dicha exigencia responde, según reiterada doctrina jurisprudencial, de la que es
exponente la STS 16 de julio de 2001 (Rec. 92/1994), a la finalidad de que el
interesado pueda conocer el cuándo, cómo y por qué de lo establecido por la
Administración, con la amplitud necesaria para la defensa de sus derechos e
intereses, permitiendo también, a su vez, a los órganos jurisdiccionales el
conocimiento de los datos fácticos y normativos que les permitan resolver la
impugnación judicial del acto, en el juicio de su facultad de revisión y control de la
actividad administrativa; de tal modo que la falta de esa motivación o su insuficiencia
notoria, en la medida que impiden impugnar ese acto con seria posibilidad de criticar
las bases y criterios en que se funda, integran un vicio de anulabilidad, en cuanto
dejan al interesado en situación de indefensión.

Motivación de los actos administrativos, que como señala la STS de 29 de marzo de
2012 (Rec. 2940/2010, por todas), no exige ningún razonamiento exhaustivo y
pormenorizado, debiendo expresar las razones que permitan conocer los criterios
esenciales que fundamentan la decisión “facilitando a los interesados el conocimiento
necesario para valorar la corrección o incorrección jurídica del acto a los efectos de
ejercitar las acciones de impugnación que el ordenamiento jurídico establece y
articular adecuadamente sus medios de defensa”.

Pues bien, en el presente procedimiento no cabe apreciar la falta de motivación.
Cuestión distinta es que la reclamada discrepe legítimamente de dicha argumentación,
pero ello no implica la inexistencia de motivación suficiente en la tipificación del hecho
infractor.

En todo caso, según se expresa en el Fundamento de Derecho V, la vulneración del
artículo 32 del RGPD se tipifica como infracción en el artículo 83.4 del mismo
Reglamento, que, bajo la rúbrica “Condiciones generales para la imposición de multas
administrativas” dispone:

“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 10 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

33/55

a) las obligaciones del responsable y del encargado a tenor de los artículos 8,
11, 25 a 39, 42 y 43; (…)”

Por otra parte, la calificación de las infracciones recogida en la LOPDGDD se
establece a los únicos efectos de la prescripción de las infracciones. A estos meros
efectos de la prescripción, las conductas tipificadas en el artículo 83.4 del RGPD se
incardinan en el artículo 73 de la LOPDGDD, que las califica como grave con un plazo
de prescripción de dos años. Se da la circunstancia, por otra parte, de que el supuesto
de hecho analizado coincide exactamente con el establecido en el citado artículo 73.f)
de la LOPDGDD.

En consecuencia, las alegaciones deben ser desestimadas.

CUARTA. - Falta de proporcionalidad de la sanción impuesta.

Sobre esta cuestión relativa a la cuantía de la multa, cabe remitirse a lo expuesto en el
Fundamento de Derecho VI, en el que se detallan las circunstancias valoradas para
determinar el importe de la sanción que se propone y dan respuesta a las alegaciones
formuladas al respecto por UNICAJA.

No obstante, se estima oportuno realizar las precisiones siguientes en relación con las
cuestiones suscitadas por dicha entidad:

1. Considera que teniendo en cuenta los hechos que concurren en el presente caso, la
imposición de una sanción económica por el importe determinado en el acuerdo de
apertura del procedimiento y que la AEPD obvia que en este caso es más adecuado
ordenar la adopción de una medida correctiva, la cual, además, ya ha sido adoptada
por UNICAJA voluntariamente por lo que considera que realmente, lo adecuado es
archivar el procedimiento sin imponer ninguna sanción.

En cuanto al principio de proporcionalidad, la STS, Sala 3ª, de 16 de diciembre de
2003 (Rec. 4996/98) ya señalaba que este principio exige que "la discrecionalidad que
se otorga a la Administración para la aplicación de la sanción se desarrolle
ponderando en todo caso las circunstancias concurrentes, al objeto de alcanzar la
debida proporcionalidad entre los hechos imputados y la responsabilidad exigida".
Principio de proporcionalidad que no se entiende vulnerado, considerándose
proporcionada la sanción propuesta a la entidad, por los hechos probados y
ponderadas las circunstancias concurrentes que se detallan más adelante.

Ahora bien, frente a lo alegado, procede señalar varias cosas:

En primer lugar, el artículo 83.1 RGPD establece que las multas administrativas por las
infracciones del RGPD deben ser “…en cada caso individual efectivas, proporcionadas
y disuasorias”, indicando a continuación en el apartado 2 del citado precepto, que “Las
multas administrativas se impondrán en función de las circunstancias de cada caso
individual, a título adicional o sustitutivo de las medidas contempladas…”.
Estableciendo a continuación determinadas circunstancias a tener en cuenta.

Así, el cálculo del importe de las multas queda a decisión de la autoridad de control,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

34/55

con sujeción a las normas previstas en el RGPD.

En este contexto, el RGPD exige, como se ha señalado, que el importe de la multa sea
en cada caso efectivo, proporcionado y disuasorio (artículo 83, apartado 1, del RGPD).
Además, al fijar el importe de la multa, las autoridades de control tendrán debidamente
en cuenta una lista de circunstancias que se refieren a las características de la
infracción (su gravedad) o al carácter del autor (artículo 83, apartado 2, del RGPD).

Por último, el importe de la multa no excederá de los importes máximos previstos en el
artículo 83, apartado 4, apartados 5 y 6, del RGPD.

Por lo tanto, la cuantificación del importe de la multa se basa en una evaluación
específica realizada en cada caso, dentro de los parámetros previstos por el RGPD.
Además, debe tenerse en cuenta que el cálculo de una multa no es un mero ejercicio
matemático, siendo las circunstancias del caso específico los factores determinantes
que conducen a la cantidad final, que puede ser, en todos los casos y para cada
infracción, una cantidad distinta hasta el máximo legal.

Como consideración general y final, procede señalar que la sanción propuesta no
vulnera el principio de proporcionalidad. Así, debe recordarse que el artículo 83.4,
donde se encuentran tipificada la infracción del artículo 32 establece unos límites en
las cuantías de las multas que se pueden imponer muy alejados de la que se ha
establecido en este acto.

Recordemos en este punto lo manifestado por el TJUE en la sentencia dictada en el
asunto C-683-21.

78 La existencia de un sistema de sanciones que permita imponer, cuando las
circunstancias específicas de cada caso lo justifiquen, una multa administrativa con
arreglo al artículo 83 del RGPD crea un incentivo para que los responsables y
encargados del tratamiento cumplan el Reglamento. Con su efecto disuasorio, las
multas administrativas contribuyen a reforzar la protección de las personas físicas en
lo que respecta al tratamiento de datos personales y constituyen, por ende, un
elemento clave para garantizar el respeto de los derechos de dichas personas, de
conformidad con la finalidad del citado Reglamento de asegurar un elevado nivel de
protección de esas personas en lo que respecta al tratamiento de los datos
personales.

Asimismo, la reciente STJUE de 13 de febrero de 2025, en el asunto C-383/23,
dispone que la imposición de una multa exige en el examen de cada caso particular de
una serie de elementos previstos en el artículo 83 del RGPD, del que el volumen de
negocios es un elemento más (ni el único ni el determinante), para imponer una multa
que sea proporcional, disuasoria y efectiva y se refuerce, de esta forma, la protección
de las personas físicas. Sobre esta cuestión, después de detallar el contenido de los
apartados 1 y 2 del artículo 83 del RGPD, declara:

29 Aunque estos elementos no hacen referencia al concepto de empresa, en el
sentido de los artículos 101 TFUE y 102 TFUE, el Tribunal de Justicia ya ha declarado
que solamente una multa que tenga en cuenta no solo todos los elementos que
caractericen las infracciones del RGPD constatadas, sino también, en su caso, la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

35/55

capacidad económica real o material de su destinatario, reúne los tres requisitos
establecidos en el artículo 83, apartado 1, del RGPD, a saber, ser a la vez efectiva,
proporcionada y disuasoria...”.

Asimismo, la Sentencia del TJUE, de 13 de junio de 2013, Versalis Spa/Comisión, C-
511/11, ECLI:EU:C:2013:386, dice:

“94. Respecto, en primer lugar, a la referencia a la sentencia Showa Denko/Comisión,
antes citada, es preciso señalar que Versalis la interpreta incorrectamente. En efecto,
el Tribunal de Justicia, al señalar en el apartado 23 de dicha sentencia que el factor
disuasorio se valora tomando en consideración una multitud de elementos y no sólo la
situación particular de la empresa de que se trata, se refería a los puntos 53 a 55 de
las conclusiones presentadas en aquel asunto por el Abogado General Geelhoed, que
había señalado, en esencia, que el coeficiente multiplicador de carácter disuasorio
puede tener por objeto no sólo una «disuasión general», definida como una acción
para desincentivar a todas las empresas, en general, de que cometan la infracción de
que se trate, sino también una «disuasión específica», consistente en disuadir al
demandado concreto para que no vuelva a infringir las normas en el futuro. Por lo
tanto, el Tribunal de Justicia sólo confirmó, en esa sentencia, que la Comisión no
estaba obligada a limitar su valoración a los factores relacionados únicamente con la
situación particular de la empresa en cuestión.”

“102. Según reiterada jurisprudencia, el objetivo del factor multiplicador disuasorio y de
la consideración, en este contexto, del tamaño y de los recursos globales de la
empresa en cuestión reside en el impacto deseado sobre la citada empresa, ya que la
sanción no debe ser insignificante, especialmente en relación con la capacidad
financiera de la empresa (en este sentido, véanse, en particular, la sentencia de 17 de
junio de 2010, Lafarge/Comisión, C-413/08 P, Rec. p. I-5361, apartado 104, y el auto
de 7 de febrero de 2012, Total y Elf Aquitaine/Comisión, C-421/11 P, apartado 82).”

2. En cuanto a la inexistencia de beneficio obtenido por razón de la infracción, cabe
indicar que el artículo 83.2.k) del RGPD se refiere a “cualquier otro factor agravante o
atenuante aplicable a las circunstancias del caso, como los beneficios financieros
obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.”
Y el artículo 76.2c) de la LOPDGDD dice que “2. De acuerdo con lo previsto en el
artículo 83.2.k) del Reglamento (UE) 2016/679 también podrán tenerse en cuenta: [..]
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.”
Ambas disposiciones mencionan como factor que puede tenerse en cuenta en la
graduación de la sanción los “beneficios” obtenidos, pero no la “ausencia” de éstos.

Además, conforme al artículo 83.1 del RGPD la imposición de las sanciones de multa
está presidida por los siguientes principios: deberán estar individualizadas para cada
caso particular, ser efectivas, proporcionadas y disuasorias. La admisión de que opere
como una atenuante la ausencia de beneficios es contraria al espíritu del artículo 83.1
del RGPD y a los principios por los que se rige la determinación del importe de la
sanción de multa. Si a raíz de la comisión de una infracción del RGPD se califica como
atenuante que no han existido beneficios, se anula en parte la finalidad disuasoria que
se cumple a través de la sanción. Aceptar la tesis de la reclamada en un supuesto
como el que nos ocupa supondría introducir una rebaja artificial en la sanción que
verdaderamente procede imponerse; la que resulta de considerar las circunstancias
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

36/55

del artículo 83.2 RGPD que sí deben de ser valoradas.

La Sala de lo Contencioso Administrativo de la Audiencia Nacional ha advertido que, el
hecho de que en un supuesto concreto no estén presentes todos los elementos que
integran una circunstancia modificativa de la responsabilidad que, por su naturaleza,
tiene carácter agravante, no puede llevar a concluir que tal circunstancia es aplicable
en calidad de atenuante. El pronunciamiento que hace la Audiencia Nacional en su
SAN de 5 de mayo de 2021 (Rec. 1437/2020) -por más que esa resolución verse
sobre la circunstancia del apartado e) del artículo 83.2. del RGPD, la comisión de
infracciones anteriores- es extrapolable a la cuestión planteada, la pretensión de la
reclamada de que se acepte como atenuante la “ausencia” de beneficios siendo así
que tanto el RGPD como la LOPDGDD se refieren solo a “los beneficios obtenidos”.

3. En cuanto a la prescripción, procede señalar que la AEPD ha tomado como
referencia los hechos probados a partir del contrato suscrito por UNICAJA y Grupo
Control en fecha 01/01/2023 y que la infracción por falta de medidas de seguridad por
la que se sanciona no ha prescrito.

4. La Sala de lo Contencioso Administrativo de la Audiencia Nacional ha advertido que,
el hecho de que en un supuesto concreto no estén presentes todos los elementos que
integran una circunstancia modificativa de la responsabilidad que, por su naturaleza,
tiene carácter agravante, no puede llevar a concluir que tal circunstancia es aplicable
en calidad de atenuante. El pronunciamiento que hace la Audiencia Nacional en su
SAN de 5 de mayo de 2021 (Rec. 1437/2020) -por más que esa resolución verse
sobre la circunstancia del apartado e) del artículo 83.2. del RGPD, la comisión de
infracciones anteriores- es extrapolable a las cuestiones planteadas por la reclamada

IV
Obligación incumplida. Seguridad del tratamiento

Establece el artículo 32 del RGPD, seguridad del tratamiento, lo siguiente:

“1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la
naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de
probabilidad y gravedad variables para los derechos y libertades de las personas
físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y
organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo,
que en su caso incluya, entre otros:

a) la seudonimización y el cifrado de datos personales;
b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y
resiliencia permanentes de los sistemas y servicios de tratamiento;
c) la capacidad de restaurar la disponibilidad y el acceso a los datos
personales de forma rápida en caso de incidente físico o técnico;
d) un proceso de verificación, evaluación y valoración regulares de la eficacia
de las medidas técnicas y organizativas para garantizar la seguridad del
tratamiento.

2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en
cuenta los riesgos que presente el tratamiento de datos, en particular como
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

37/55

consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos.

3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un
mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento
para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del
presente artículo.

4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que
cualquier persona que actúe bajo la autoridad del responsable o del encargado y
tenga acceso a datos personales solo pueda tratar dichos datos siguiendo
instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de
la Unión o de los Estados miembros”.

Así, dicho precepto obliga la adopción de medidas de seguridad, que pueden ser de
índole técnica u organizativa y que deberán ser adecuadas al riesgo del tratamiento de
datos personales realizados. A sensu contrario dicho precepto se vería vulnerado si no
se adoptasen dichas medidas que, adecuadas al riesgo y con carácter general,
garantizasen la seguridad del tratamiento.

De la documentación incorporada a las actuaciones resulta evidente la ausencia de
adopción de medidas técnicas y organizativas de seguridad apropiadas con el fin de
garantizar un nivel de seguridad adecuado al riesgo.

En el Anexo VIII del Contrato de prestación de servicios entre UNICAJA y grupo
control, suscrito en fecha 1 de enero de 2023, se indica entre las medidas de
seguridad que se establecen bajo el título “Requisitos de Seguridad de la Información
y Riesgo Tecnológico”, que deben darse de alta usuarios y contraseñas nominales.

Así consta en su punto 3.5.2:

“3.5.2. Medidas de seguridad en aplicativos
EI PROVEEDOR se compromete a que todo aplicativo que almacene o procese
información propiedad de UNICAJA BANCO dará cumplimiento a las siguientes
medidas de seguridad:
- Previo a la prestación del servicio el PROVEEDOR tendrá definido para cada
aplicación o activo de información que pudiera albergar información de UNICAJA
BANCO los roles de seguridad o perfiles de usuarios de forma que se garantice para
cada usuario los permisos estrictamente necesarios para la prestación del servicio.
- EI PROVEEDOR deberá tener la capacidad de obtener un listado de usuarios con
privilegios de acceso a los sistemas que tratan información de UNICAJA BANCO. En
cumplimiento de los requisitos de trazabilidad de UNICAJA BANCO todo usuario que
acceda a un sistema con información de UNICAJA BANCO deberá ser nominativo, no
permitiéndose la compartición de cuentas de usuarios entre los empleados del
PROVEEDOR o en los que este pueda delegar.

Sin embargo, las actuaciones de investigación llevadas a cabo han permitido constatar
que el sistema se configuró con un único usuario genérico, siendo el personal de
Grupo Control el que utilizaba dicho usuario genérico.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

38/55

Se ha aportado un listado del personal de GRUPO CONTROL con permisos de
acceso, siendo de 10 operadores (categoría de operadores telefónicos) y un jefe de
sala (coordinador), que accedían al sistema de visualización de las imágenes bajo
dicho usuario genérico.

UNICAJA en su condición de responsable del tratamiento, dado que es quien
determina los fines y los medios relacionados con el tratamiento de los datos de
carácter personal, en virtud del artículo 4.7 del RGPD, debe asumir dicha
responsabilidad.

Como responsable del tratamiento se debe encargar de adoptar o verificar que se
adoptan efectivamente las medidas técnicas y organizativas que salvaguarden la
seguridad de los datos personales, controlar que son debidamente aplicadas y ser
capaz de demostrar el cumplimiento del RGPD y de la LOPDGDD.

Si bien consta un estudio previo de Análisis de Impacto donde han sido consideradas
medidas de seguridad específicas sobre el control de acceso lógico a las imágenes, no
consta que hayan sido implementadas, al estar configurado un único usuario de
acceso genérico al sistema de videovigilancia, de forma continuada, para todos los
empleados de la CRA.

Asimismo, las actuaciones de investigación han permitido constatar que no se
revisaron por parte de UNICAJA los perfiles de acceso al inicio de la ejecución de los
servicios que presta Grupo Control, habiéndose realizado una auditoría al respecto en
septiembre de 2024, cuando UNICAJA ya tenía conocimiento de las investigaciones
que esta AEPD estaba realizando, la cual confirmó la falta de aquella medida de
seguridad en el control de los accesos por los empleados de Grupo Control a los
sistemas de videovigilancia de UNICAJA. Por otra parte, se observa también que las
medidas dispuestas no garantizan una adecuada trazabilidad de los accesos, ya que
éstos sólo se conservan durante 90 días.

La responsabilidad del reclamado viene determinada por la falta de las indicadas
medidas de seguridad, ya que es responsable de tomar decisiones destinadas a
adoptar e implementar de manera efectiva las medidas técnicas y organizativas
apropiadas para garantizar un nivel de seguridad adecuado al riesgo, para asegurar la
confidencialidad de los datos o evitar que se produzcan accesos no necesarios o
excesivos por parte de los trabajadores.

Por tanto, la no adopción de dichas medidas de seguridad adecuadas al riesgo por
parte del responsable supone un incumplimiento de lo establecido en el artículo 32 del
RGPD, siendo tales hechos constitutivos de una infracción imputable a UNICAJA por
vulneración del citado precepto.
V
Tipificación de la infracción del artículo 32 del RGPD

La citada infracción del artículo 32 del RGPD supone la comisión de las infracciones
tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales
para la imposición de multas administrativas” dispone:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

39/55

“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 10 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:

a) las obligaciones del responsable y del encargado a tenor de los artículos 8,
11, 25 a 39, 42 y 43; (…)”

A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.

A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves”
de la LOPDGDD indica:

“En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se
consideran graves y prescribirán a los dos años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:

f) La falta de adopción de aquellas medidas técnicas y organizativas que
resulten apropiadas para garantizar un nivel de seguridad adecuado al
riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del
Reglamento (UE) 2016/679.”

VI
Propuesta de sanción

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:

“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.

2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:

a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

40/55

paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida; i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido
ordenadas previamente contra el responsable o el encargado de que se trate en
relación con el mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42,
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.”

Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:

“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.

2. De acuerdo con lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:

a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión
de la infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de
datos.
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier
interesado.”

En el presente caso, considerando la gravedad de la infracción, atendiendo
especialmente a los riesgos que su comisión provoca, corresponde la imposición de
multa.

Procede cuantificar la sanción que se propone, considerando para ello que la multa
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

41/55

que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y
disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar
estos principios, se considera, con carácter previo, el volumen de negocio de
UNICAJA, que en el ejercicio 2023 ascendió a 1.775.548.000 euros.

En primer término, se tiene en cuenta la categoría de la infracción cometida,
comprendida en el nivel establecido en el artículo 83.4 del RGPD, que castiga la
conducta con una multa máxima de 10 millones de euros o, tratándose de una
empresa, con una multa por una cuantía equivalente al 2% como máximo de su
volumen de negocio anual. Según el citado precepto, al establecer el importe máximo
aplicable debe optarse por el límite de mayor cuantía, de los dos fijados por la norma.

En este caso, tratándose de una empresa, cuyo volumen de negocio ascendió en el
año 2023 a 1.775.548.000 euros, el importe de la multa que procede imponer estará
necesariamente situado entre 0,00 euros y 35.510.960 euros.

De acuerdo con los preceptos transcritos, a efectos de fijar el importe inicial de la
sanción a imponer en el presente caso por la infracción del artículo 32 del RGPD de la
que se responsabiliza a UNICAJA, tipificada en el artículo 83.4.a) del RGPD, se
estiman concurrentes los siguientes factores:

1. Como elementos determinantes del nivel de gravedad de la infracción, se toman en
consideración las circunstancias siguientes:

. Artículo 83.2.a) del RGPD: “la naturaleza, gravedad y duración de la infracción,
teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento
de que se trate, así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido”.

. Naturaleza de la infracción:

El artículo 83.4 agrupa varios tipos de conductas diferentes. En este caso, la
disposición infringida afecta a un principio básico del derecho a la protección de datos
personales, por cuanto sustenta la seguridad del tratamiento de datos y su violación
entraña un riesgo importante para los derechos de los interesados, incluidos riesgos
para la confidencialidad de los datos personales, en la medida en que no se ha
garantizado el control de todos aquellos que actúan en nombre del responsable,
asegurando una adecuada protección de los datos personales.

. Gravedad de la infracción:

. El alcance del tratamiento:

Interesa considerar que UNICAJA es una entidad financiera con gran implantación
que dispone de multitud de sistemas de videovigilancia (8.885 cámaras
conectadas al nuevo sistema, más 736 equipos pendientes) y que la infracción es
consecuencia directa de las debilidades de las medidas implantadas por dicha
entidad.

La relación existente entre la infracción cometida y la asignación de recursos que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

42/55

cabe exigir a UNICAJA para impedir este tipo de actuaciones ilícitas debe
analizarse en base al riesgo real y a aquella circunstancia relativa a su amplio
ámbito de actuación.

. Número de interesados:

Considerando la implantación de la entidad, el número de potenciales afectados
es muy alto.

. Duración de la infracción: la infracción se comete desde el inicio de la relación
contractual que vincula a UNICAJA y Grupo control, formalizada en el contrato de
prestación de servicios suscrito en enero de 2023.

. Artículo 83.2.b) del RGPD: “la intencionalidad o negligencia en la infracción”.

Se observa en la conducta de UNICAJA una negligencia grave, por incumplimiento del
deber de cuidado exigido por la ley, más allá de lo que puede considerarse un factor
neutro asociado al elemento subjetivo de la culpabilidad.

Esta conclusión resulta de elementos objetivos de la conducta de UNICAJA, obtenidos
en base a todas las circunstancias de hecho que constan detalladas en los
Fundamentos de Derecho que preceden, que muestran claramente que esta entidad
no desarrolló ninguna actuación para asegurarse del a efectiva implantación de las
medidas de seguridad exigidas al encargado del tratamiento.

Conectado también con el grado de diligencia que la reclamada está obligada a
desplegar en el cumplimiento de las obligaciones que le impone la normativa de
protección de datos puede citarse la SAN de 17/10/2007. Si bien fue dictada antes de
la vigencia del RGPD su pronunciamiento es perfectamente extrapolable al supuesto
que analizamos. La sentencia, después de aludir a que las entidades en las que el
desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y
terceros han de observar un adecuado nivel de diligencia, precisaba que “(...). el
Tribunal Supremo viene entendiendo que existe imprudencia siempre que se
desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con
la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse
especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso
ahora examinado, cuando la actividad de la recurrente es de constante y abundante
manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado
por ajustarse a las prevenciones legales al respecto”.

. Artículo 83.2.g) del RGPD: “las categorías de los datos de carácter personal
afectados por la infracción”.

La infracción cometida afecta a datos personales relativos a la imagen de “clientes”,
“potenciales clientes”, “empleados y asimilados”, así como “proveedores”.

2. Se considera el siguiente factor de graduación en calidad de atenuante:

. Artículo 83.2.k) del RGPD: “cualquier otro factor agravante o atenuante aplicable a
las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

43/55

evitadas, directa o indirectamente, a través de la infracción”.

La valoración del comportamiento de UNICAJA, en este caso, exige considerar las
acciones llevadas a cabo por dicha entidad dirigidas al cumplimiento de lo establecido
en el RGPD y LOPDGDD, en consideración al principio de mejora continua,
especialmente las detalladas en los Hechos Probados Sexto y Séptimo.

Sin obviar que esa mejora continua es una obligación exigible a los responsables del
tratamiento, se estima oportuno considerar la actitud proactiva mostrada por UNICAJA,
que a lo largo de las actuaciones ha realizado controles específicos para identificar las
carencias en sus medidas de seguridad y ha dispuesto los cambios oportunos para
corregir la situación irregular.

En base a todo cuanto antecede, atendiendo a la exigencia de que la multa sea
efectiva, proporcionada y disuasoria, y con el objetivo de procurar el cumplimiento
efectivo del RGPD y la LOPDGDD, el balance de las circunstancias contempladas en
el artículo 83.2 del RGPD y 76.2 de la LOPDGDD consideradas en su conjunto, con
respecto a la presunta infracción de lo establecido en el artículo 6 del RGPD, permite
proponer una sanción de multa administrativa en una cuantía de 500.000,00 euros
(quinientos mil euros).
VII
Medidas correctivas

Confirmada la infracción, la resolución que se dicte podrá establecer las medidas
correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento
de la legislación de protección de datos personales, en este caso del artículo 32 del
RGPD, de acuerdo con lo establecido en el citado artículo 58.2.d) del RGPD, según el
cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”

Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la
normativa de protección de datos personales, con el alcance expresado en los
anteriores Fundamentos de Derecho.

En el presente acto se establece cuál es la presunta infracción cometida y los hechos
que podrían dar lugar a esa posible vulneración de la normativa de protección de
datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio
de que el tipo de procedimientos, mecanismos o instrumentos concretos para
implementarlas corresponda a la parte sancionada, pues es el responsable del
tratamiento quien conoce plenamente su organización y ha de decidir, en base a la
responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la
LOPDGDD.

En el presente caso, consta que UNICAJA ha implementado un nuevo sistema que
permite integrar y gestionar todos los sistemas de seguridad en un único aplicativo, así
como establecer un control de accesos basado en los roles o permisos que se asignan
de manera nominativa.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

44/55

Al tiempo, ha establecido directrices para definir la segmentación de los accesos en
función de las responsabilidades de cada usuario y la implementación de controles de
accesos específicos para garantizar que solo los usuarios autorizados puedan acceder
y descargar imágenes de grabadores de clientes, que incluye la autenticación
mediante credenciales únicas y la monitorización de las actividades realizadas.

Por tanto, se propone que en la resolución que se adopte se requiera a UNICAJA para
que, en el plazo máximo de tres meses, a contar desde la fecha de ejecutividad de la
resolución finalizadora de este procedimiento, acredite ante esta Agencia la adopción y
efectiva implantación de las medidas indicadas, en cumplimiento de lo dispuesto en el
artículo 32 del RGPD.

Se advierte que no atender la posible orden de adopción de medidas impuestas por
este organismo en la resolución del presente procedimiento sancionador podrá ser
considerado como una infracción administrativa conforme a lo dispuesto en el RGPD,
tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la
apertura de un ulterior procedimiento administrativo sancionador.

Por otra parte, se recuerda que ni el reconocimiento de la infracción cometida ni, en su
caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de
adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de
la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa
obligación.

A la vista de lo expuesto se procede a emitir la siguiente

PROPUESTA DE RESOLUCIÓN

Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a
UNICAJA BANCO, S.A.U., con NIF A93139053, por una infracción del artículo 32 del
RGPD, tipificada en el artículo 83.4 del RGPD, con una multa de 500.000 euros
(quinientos mil euros).

Que por la Presidencia de la Agencia Española de Protección de Datos se ordene a
UNICAJA BANCO, S.A.U., con NIF A93139053, que en virtud del artículo 58.2.d) del
RGPD, en el plazo máximo de tres meses, a contar desde la fecha de ejecutividad de
la resolución finalizadora de este procedimiento, acredite ante esta Agencia la
adopción de las medidas necesarias para garantizar el cumplimiento de lo dispuesto
en el artículo 32 del RGPD con el alcance expresado en el Fundamento de Derecho
VII de esta propuesta de resolución.

Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le
informa de que podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá una reducción de un 20% del importe de esta. Con la aplicación de esta
reducción, la sanción quedaría establecida en 400.000 euros (cuatrocientos mil euros)
y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de
las medidas correspondientes. La efectividad de esta reducción estará condicionada al
desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la
sanción.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

45/55

A estos efectos, en caso de acogerse a esta reducción, deberá remitir a la
Subdirección General de Inspección de datos comunicación expresa del desistimiento
o renuncia a cualquier acción o recurso en vía administrativa contra la sanción.

En caso de que optara por proceder al pago voluntario de la cantidad especificada
anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla
efectiva mediante su ingreso en la cuenta restringida nº IBAN: ES00-0000-0000-0000-
0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando
en el concepto el número de referencia del procedimiento que figura en el
encabezamiento de este documento y la causa, por pago voluntario, de reducción del
importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la
Subdirección General de Inspección para proceder a cerrar el expediente.

De conformidad con lo establecido en el artículo 76.4 de la LOPDGDD y dado que el
importe de la sanción impuesta es superior a un millón de euros, será objeto de
publicación en el Boletín Oficial del Estado la información que identifique al infractor, la
infracción cometida y el importe de la sanción.

En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento
a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y
presentar los documentos e informaciones que considere pertinentes, de acuerdo con
el artículo 89.2 de la LPACAP.
926-250625

R.R.R.
INSTRUCTORA
ANEXO

Índice del expediente EXP202404507

(…)
>>

La citada propuesta de resolución fue enviada, conforme a las normas establecidas en
la LPACAP, mediante notificación electrónica, siendo recibida en fecha 19 de enero de
2026, como consta en el certificado que obra en el expediente.

SEGUNDO: En fecha 2 de febrero de 2026, UNICAJA presentó escrito de alegaciones
a la Propuesta de Resolución, en el que, en síntesis, manifiesta que:

PRIMERA. - UNICAJA SE ACOGE A LA REDUCCIÓN POR EL PAGO VOLUNTARIO
DE LA SANCIÓN.

Acompaña justificante de pago como Documento nº 1. Al haber procedido al pago
voluntario de la sanción, al amparo del artículo 85 de la Ley 39/2015 y con renuncia a
la presentación de recurso en vía administrativa, UNICAJA solicita que se dicte
resolución por la que se declare la terminación del presente procedimiento
sancionador y se proceda al archivo de este.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

46/55

SEGUNDA. - UNICAJA HA ACTUADO DILIGENTEMENTE Y NO HA INCUMPLIDO
EL ART. 32 RGPD.

Sin perjuicio de lo anterior, UNICAJA no reconoce responsabilidad de la infracción que
se le imputa y defiende que su actuación ha sido en todo momento de acuerdo con la
normativa de protección de datos.

Alega que la obligación del art. 32 RGPD es una obligación de medios, no de
resultado, y afirma que UNICAJA sí tiene implementadas las medidas cuya ausencia
reprocha la AEPD. Considera que no ha incumplido sus obligaciones del art. 32
RGPD.

Manifiesta que UNICAJA vigila y verifica a todos sus proveedores de forma adecuada
y, particularmente, a Grupo Control. La acreditación de tales medidas obra en el
expediente y ha sido aportada en la fase de prueba.

Considera que además, (…).

Por ello, sin perjuicio del pago voluntario y de la consiguiente renuncia a presentación
de recurso en vía administrativa considera demostrado que UNICAJA ha actuado
diligentemente y ha cumplido con sus obligaciones del art. 32 RGPD.

TERCERA. – ERROR EN LA TIPIFICACIÓN DE LA INFRACCIÓN.

UNICAJA desea señalar un error en la tipificación de la infracción de conformidad con
la LOPDGDD.

Afirma que UNICAJA sí tenía implementadas medidas técnicas y organizativas en
relación con el control de acceso lógico y la obligación de utilizar usuarios nominativos.
Considera que no estamos, en consecuencia, ante un supuesto de "falta de adopción"
de medidas, sino, en todo caso, ante un supuesto de quebrantamiento de medidas ya
implantadas, por lo que, la conducta (en su caso) debería tipificarse conforme al
artículo 73 (g) LOPDGDD. Entiende que esto es así porque el hecho de que no se
establecieran usuarios nominativos es algo que no deriva de una falta de medidas de
seguridad, sino del quebranto de éstas por la actuación del encargado del tratamiento
(Grupo Control). Expone que la tipificación debe ajustarse a los hechos acreditados,
por lo que si los hechos demuestran que sí existían medidas implementadas (que
fueron quebrantadas por el encargado), no procede la aplicación de un tipo infractor
que presupone su ausencia.

Por ello, solicita a la AEPD que, de dictar resolución entendiendo que existe una
infracción del art. 32 del RGPD, incardine la tipificación de los hechos en el apartado
g) y no en el apartado f) del art. 73 LOPDGDD.

CUARTA. – UNICAJA YA HA ADOPTADO LAS MEDIDAS CORRECTIVAS.

Indica que realiza constantes revisiones de sus medidas en materia de protección de
datos para detectar posibles áreas de mejora o refuerzo, así como la efectiva

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

47/55

implementación de estas medidas, tanto por los integrantes de UNICAJA como por
terceros proveedores.

En concreto, dentro del compromiso con el estricto cumplimiento de la normativa de
protección, en relación con las medidas de seguridad de Grupo Control y los sistemas
de gestión de usuarios y acceso lógico, alega que cuenta con mecanismos de revisión
continua y controla la efectividad de las medidas de seguridad. Particularmente,
informa que ha realizado a Grupo Control –previo al Acuerdo de Inicio– una auditoría
en 2024 para asegurar el cumplimiento efectivo sus instrucciones y las medidas de
seguridad impuestas con el fin de identificar posibles deficiencias o áreas de mejora
(véase el Documento nº 2-10 aportado en la fase probatoria). Expone que en la
Auditoría se realizó una valoración sobre la aplicación de medidas sobre el control de
accesos a las imágenes captadas por los sistemas de videovigilancia y una revisión de
los métodos de conservación, plazos y medios para la efectiva destrucción de
imágenes. En el apartado medidas sobre control de accesos a las imágenes de los
sistemas de videovigilancia del Informe de Auditoría (el “Informe”), se hace referencia
a un área de mejora, como es el acceso a las grabaciones a través de un usuario
único y afirma que “UNICAJA está actualmente reforzando las medidas de acceso a
CCTV. En particular, la solución propuesta es la implementación del sistema
***SISTEMA.1 que permite la integración y gestión de todos los sistemas de seguridad
(sistemas de control de accesos, alarmas, control de presencia, etc.) en un único
aplicativo. Con este sistema, se puede establecer un control de accesos basado en
roles a dicho aplicativo -los permisos se asignan de manera nominativa- y así evitar un
posible acceso directo a los grabadores”. El Informe indica que este refuerzo ya se
recoge en la Propuesta de securización del sistema de accesos a imágenes del
sistema de videovigilancia dirigido al Comité de Riesgos Tecnológicos con fecha de 21
de junio de 2024.

Alega que en aquellas medidas de seguridad en las que se detectaron posibles
refuerzos, UNICAJA ya estaba trabajando en reforzar su sistema. Además, el plan de
acción propuesto en el Informe coincide con las medidas sobre las que UNICAJA
estaba trabajando en implementar. Y es que, a raíz de esta auditoría, afirma que
realizó recomendaciones específicas a Grupo Control en relación con las medidas de
seguridad y sistemas de accesos. Indica que ya inició trámites para abordar aquellos
elementos que pudieran presentar áreas de mejora, desde el momento en que
llegaron a su conocimiento. Manifiesta que ha considerado como prioridad cualquier
posible área de mejora que se hubiera detectado tanto en la Auditoría como en el
trascurso de la actividad ordinaria y ha puesto todos los medios para acometerlas a
través del nuevo sistema ***SISTEMA.1 (véanse los Documentos nº 2-5 y nº 2-6
aportados en la fase probatoria). Alega que ha hecho seguimiento de las
recomendaciones y puede confirmar que, a día de hoy, Grupo Control ha
implementado tales recomendaciones (véase el Documento nº 2-10 aportado
en la fase probatoria). Por este motivo, asegura contar con un sistema de acceso
actualizado que con la implementación de ***SISTEMA.1 permite establecer un control
de accesos basado en roles, asignando los permisos de manera nominativa.

Por todo ello, defiende que no procede el establecimiento de medidas correctivas, ya
que considera que tiene medidas técnicas y organizativas conforme al art. 32 del
RGPD, a lo que se añade que, además, no existe reproche alguno posible en las
medidas de UNICAJA en vigor en relación con el control de accesos. Cualquier
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

48/55

reproche de la AEPD en relación con una supuesta deficiencia en la implementación
de usuarios nominativo, entiende que está totalmente solventado hoy en día, gracias a
las medidas de control, revisión continua y seguimiento.

En definitiva, considera que no procede la implementación de medidas correctivas,
puesto que tales medidas ya han sido voluntariamente adoptadas por UNICAJA.

QUINTA. - LA RESOLUCIÓN NO DEBE PUBLICARSE EN EL BOE.

Alega que la Propuesta de Resolución propone una sanción de 500.000 euros, cuantía
que, con el acogimiento a la reducción por pronto pago de UNICAJA, se ve reducida a
400.000 euros. Ambas cifras son inferiores a 1.000.000 por lo que entiende que no se
cumple el umbral de cuantía establecido por el art. 76.4 de la LOPDGDD para la
publicación en el BOE. En consecuencia, sin perjuicio de la publicidad que
corresponda a la resolución de conformidad con el art. 50 de la LOPDGDD, considera
que no procede la publicación en el BOE de la resolución que ponga fin al
procedimiento.

En virtud de lo expuesto, solicita a la AEPD que, teniendo por presentado el escrito y
los documentos que le acompañan, los admita, y previos los trámites legales
oportunos, dicte resolución por la que se dé por terminado el presente expediente
sancionador por una infracción del art. 73 (g) LOPDGDD, y se proceda al archivo de
este, sin la imposición de medidas correctivas a UNICAJA ni su publicación en el BOE.

TERCERO: En fecha 2 de febrero de 2026, UNICAJA procedió al pago voluntario de la
sanción propuesta en la cuantía de 400.000 euros (cuatrocientos mil euros),
acogiéndose a la reducción del 20% del importe de esta, de conformidad con lo
establecido en el artículo 85.2 de la LPACAP.

FUNDAMENTOS DE DERECHO

I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
Garantía de los Derechos Digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento, la Presidencia de la Agencia Española de Protección de
Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II
Alegaciones a la Propuesta de Resolución

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

49/55

En relación con las alegaciones aducidas a la Propuesta de Resolución, se procede a
dar respuesta a las mismas, según el orden expuesto:

PRIMERA. - UNICAJA SE ACOGE A LA REDUCCIÓN POR EL PAGO VOLUNTARIO
DE LA SANCIÓN.

Consta que UNICAJA, en fecha 2 de febrero de 2026, ha procedido al pago voluntario
de la sanción propuesta, en la cuantía de 400.000,00 euros haciendo uso de la
reducción de un 20% del importe de esta, prevista en la Propuesta de resolución. Por
tanto, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, con la
aplicación de esta reducción, la sanción queda establecida en 400.000 euros
(cuatrocientos mil euros) y su pago implica la terminación del procedimiento, sin
perjuicio de la imposición de las medidas correspondientes.

SEGUNDA. - UNICAJA HA ACTUADO DILIGENTEMENTE Y NO HA INCUMPLIDO
EL ART. 32 RGPD.

En este punto conviene recordar que efectivamente el artículo 32 RGPD establece una
obligación de medios, pero no unos medios cualesquiera, sino “medidas técnicas y
organizativas apropiadas”, teniendo en cuenta naturaleza, alcance, contexto, fines del
tratamiento y riesgos para los derechos y libertades de las personas. En un sistema de
videovigilancia masivo de una entidad bancaria, con imágenes de clientes, empleados
y terceros, el estándar de diligencia exigible es muy elevado: trazabilidad individual de
accesos, segmentación de perfiles, control efectivo de proveedores y auditorías reales
y periódicas sobre quién accede a las imágenes. Por tanto, el debate no es si existían
documentos o contratos, sino si las medidas realmente implantadas y operativas en el
periodo relevante, garantizaban un nivel de seguridad adecuado al riesgo, cuestión
que se niega a la vista de los hechos probados.

UNICAJA reconoció que al software de videovigilancia se accedía mediante un único
usuario y contraseña genéricos, utilizados por todos los empleados de Grupo Control
en la CRA. El registro de accesos solo recogía el usuario genérico y la IP del equipo,
lo que impedía saber qué persona concreta accedía, cuándo y para qué. Esto
contradice frontalmente las exigencias de usuarios nominativos, segmentación y
trazabilidad contenidas en el propio Anexo VIII.

Por tanto, UNICAJA no cumple el artículo 32 RGPD si tolera durante años un sistema
de acceso sin identificación individual de usuarios, en un tratamiento de alto riesgo
como es la videovigilancia bancaria. El artículo 32 exige medidas como la capacidad
de garantizar confidencialidad, integridad, disponibilidad y resiliencia, así como la
capacidad de asegurar que cualquier persona que actúe bajo la autoridad del
responsable y tenga acceso a datos, solo pueda tratarlos siguiendo instrucciones del
responsable. Sin embargo, los hechos probados muestran un incumplimiento basado
en el uso de un usuario genérico para acceder a todas las grabadoras de
videovigilancia, la imposibilidad de disponer de un registro individualizado de accesos
(quién, cuándo, desde dónde, qué imágenes consultó o descargó) así como la
ausencia de procedimiento formalizado de control de accesos a imágenes por los
distintos operadores de Grupo Control.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

50/55

El hecho de que una auditoría externa recomiende expresamente actualizar las
medidas técnicas de control de acceso para permitir la traza de usuarios demuestra
que la situación previa no era la adecuada. Específicamente, la auditoría externa
identificó que había un único usuario genérico para las grabadoras, que ello podría
dificultar la traza y registro de las personas que accedían y que no existía
procedimiento que formalizara el modelo de control de accesos por perfiles de
operadores. Esto encaja exactamente con lo que el artículo 32 del RGPD pretende
evitar: un sistema donde no se puede atribuir a cada persona sus actos sobre un
tratamiento sensible, impidiendo el control y la depuración de responsabilidades. Que
más tarde se planifique o inicie la implantación de la solución ***SISTEMA.1 y nuevos
procedimientos demuestra que las medidas anteriores eran insuficientes.

Por otra parte, UNICAJA sostiene que “vigila y verifica a todos sus proveedores de
forma adecuada” y que ha realizado controles en 2022 y 2023. Sin embargo, los
controles internos aportados se centran en borrado de imágenes en el intervalo de 15
días desde su grabación, puesta a disposición de imágenes a autoridades, revisión
aleatoria de contratos con proveedores. No consta ningún control sobre: acceso a las
imágenes, segmentación de perfiles de acceso, trazabilidad de accesos. Es decir, las
auditorías no abordaron precisamente el aspecto más crítico de seguridad en
videovigilancia: quién ve las imágenes, con qué perfil y con qué registro. Siendo éste
el núcleo del riesgo para derechos y libertades, la omisión de controles específicos
revela una deficiente gestión del riesgo y, por tanto, una infracción del artículo 32, que
exige una evaluación y medidas ajustadas al riesgo real.

De hecho, la propia auditoría externa de 2024, solicitada por UNICAJA, detecta estas
deficiencias y formula recomendaciones de riesgo medio, lo que prueba que el sistema
previo no se consideraba conforme al estándar exigible y que la supuesta vigilancia
“diligente” de proveedores no había detectado ni corregido un fallo estructural (usuario
genérico) que venía produciéndose durante años.

Por último, en cuanto a las medidas que UNICAJA invoca, son medidas reactivas y se
adoptan tras la auditoría externa de 2024 y el análisis de 2025, cuando ya se habían
producido los hechos investigados. En este sentido, el cumplimiento del artículo 32 se
evalúa en el momento de la infracción, no en función de las correcciones posteriores.
Las mejoras posteriores pueden valorarse a efectos de graduar la sanción, pero no
exculpan del incumplimiento previo ni convierten en diligente una actuación que
durante años toleró un usuario genérico sin trazabilidad.

El propio texto del análisis de “conclusiones” reconoce que a noviembre de 2025 aún
no se ha completado la conexión de todas las cámaras y que el riesgo se considera
“mitigado a un nivel adecuado”, lo que presupone que antes no lo estaba. Por tanto,
lejos de demostrar ausencia de infracción, estas actuaciones corroboran que UNICAJA
era consciente de que sus medidas anteriores no alcanzaban el nivel de seguridad
exigible.

Por último, UNICAJA sostiene que el trabajador de Grupo Control conocía el uso de un
usuario genérico, tenía obligación de informar a través del canal interno de denuncias
y que no lo hizo, usando los hechos para otros fines (laborales, seguridad privada). A
este respecto, hay que señalar que el artículo 32 del RGPD impone la obligación de
implementar medidas adecuadas al responsable del tratamiento (UNICAJA), no al
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

51/55

empleado de un encargado. El deber de diseñar, implantar y supervisar controles de
acceso no se traslada al denunciante. La existencia de un canal interno de denuncias
no exime al responsable de desplegar sus propias auditorías y controles,
especialmente cuando ya dispone contractualmente del derecho a auditar roles y
usuarios, y ha pactado usuarios nominativos.

Por tanto, aunque el artículo 32 RGPD sea una obligación de medios, UNICAJA no
desplegó los medios técnicos y organizativos apropiados exigibles, por lo que procede
desestimar las alegaciones presentadas.

TERCERA. – ERROR EN LA TIPIFICACIÓN DE LA INFRACCIÓN.

En este punto, debe significarse que los hechos probados han permitido constatar que
las medidas técnicas y organizativas del artículo 32 del RGPD, no estaban
efectivamente adoptadas ni implementadas por el responsable (UNICAJA). El artículo
32 impone al responsable del tratamiento (UNICAJA) la obligación de adoptar medidas
técnicas y organizativas apropiadas, incluso cuando el tratamiento se externalice a un
encargado. El artículo 32.4 precisa que, en estos casos, se deben prever obligaciones
contractuales específicas y asegurar su cumplimiento efectivo.

Tener un contrato con cláusulas concretas (Anexos VII y VIII) no equivale a haber
adoptado las medidas. UNICAJA debería haber verificado su aplicación real. Los
hechos probados acreditan que no existía trazabilidad individual: usuario genérico para
11 personas, registros solo por IP de equipo, sin identificación de quién accedió
específicamente. Esto no es un "quebrantamiento puntual" por Grupo Control, sino
una deficiencia estructural tolerada durante años (2023-2024), incompatible con
usuarios nominativos exigidos contractualmente desde el 25/05/2023 (Anexo VIII).

Por tanto, el planteamiento que UNICAJA realiza sobre esta cuestión en sus
alegaciones no se ajusta a Derecho. UNICAJA confunde documentos
contractuales con medidas implementadas.

Como se ha señalado anteriormente, la auditoría externa de 2024, contratada por
UNICAJA, califica el usuario genérico como hallazgo de riesgo medio que podría
dificultar la traza, recomendando actualizar las medidas técnicas. Las correcciones
(***SISTEMA.1, procedimientos) se implementaron en 2025, confirmando
implícitamente que antes no existían medidas adecuadas. Si las medidas hubiesen
estado implementadas, no habría hecho falta recomendar su implantación ni
considerar el riesgo mitigado tras 2025. Ello prueba la falta de adopción previa, no el
mero quebrantamiento.

En consecuencia, las alegaciones deben ser desestimadas.

CUARTA. – UNICAJA YA HA ADOPTADO LAS MEDIDAS CORRECTIVAS.

En primer lugar, debe significarse que las medidas correctivas posteriores no
desvirtúan el contenido esencial de la infracción que se declara cometida ni suponen
causa de justificación o exculpación suficiente. La existencia de revisiones y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

52/55

correcciones confirma que las medidas previas eran deficientes. El cumplimiento del
artículo 32 del RGPD se evalúa en el momento de los hechos (2023-2024), cuando
persistía un usuario genérico sin trazabilidad.

En este sentido, UNICAJA admite implícitamente la infracción al reconocer áreas de
mejora y refuerzos necesarios. Así, la auditoría de 2024 identifica como hallazgo de
riesgo medio el único usuario genérico que podría dificultar la traza de las personas
que acceden. Asimismo, se recomienda explícitamente actualizar las medidas técnicas
de control de acceso para permitir el registro individual. La implantación del sistema
***SISTEMA.1 se implementa en 2025 con 8,28% de cámaras aún pendientes a
noviembre 2025, confirmando que antes no existía un nivel de seguridad adecuado.

Efectivamente, según señala UNICAJA, y tal y como se recoge en la propuesta de
resolución, consta que dicha entidad ha implementado un nuevo sistema que permite
integrar y gestionar todos los sistemas de seguridad en un único aplicativo, así como
establecer un control de accesos basado en los roles o permisos que se asignan de
manera nominativa.

Al tiempo, ha establecido directrices para definir la segmentación de los accesos en
función de las responsabilidades de cada usuario y la implementación de controles de
accesos específicos para garantizar que solo los usuarios autorizados puedan acceder
y descargar imágenes de grabadores de clientes, que incluye la autenticación
mediante credenciales únicas y la monitorización de las actividades realizadas.

Sin embargo, el “Análisis de finalización recomendaciones emitidas en la auditoría de
datos Central Receptora de Alarmas” realizado en diciembre de 2025 realiza
recomendaciones sobre la implementación de un sistema que refuerce el control de
acceso a las videograbadoras, (…).

En definitiva, se pide que UNICAJA confirme la adopción y efectiva implantación de las
medidas indicadas.

Por tanto, se propone que en la resolución que se adopte se requiera a UNICAJA para
que, en el plazo máximo de tres meses, a contar desde la fecha de ejecutividad de la
resolución finalizadora de este procedimiento, acredite ante esta Agencia la adopción y
efectiva implantación de las medidas indicadas, en cumplimiento de lo dispuesto en el
artículo 32 del RGPD.

Por otra parte, se advierte sobre lo dispuesto en el artículo 5.2 del RGPD, que
establece el principio de responsabilidad proactiva cuando señala que “El responsable
del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y
capaz de demostrarlo”. Este principio hace referencia a la obligación que recae en el
responsable del tratamiento no solo de diseñar, implementar y observar las medidas
jurídicas, técnicas y organizativas adecuadas para que el tratamiento de datos sea
acorde con la normativa, sino de permanecer activamente atento a lo largo de todo el
ciclo de vida del tratamiento para que ese cumplimiento sea correcto, siendo además
capaz de demostrarlo.

En consecuencia, las alegaciones deben ser desestimadas

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

53/55

QUINTA. - LA RESOLUCIÓN NO DEBE PUBLICARSE EN EL BOE.

El artículo 76.4 LOPDGDD exige la publicación en el BOE cuando la autoridad
competente sea la Agencia Española de Protección de Datos, la sanción fuese
superior a un millón de euros y el infractor sea una persona jurídica.

En el caso concreto que nos ocupa, la sanción impuesta en la resolución es de
500.000 euros, inferior al umbral de 1.000.000 euros que establece el artículo 76.4
LOPDGDD, por lo que no procede su publicación en el BOE. No obstante, la
resolución se publicará conforme al art. 50 LOPDGDD en la web de la AEPD.

III
Terminación del procedimiento

El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:

“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.

2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.

3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.

El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”
IV
Pago voluntario

De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en la
propuesta de resolución notificada se le permitía llevar a cabo el pago voluntario de la
sanción propuesta, lo que supondría la reducción de un 20% de su importe. Con la
aplicación de esta reducción, la sanción quedaría establecida en 400.000,00 euros y
su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de
las medidas correspondientes.

Tras la citada propuesta de resolución, y antes de que se dictase resolución por parte
de esta autoridad, la parte reclamada, en fecha 2 de febrero de 2026, procedió a

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

54/55

realizar el pago voluntario, acogiéndose a la reducción del 20% y renunciando a
cualquier acción o recurso en vía administrativa.

Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como
de la jurisprudencia del alto tribunal en esta materia, el ejercicio del pago voluntario por
el presunto responsable no exime a la administración de la obligación de resolver y
notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual
forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al
procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas
otras derivadas del mismo.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de
la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a UNICAJA BANCO, S.A., con NIF A93139053, por una
infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD, una multa
de 500.000 euros (quinientos mil euros). Tras haber procedido, UNICAJA BANCO,
S.A., con NIF A93139053 al pronto pago, se procede, en virtud del artículo 85 de la
LPACAP, a la reducción de un 20% del total mencionado, lo cual supone la cantidad
definitiva de 400.000 euros.

La efectividad de la citada reducción está condicionada, en todo caso, al desistimiento
o renuncia de cualquier acción o recurso en vía administrativa.

SEGUNDO: DECLARAR la terminación del procedimiento EXP202404507, de
conformidad con lo establecido en el artículo 85 de la LPACAP.

TERCERO: ORDENAR a UNICAJA BANCO, S.A., con NIF A93139053, que en virtud
del artículo 58.2.d) del RGPD, en el plazo máximo de tres meses, a contar desde la
fecha de ejecutividad de la presente resolución, acredite ante esta Agencia la adopción
de las medidas necesarias para garantizar el cumplimiento de lo dispuesto en el
artículo 32 del RGPD con el alcance expresado en el Fundamento de Derecho VII de
la Propuesta de resolución.

CUARTO: NOTIFICAR la presente resolución a UNICAJA BANCO, S.A., con NIF
A93139053.

QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la
reducción por pago voluntario al desistimiento o renuncia de cualquier acción o recurso
en vía administrativa, por parte de la presente autoridad se acepta la renuncia
expresamente manifestada por la parte reclamada, no cabiendo en consecuencia la
interposición de recurso potestativo de reposición frente a la presente resolución, todo
ello sin perjuicio de la posibilidad de acudir a la vía jurisdiccional contencioso-
administrativa.

En consecuencia, teniendo en cuenta lo dispuesto en el artículo 90 de la LPACAP,
dado que no cabe ningún recurso en vía administrativa al haber renunciado
expresamente, la presente resolución será plenamente ejecutiva a partir de la
notificación de esta.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

55/55

No obstante, conforme a lo previsto en el artículo 90.3 a) de la LPACAP, se podrá
suspender cautelarmente la resolución firme en vía administrativa si el interesado
manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste
el caso, el interesado deberá comunicar formalmente este hecho mediante escrito
dirigido a la Agencia Española de Protección de Datos, presentándolo a través del
Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o
a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
que acredite la interposición efectiva del recurso contencioso-administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contencioso-
administrativo en el plazo de dos meses desde el día siguiente a la notificación de la
presente resolución, daría por finalizada la suspensión cautelar.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública. La publicación se realizará una vez haya sido notificada a
los interesados.
1573-011025

Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es