Kamera Kayıtlarına Erişim ve İşlemenin Sınırlandırılması

1/31

 Expediente N.º: EXP202500616

RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO
DE RESPONSABILIDAD Y PAGO VOLUNTARIO

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: Con fecha 2 de marzo de 2026, la Presidencia de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a ACVIL
APARCAMIENTOS, S.L.U (en adelante, ACVIL), mediante el acuerdo que se
transcribe:

Expediente N.º: EXP202500616

ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR

De las actuaciones practicadas por la Agencia Española de Protección de Datos y en
base a los siguientes

HECHOS

PRIMERO: Con fecha 13 de diciembre de 2024 se interpuso reclamación ante la
Agencia Española de Protección de Datos por una posible infracción imputable a
ACVIL APARCAMIENTOS, S.L.U con NIF B73454134 (en adelante, ACVIL o parte
reclamada).

Los hechos que se ponen en conocimiento de esta autoridad son:

La parte reclamante manifiesta que, tras un incidente producido en su vehículo
mientras se encontraba aparcado en una plaza de un garaje gestionado por la parte
reclamada, solicitó a ésta a través de correo electrónico, en fecha 23 de febrero de
2024, el acceso a imágenes del sistema de videovigilancia del garaje, para obtener la
grabación de un incidente que afectó a su vehículo.

Manifiesta que recibió contestación el día 4 de abril de 2024, fuera del plazo
establecido a tal efecto por la normativa de protección de datos, donde negaban el
acceso pretendido y le instaban a que presentara denuncia ante un Cuerpo de
Seguridad del Estado.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

2/31

Señala que, tras poner nuevamente de manifiesto su derecho a acceder a dichas
imágenes en las que se expongan los datos de la matrícula de su vehículo, indicando
que resultaba improcedente que se exigiera denuncia previa por no existir precepto
legal que lo exigiera, y exponiendo los fundamentos jurídicos que entiende justifican
dicho acceso, recibió nueva comunicación el día 5 de abril de 2024 en la que
reiteraban la negativa, indicando que no daban las grabaciones salvo a la policía o a
un juez, y que, en cualquier caso, las imágenes ya habían expirado.

Junto al escrito, se aporta, entre otra documentación:

1. Copia del correo electrónico enviado en fecha 23 de febrero de 2024 a la dirección
de correo electrónico “***EMAIL.1” con el asunto: solicitud formal de derecho de
acceso-grabaciones cámaras de seguridad-parking parkia (…); con el siguiente
contenido:

“A la atención de Parkia Iniciativas, S.L.U., (ACVIL APARCAMIENTOS, S.L.) y posibles
entidades del Grupo Parkia responsables del tratamiento de datos personales:

En mi condición de letrado de don A.A.A., y, en su representación, por medio de la
presente formulo petición formal para la obtención de copia de imágenes captadas por
las videocámaras de seguridad del parking explotado por vuestra entidad, todo ello, al
amparo de los derechos que le reconocen los arts. 6.1,f) 15.1 y 15.3 del Reglamento
europeo sobre protección de datos personales, y, sus correlativos de la Ley Orgánica
3/2018 sobre protección de datos personales, especialmente, el artículo 22 de dicha
Ley Orgánica (“Tratamientos con fines de videovigilancia”)

En concreto, los datos solicitados consisten en:

-grabación captada por las videocámaras interiores de seguridad del parking sito en
***DIRECCIÓN.1. La grabación concreta solicitada es aquella que captara el impacto
que recibió el vehículo propiedad de mi representado; ***VEHÍCULO.1 por parte de
otro usuario del parking, cuyos datos desconoce y que resultan imprescindibles para
ejercitar las oportunas acciones legales contra el/la conductor/a de otro vehículo y/o
propietario/a responsable de la colisión, así como a su entidad aseguradora. El/la
conductor/a de otro vehículo le golpeó en la parte trasera mientras el vehículo de mi
mandante estaba aparcado en una de las plazas a las que tiene derecho, en virtud del
arrendamiento que tiene suscrito con el parking. La colisión tuvo que ocurrir, en alguna
fecha comprendida entre el día 12 al 19 de febrero de 2024, periodo en el que su
vehículo ha estado aparcado en el parking, percatándose de los daños el 19 de
febrero.

Como consecuencia de tal impacto (como acredito con los documentos adjuntos al
correo) el vehículo de A.A.A. sufrió daños materiales en su lateral y faro traseros, por
lo que la finalidad del acceso a los datos solicitados es la permitir al perjudicado (y
usuario del parking como arrendatario), identificar al vehículo responsable (y su núm.
de matrícula) que le ocasionó los daños, con el objetivo de ejercitar las oportunas
acciones legales que le corresponden contra el/la propietario/a y/o conductor/a, así
como contra su compañía aseguradora. Para ello, es requisito indispensable obtener
los datos esenciales de la personal a demandar, o, si quiera, de la entidad

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

3/31

aseguradora del vehículo responsable para poder efectuar la pertinente reclamación
extracontractual de daños, derivada de un accidente de circulación.

Desconociendo de antemano su política respecto a este tipo de solicitudes de acceso
a datos, pongo en su conocimiento el estado más actual en el que se encuentra esta
materia, tanto, desde el punto de vista de nuestros tribunales, así como de la propia
AEPD:

- nuestra jurisprudencia ha señalado que los núm. de placa o de matrícula de
vehículos no tienen la consideración de dato personal que deba quedar
sometido a las previsiones de la Ley Orgánica de Protección de Datos (LOPD),
por mucho que sirva para identificar a un vehículo, ya que tales datos
personales, cuyo tratamiento está sometido al consentimiento del interesado,
“han de entenderse referidos siempre a imágenes de personas, y no a
imágenes de placas o números de matrícula cuya caracterización como dato
de carácter personal, a pesar de lo argumentado en la resolución (se refieren a
una resolución de la AEPD que sancionaba a una empresa por una supuesta
infracción en tratamiento de datos) no se comparte por esta Sala, pues en
definitiva un número o placa de matrícula, si bien identifica un vehículo, en
ningún caso identifica una persona, ya que el conductor del vehículo ni siquiera
tiene porqué ser el titular del mismo, es decir, aquel a cuyo nombre figura dicho
vehículo en la Dirección General de Tráfico. En concreto, se trata de la
Sentencia de la Audiencia Nacional (Sala de lo Contencioso-Administrativo,
Sección 1ª) de 26 diciembre 2013, que dejo aquí indicada por si resultara de su
utilidad o interés para consulta.

-en segundo lugar, también es un criterio consolidado en la doctrina
jurisprudencial, nacional y comunitaria, e, incluso, por el propio gabinete
jurídico de la AEPD, que toda solicitud que precise el tratamiento de datos del
interesado ha de ponderarse atendiendo a los principios consagrados en la
LOPD y el Reglamento comunitario en que se funda, especialmente, el
principio de proporcionalidad, de tal forma que habrá de considerarse un
tratamiento lícito (arts. 5 y 6 del Reglamento general de protección de datos, en
conexión con los arts. 8 y 22 de la LOPD) si “constituye un medio adecuado,
pertinente y no excesivo en relación con las finalidades legítimas para las que
dichas imágenes se obtienen”. Resulta, pues, que en este supuesto la finalidad
del tratamiento de los datos solicitados - esto es, la captación y transmisión de
imágenes obtenidas por sistemas de videovigilancia del parking de una
comunidad-, consiste, precisamente, en preservar la seguridad de las personas
y sus bienes, así como de sus propias instalaciones comunes, tal y como
establece el artículo 22 de la vigente LOPD, “Art. 22. Tratamientos con fines de
videovigilancia”, y de conformidad con lo estipulado en la Instrucción 1/2006,
de 8 de noviembre, de la Agencia Española de Protección de Datos
personales, sobre el tratamiento de datos personales con fines de
videovigilancia a través de sistemas de cámaras y videocámaras (desplazada
en la mayor parte de su contenido por la vigente LOPD).

Todo tratamiento de datos es lícito si “resulta necesario para el cumplimiento
de una obligación legal aplicable al responsable del tratamiento” (art. 6.1, letra
c) del Reglamento), así como cuando “el tratamiento es necesario para la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

4/31

satisfacción de intereses legítimos perseguidos por el responsable del
tratamiento o por un tercero, siempre que sobre dichos intereses no
prevalezcan los intereses o los derechos y libertades fundamentales del
interesado” (art. 6.1, letra f, del Reglamento). Puesto que los datos solicitados y
su finalidad – ejercicio del legítimo derecho de mi mandante a ejercitar una
acción resarcitoria de los daños materiales sufridos-, guardan íntima relación
con la finalidad para la que las cámaras de seguridad del parking comunitario
los graba y obtiene (preservar la seguridad de terceras personas y de sus
bienes o los bienes comunitarios), el acceso solicitado no resulta contradictorio
a los dictados de la LOPD y del Reglamento. Criterio reflejado en la sentencia
que le indicábamos con anterioridad o, entre otras, la Sentencia de la
Audiencia Nacional (Sala de lo Contencioso-Administrativo, Sección 1ª)
número 36/2016, de 30 de diciembre, todavía más reciente.

-además de los argumentos anteriores, también el propio gabinete jurídico de
la AEPD se ha pronunciado, de forma expresa, en varias ocasiones, sobre la
licitud del tratamiento de acceso a datos en supuestos idénticos al presente.
Por ejemplo, en el informe jurídico núm. 2016-0278 (adjunto en el correo), de
23/12/2016, establece: “la consulta plantea la cuestión de si el consultante, que
tiene un sistema de videovigilancia en la sede de la empresa que incluye el
interior y el exterior, debe autorizar el visionado de las grabaciones a terceros
particulares que lo han solicitado alegando determinadas razones.” En la
respuesta a esta consulta, la AEPD realiza un examen pormenorizado sobre la
normativa española y comunitaria sobre protección de datos, para determinar
si tal normativa prohíbe o impide un tratamiento como el solicitado. Son
especialmente significativos los apartados IV y siguientes de la resolución, a
cuyo contenido remitimos de forma expresa
(https://www.aepd.es/es/documento/2016-0278.pdf). En todo caso, la
ponderación final que realiza la AEPD (apartado IX) es la siguiente:

“(…) como hemos señalado reiteradamente a lo largo de esta consulta, se
desprende que la finalidad perseguida es la de ejercitar reclamaciones
judiciales por responsabilidad contractual, extracontractual, o derivada de
hechos ilícitos, para lo que resulta preciso conocer la identidad del posible
reclamado a los efectos de dirigir contra el mismo la correspondiente
reclamación o acción judicial (art. 399 LEC o art.277 LECr). De este modo,
debe considerarse que el interés del tercero en conocer los datos relativos a
identidad del causante de dichos hechos es legítimo y ha de prevalecer sobre
el derecho a la protección de datos de los interesados cuando la finalidad de la
comunicación de los datos sea la de ejercitar los derechos que le corresponden
frente al obligado (art. 1089 y 1092 Cc), ya que en la tensión entre ambos
derechos, el derecho fundamental al acceso a la justicia y a la tutela judicial
efectiva ha de prevalecer sobre el derecho a la protección de datos en el
presente caso, habida cuenta además de que la legislación establece como
una carga procesal el acudir a la justicia para reclamar y ejercitar los derechos
de los particulares, y dicha carga no podría cumplirse sin el conocimiento de
frente a quien habrá de dirigirse la acción procesal. En virtud de todo lo
anterior, y con las limitaciones mencionadas respecto del principio de calidad
de los datos (finalidad de la cesión y minimización del tratamiento), cabe

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

5/31

considerar que la comunicación de datos que se plantea no es contraria a la
legislación de protección de datos.”

En el mismo sentido, el informe jurídico núm. 2012-0115 de la AEPD (adjunto en el
correo), disponible para su consulta en: https://www.aepd.es/documento/2012-
0115.pdf.

La propia AEPD, en otra reciente resolución de 4 de septiembre de 2023, en el
expediente núm.: EXPD202213782 (…) resuelve que la entidad encargada de las
cámaras de seguridad tiene la obligación de entregar copia certificada de las
grabaciones solicitadas para que el interesado pueda comprobar si, efectivamente, su
coche ha recibido o no un impacto, no bastando como simple respuesta la de que se
habían visionado las grabaciones y no se captaba ninguna colisión. Ello, siempre que
exista un interés legítimo del interesado, como es el presente supuesto.

También, la AEPD (resolución sancionadora de 13 de mayo de 2022, disponible para
consulta en (…) impuso sanción a (…) por no cursar debida respuesta a una solicitud
idéntica a la presente.

Por último, y por si les resultara de utilidad, la misma AEPD ha publicado (05/09/23) la
última “Guía sobre el uso de videocámaras para seguridad y otras finalidades” (…),
incluyendo como supuesto del tratamiento de datos personales el de las imágenes con
fines de seguridad por cámaras de seguridad (págs. 6 y ss.). la meritada guía
establece que el acceso a las imágenes grabadas por las cámaras de videovigilancia,
para poder ejercitar las acciones judiciales que le puedan asistir al perjudicado contra
el responsable, sería un tratamiento lícito al tener una finalidad compatible, y no
diferente, con la que se recogieron esos datos por las cámaras comunitarias (págs.,
26 y ss). (…)

Por todas las razones expuestas, les ruego que me faciliten copia de las grabaciones
captadas por el sistema de videovigilancia arriba indicado, en relación con la colisión
que sufrió el vehículo de mi mandante. Llegado el caso de que el departamento al que
me dirijo considere afectados los derechos de terceras personas (por ejemplo, porque
aparezcan caras o imágenes de terceros), tal y como permiten y mandan nuestros
tribunales, y la AEPD también deben facilitar dichas grabaciones aunque sea
adoptando las medidas oportunas de limitación en el acceso solicitado (extractos
fragmentados de la grabación solicitada, difuminación de rostros, etc) pero sin
menoscabar los derechos que asisten a mi representada.

Y, llegado el caso, si entienden que no es posible salvaguardar los derechos de
terceras personas al facilitar las grabaciones solicitadas, les ruego que, al menos, me
indiquen el núm. de matrícula del vehículo responsable, y, además, que no supriman y
conserven cautelarmente las grabaciones para poder ejercitar ante los Tribunales los
derechos de mi mandante; todo ello, teniendo en cuenta que, por ley (art. 22 LOPD),
deben mantener las imágenes de videovigilancia por un plazo de 30 días, y, en todo
caso, cuando capten la comisión de actos que atenten contra la integridad de
personas, bienes o instalaciones. Además, la presente solicitud se formula antes del
transcurso de 30 días desde la fecha en que tuvo que producirse el siniestro (entre el
12 al 19 de febrero de 2024).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

6/31

Acompaño a este escrito toda la documental pertinente para la tramitación de la
solicitud: (…)

2. copia del mensaje de fecha 23 de febrero de 2024 con el siguiente contenido:

“el mensaje se entregó a los siguientes destinatarios:

***EMAIL.1 “

3. copia del mensaje de fecha 23 de febrero de 2024, enviado de [email protected]
con el siguiente contenido:

“Su incidencia con código ***CÓDIGO.1 se está tramitando.

En breve nos pondremos en contacto con usted”

4. copia del correo electrónico enviado el día 4 de abril de 2024, 8:18, para B.B.B.,
asunto: Consulta ***CÓDIGO.1, con el siguiente contenido

“***EMAIL.1”, asunto Consulta ***CÓDIGO.1.

Estimado cliente,

En relación a su incidencia con código ***CÓDIGO.1 informarle que, para poder
visualizar las grabaciones es imprescindible que primero se dirija a cualquier cuerpo
de seguridad del estado a interponer la correspondiente denuncia, ya que, sin
denuncia previa no es posible recuperar dicha grabación.

Atentamente

(…)”

5. Copia del correo electrónico de fecha 4 de abril de 2024, 12:30, dirigido a
“***EMAIL.1”, asunto RE: consulta ***CÓDIGO.1, con el siguiente contenido:

“Estimados Sres/as,

En relación con la última comunicación que me efectúan en el expediente con numero
de referencia ***CÓDIGO.1 (una vez transcurrido el plazo legal de un mes que
establece el Reglamento de protección de datos para este tipo de solicitudes, sin
haberse notificado previamente prórroga anual alguna), y en representación de los
intereses de mi mandante, les comunico que no resulta procedente el requisito de la
denuncia para satisfacer el derecho de acceso a la información solicitada (grabaciones
de cámaras de seguridad de una de sus instalaciones).

No existe ningún precepto, ni la LOPD, ni en el Reglamento europeo de protección de
datos, que exija denuncia previa ante una autoridad policial para dar curso, de forma
pertinente, a la solicitud realizada. Les recuerdo que las cámaras cuyo derecho de
acceso se ha solicitado no pertenecen a ninguna Fuerza o Cuerpo de Seguridad del
Estado, y, aunque así fuera, su tratamiento no tendría fines de prevención,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

7/31

investigación, detección o enjuiciamiento de datos solicitado (derecho de acceso) se
rige plenamente por las disposiciones de la LOPD (arts. 13 y 22) y por el Reglamento
(UE) 2016/679 (arts. 12 y 15 y relacionados).

(…)

Por todo lo expuesto, les solicito que reconsideren su postura, y den oportunidad
tramitación a la solicitud realizada con fecha 23 de febrero de 2024, en el sentido de
facilitar una copia de las grabaciones en las que se aprecie el vehículo y matrícula
responsable de la colisión que ocasionó los daños al vehículo de mi mandante, y de
garantizar, como medida cautelar, la conservación y custodia de dichas imágenes (si
solo facilitaran el núm. de matrícula), por si resultaran necesarias para el ejercicio de
los derechos que asisten a mi representado.

En caso contrario, no me dejarán más solución que acudir a la AEPD para dar efectivo
cumplimiento a los derechos que asisten a mi mandante.

(…)”

6. copia del mensaje de fecha 4 de abril de 2024, 13:13, dirigido a “***EMAIL.1” con el
asunto: leído: consulta ***CÓDIGO.1, y con el siguiente contenido:

“El mensaje (…) fue leído el jueves, 4 de abril de 2024 13;13 (…).”

7. copia del mensaje enviado por “***EMAIL.1”, para B.B.B., asunto: consulta
***CÓDIGO.1, con el siguiente contenido:

“Estimado B.B.B.,

Lamentamos comunicarte que no damos grabaciones salvo a policía o a un juez y
que, en cualquier caso, ya han expirado las imágenes.

(…)”

SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a ACVIL, para que
procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las
acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de
protección de datos.

La notificación del traslado de la reclamación, que se practicó conforme a las normas
establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en
fecha 21 de enero de 2025 como consta en el acuse de recibo que obra en el
expediente.

Con fecha 24 de enero de 2025 se recibe en esta Agencia escrito de respuesta
indicando entre otras cuestiones:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

8/31

a) en fecha 23 de febrero de 2024 recibieron un correo electrónico desde la dirección
***EMAIL.2 solicitando copia de las imágenes captadas por las videocámaras de
seguridad del parking en las que se capte el impacto que recibió el vehículo
***VEHÍCULO.1.

Indican que la información que aportan no permite saber en qué plaza estaba
estacionado el vehículo, y que el contrato que tenía la parte reclamante le permite
estacionar en cualquiera de las plazas que tiene el parking.

Añaden que la solicitud no indicaba la fecha y el horario, y que solo informaba del
periodo en que estuvo estacionado el vehículo del 12 de febrero al 19 de febrero de
2024, lo que supone un tramo horario de 192 horas de grabación, de las 16 cámaras
que hay en el aparcamiento, lo que resultaría un total de 3.072 horas de grabación.

ACVIL quiere aclarar que las cámaras no enfocan exclusivamente cada plaza de
estacionamiento, sino que enfocan amplias zonas, añadiendo que son innumerables
los vehículos y personas que pueden haber circulado durante las 192 horas
solicitadas. Adjuntan una copia con una imagen del espacio que capta una de las
cámaras, para mostrar el espacio de visión de una de las cámaras.

Asimismo, indican que el vehículo afectado habría entrado y salido del aparcamiento
los días 12, 13, 15, 16, 17 y 19 de febrero de 2024, aportando una captura de pantalla
de los sistemas del aparcamiento en la que se recogería esta circunstancia, y que no
entienden como no se habría percatado de los daños con anterioridad, por lo que
entendieron que la solicitud de imágenes era excesiva, siendo de aplicación lo
dispuesto en el artículo 12.5 del RGPD relacionado con una solicitud de acceso
manifiestamente infundada o excesiva.

De este modo, entendían que la solicitud era excesiva por los siguientes motivos:

- se refería a un suceso que no estaba acreditado que se hubiera producido en el
interior del aparcamiento, y que el propietario del vehículo desconocía cuando y donde
se había producido.
-se refería a un volumen de datos muy grande.
-incluía datos personales relativos a terceras personas no relacionados con la
solicitud.

A pesar de ello, se le indicó que acudiera a las Fuerzas y Cuerpos de seguridad del
Estado, puesto que ellos tienen autoridad para solicitar cualquier grabación.

ACVIL manifiesta que entiende que la respuesta no incluía una explicación suficiente
sobre el motivo de la denegación, pero que en ese momento si entendieron que era
suficiente al estar dirigida la respuesta al representante legal de la parte reclamante,
que debía entender que la solicitud era excesiva, al tratarse de un elevado volumen de
datos personales de terceros ajenos a la finalidad de la solicitud, tal y como reconoce
el artículo 15.4 del RGPD que establece: “el derecho a obtener copia mencionada en
el apartado 3 no afectará negativamente a los derechos y libertades de otros.”

Asimismo, hacen referencia al informe jurídico del Gabinete Jurídico de esta AEPD nº
2016/0278.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

9/31

b) ACVIL indica que remitió la respuesta a la solicitud de ejercicio de derechos de la
parte reclamante a la misma dirección de correo electrónico desde la que se envió con
fecha 4 de abril de 2024.
Indican que lamentan la demora en contestar, pero debe tenerse en cuenta que se
revisaron 3.072 horas de grabación, que supone 384 jornadas de trabajo con
dedicación exclusiva.

c) ACVIL indica, ante la pregunta acerca de si los datos se encuentran bloqueados o
no, que, al no existir base legal para la conservación de las imágenes, y que, al no
haberse producido una solicitud por parte de una autoridad competente, las imágenes
han sido suprimidas.

d) ACVIL ha indicado que no procede adoptar ninguna decisión adicional relativa a
esta reclamación, ya que no existen las grabaciones solicitadas. Añaden que sí se
aplican de forma habitual los protocolos de seguridad establecidos para la atención del
ejercicio de derechos por parte de las personas interesadas o de autoridad
competentes.

e) ACVIL añade que la reclamación se debe a una ambigua e incorrecta actuación de
la persona solicitante, teniendo en cuenta que realizó una solicitud de acceso a un
elevado volumen de imágenes sin aclarar o facilitar la información que permitiera
acotar la búsqueda, y que incluía datos personales de imágenes con matrículas de
vehículos y personas, ajeno a la finalidad perseguida.

f) por último, indica que no se han adoptado medidas específicas a consecuencia de
este caso, al entenderse que se había actuado correctamente e incluso de buena fe, al
indicar a la persona solicitante cual era la vía más adecuada para conseguir la
finalidad perseguida de identificar al supuesto causante de los daños al tiempo que se
cumple y protege la privacidad de los datos de terceras personas.

En fecha 20 de febrero de 2025 se reitera la solicitud de información a ACVIL, en la
medida en que, en el informe remitido a esta Agencia, no se acompaña copia de la
información facilitada al interesado en respuesta a su solicitud de ejercicio de
derechos. Dicha solicitud fue notificada el día 24 de febrero de 2025, según consta en
el acuse de recibo incorporado al expediente.

Con fecha 25 de febrero de 2025 se recibe en esta Agencia escrito de respuesta
indicando que, como ya habían indicado en su anterior respuesta, con fecha 23 de
febrero de 2024 recibieron correo electrónico desde la dirección ***EMAIL.2
solicitando "copia de las imágenes captadas por las videocámaras de seguridad del
parking explotado por vuestra entidad".

Posteriormente se especificaba concretamente los datos solicitados de la siguiente
forma: "La grabación concreta solicitada es aquella que captara el impacto que recibió
el vehículo de propiedad de mi representado: ***VEHÍCULO.1".

Esta comunicación está firmada por B.B.B., que dice actuar en representación de
A.A.A.. En esta comunicación se indicaba expresamente que enviaran los datos
solicitados a B.B.B..
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

10/31

Por esta razón, en fecha 04/04/2024 enviaron respuesta a la misma dirección de
correo electrónico indicando que, para poder visualizar las grabaciones, es
imprescindible que primero se dirija a cualquier cuerpo de seguridad del estado a
interponer la correspondiente denuncia, ya que, sin denuncia previa no es posible
recuperar dicha grabación, y en fecha 5 de abril de 2024 comunicaron: “lamentamos
comunicarle que no damos grabaciones excepto a la policía o un juez y que, en
cualquier caso, ya han expirado las imágenes"

Indican que el ejercicio del derecho no fue realizado por la persona interesada, sino
por un tercero, que de la lectura del mismo quedaba claro que no se trataba de un
ejercicio de derecho de acceso general, ni de otro tipo de derechos, sino limitado a
obtener unas imágenes. Entienden que respondieron a la solicitud informando de la no
procedencia del envío de las imágenes al ser una petición manifiestamente excesiva e
instando a realizarla mediante las autoridades competentes. Entienden que con esta
respuesta se daba cumplimiento al artículo 12.4 del RGPD.
Por último, indican que no recibieron ninguna solicitud de imágenes por autoridad
competente.

TERCERO: Con fecha 3 de marzo de 2025, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación.

CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad
ACVIL es una empresa constituida en el año 2006, y con un volumen de negocios de
44.697.000 euros en el año 2024.

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Presidencia de la Agencia Española de
Protección de Datos.

II
Procedimiento

Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

11/31

De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las
características de las presuntas infracciones cometidas, se inicia un procedimiento
sancionador.

El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha
del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en
consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el
artículo 64 de la LOPDGDD.

Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo
podrá ser considerado propuesta de resolución, según lo establecido en el artículo
64.2.f) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de
las Administraciones Públicas (en lo sucesivo, LPACAP).

III
Cuestiones previas

El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una
persona física identificada o identificable («el interesado»); se considerará persona
física identificable toda persona cuya identidad pueda determinarse, directa o
indirectamente, en particular mediante un identificador, como por ejemplo un nombre,
un número de identificación, datos de localización, un identificador en línea o uno o
varios elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona”.

El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto
de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya
sea por procedimientos automatizados o no, como la recogida, registro, organización,
estructuración, conservación, adaptación o modificación, extracción, consulta,
utilización, comunicación por transmisión, difusión o cualquier otra forma de
habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.”

El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable»
como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que,
solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la
Unión o de los Estados miembros determina los fines y medios del tratamiento, el
responsable del tratamiento o los criterios específicos para su nombramiento podrá
establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo
4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la
persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos
personales por cuenta del responsable del tratamiento.

En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD,
consta la realización de un tratamiento de datos personales, toda vez que ACVIL
realiza, entre otros tratamientos, la recogida y conservación de datos personales de
personas físicas: nombre y apellidos, entre otros.

ACVIL realiza esta actividad en su condición de responsable del tratamiento, dado que
es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del
RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

12/31

IV
Obligación incumplida. Derecho de acceso del interesado

El artículo 15 del RGPD, que regula el derecho de acceso del interesado, establece lo
siguiente:

"1. El interesado tendrá derecho a obtener del responsable del tratamiento
confirmación de si se están tratando o no datos personales que le conciernen y, en tal
caso, derecho de acceso a los datos personales y a la siguiente información:
a) los fines del tratamiento;
b) las categorías de datos personales de que se trate;
c) los destinatarios o las categorías de destinatarios a los que se comunicaron o serán
comunicados los datos personales, en particular destinatarios en terceros países u
organizaciones internacionales;
d) de ser posible, el plazo previsto de conservación de los datos personales o, de no
ser posible, los criterios utilizados para determinar este plazo;
e) la existencia del derecho a solicitar del responsable la rectificación o supresión de
datos personales o la limitación del tratamiento de datos personales relativos al
interesado, o a oponerse a dicho tratamiento;
f) el derecho a presentar una reclamación ante una autoridad de control;
g) cuando los datos personales no se hayan obtenido del interesado, cualquier
información disponible sobre su origen;
h) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que
se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información
significativa sobre la lógica aplicada, así como la importancia y las consecuencias
previstas de dicho tratamiento para el interesado.

2. Cuando se transfieran datos personales a un tercer país o a una organización
internacional, el interesado tendrá derecho a ser informado de las garantías
adecuadas en virtud del artículo 46 relativas a la transferencia.

3. El responsable del tratamiento facilitará una copia de los datos personales objeto de
tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el
interesado un canon razonable basado en los costes administrativos. Cuando el
interesado presente la solicitud por medios electrónicos, y a menos que este solicite
que se facilite de otro modo, la información se facilitará en un formato electrónico de
uso común.

4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente
a los derechos y libertades de otros."

Los aspectos formales relativos al ejercicio de estos derechos se establecen en los
artículos 12 del RGPD y 12 de la LOPDGDD.

El artículo 12 del RGPD relativo a la “Transparencia de la información, comunicación y
modalidades de ejercicio de derechos” establece:

“1. El responsable del tratamiento tomará las medidas oportunas para facilitar al
interesado toda información indicada en los artículos 13 y 14, así como cualquier
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

13/31

comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma
concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en
particular cualquier información dirigida específicamente a un niño. La información
será facilitada por escrito o por otros medios, inclusive, si procede, por medios
electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse
verbalmente siempre que se demuestre la identidad del interesado por otros medios.

2. El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos
en virtud de los artículos 15 a 22. En los casos a que se refiere el artículo 11, apartado
2, el responsable no se negará a actuar a petición del interesado con el fin de ejercer
sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no
está en condiciones de identificar al interesado.

3. El responsable del tratamiento facilitará al interesado información relativa a sus
actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, sin
dilación indebida y, en cualquier caso, en el plazo de un mes a partir de la recepción
de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario,
teniendo en cuenta la complejidad y el número de solicitudes. El responsable
informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a
partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el
interesado presente la solicitud por medios electrónicos, la información se facilitará por
medios electrónicos cuando sea posible, a menos que el interesado solicite que se
facilite de otro modo.”

4.Si el responsable del tratamiento no da curso a la solicitud del interesado, le
informará sin dilación, y a más tardar transcurrido un mes de la recepción de la
solicitud, de las razones de su no actuación y de la posibilidad de presentar una
reclamación ante una autoridad de control y de ejercitar acciones judiciales.

5.La información facilitada en virtud de los artículos 13 y 14 así como toda
comunicación y cualquier actuación realizada en virtud de los artículos 15 a 22 y 34
serán a título gratuito. Cuando las solicitudes sean manifiestamente infundadas o
excesivas, especialmente debido a su carácter repetitivo, el responsable del
tratamiento podrá: a) cobrar un canon razonable en función de los costes
administrativos afrontados para facilitar la información o la comunicación o realizar la
actuación solicitada, o b) negarse a actuar respecto de la solicitud. El responsable del
tratamiento soportará la carga de demostrar el carácter manifiestamente infundado o
excesivo de la solicitud.

6.Sin perjuicio de lo dispuesto en el artículo 11, cuando el responsable del tratamiento
tenga dudas razonables en relación con la identidad de la persona física que cursa la
solicitud a que se refieren los artículos 15 a 21, podrá solicitar que se facilite la
información adicional necesaria para confirmar la identidad del interesado.

7.La información que deberá facilitarse a los interesados en virtud de los artículos 13 y
14 podrá transmitirse en combinación con iconos normalizados que permitan
proporcionar de forma fácilmente visible, inteligible y claramente legible una adecuada
visión de conjunto del tratamiento previsto. Los iconos que se presenten en formato
electrónico serán legibles mecánicamente.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

14/31

8.La Comisión estará facultada para adoptar actos delegados de conformidad con el
artículo 92 a fin de especificar la información que se ha de presentar a través de
iconos y los procedimientos para proporcionar iconos normalizados”.

Por su parte, el artículo 12 “Disposiciones generales sobre ejercicio de los derechos”
de la LOPDGDD, en sus apartados 2 y 4, añade lo siguiente:

“2. El responsable del tratamiento estará obligado a informar al afectado sobre los
medios a su disposición para ejercer los derechos que le corresponden. Los medios
deberán ser fácilmente accesibles para el afectado. El ejercicio del derecho no podrá
ser denegado por el solo motivo de optar el afectado por otro medio”.

“4. La prueba del cumplimiento del deber de responder a la solicitud de ejercicio de
sus derechos formulado por el afectado recaerá sobre el responsable”.

Además, hay que tener en cuenta lo expresado en los Considerandos 59 y siguientes
del RGPD.

De conformidad con lo dispuesto en estas normas, el responsable del tratamiento
debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus
derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3
del RGPD); viene obligado a responder las solicitudes formuladas a más tardar en un
mes, salvo que pueda demostrar que no está en condiciones de identificar al
interesado; así como a expresar sus motivos en caso de que no atendiera la solicitud.

Por último, el artículo 22 de la LOPDGDD, relativo a los “tratamientos con fines de
videovigilancia” establece:

“1. Las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el
tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la
finalidad de preservar la seguridad de las personas y bienes, así como de sus
instalaciones.

2. Solo podrán captarse imágenes de la vía pública en la medida en que resulte
imprescindible para la finalidad mencionada en el apartado anterior.
No obstante, será posible la captación de la vía pública en una extensión superior
cuando fuese necesario para garantizar la seguridad de bienes o instalaciones
estratégicos o de infraestructuras vinculadas al transporte, sin que en ningún caso
pueda suponer la captación de imágenes del interior de un domicilio privado.

3. Los datos serán suprimidos en el plazo máximo de un mes desde su captación,
salvo cuando hubieran de ser conservados para acreditar la comisión de actos que
atenten contra la integridad de personas, bienes o instalaciones. En tal caso, las
imágenes deberán ser puestas a disposición de la autoridad competente en un plazo
máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de
la grabación.
No será de aplicación a estos tratamientos la obligación de bloqueo prevista en el
artículo 32 de esta ley orgánica

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

15/31

4. El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se
entenderá cumplido mediante la colocación de un dispositivo informativo en lugar
suficientemente visible identificando, al menos, la existencia del tratamiento, la
identidad del responsable y la posibilidad de ejercitar los derechos previstos en los
artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el
dispositivo informativo un código de conexión o dirección de internet a esta
información.
En todo caso, el responsable del tratamiento deberá mantener a disposición de los
afectados la información a la que se refiere el citado reglamento.
(…)”

De lo anterior se desprende que la solicitud de ejercicio de derechos formulada por el
interesado debe ser respondida en todo caso, recayendo sobre el responsable la
prueba del cumplimiento de este deber.

En el presente caso, la parte reclamante había solicitado el acceso a las imágenes del
sistema de videovigilancia del aparcamiento en fecha 23 de febrero de 2024, mediante
un correo electrónico dirigido a ***EMAIL.1 y con el asunto: solicitud formal derecho de
acceso-grabaciones cámaras de seguridad-parking (…).

En su escrito, solicitaba que “(…) llegado el caso, si entienden que no es posible
salvaguardar los derechos de terceras personas al facilitar las grabaciones solicitadas,
les ruego que, al menos, me indiquen el núm. de matrícula del vehículo responsable,
y, además, que no supriman y conserven cautelarmente las grabaciones para poder
ejercitar ante los Tribunales los derechos de mi mandante; todo ello, teniendo en
cuenta que, por ley (art. 22 LOPD), deben mantener las imágenes de videovigilancia
por un plazo de 30 días, y, en todo caso, cuando capten la comisión de actos que
atenten contra la integridad de personas, bienes o instalaciones(…).”

Consta que en fecha 23 de febrero de 2024, 21:45, se acusa recibo de este correo
electrónico con otro correo electrónico enviado desde la dirección [email protected]
con el asunto: “su incidencia con código ***CÓDIGO.1 se está tramitando” y con el
siguiente contenido:

“su incidencia con código ***CÓDIGO.1 se está tramitando.
En breve nos pondremos en contacto con usted”

ACVIL no responde a esta solicitud de acceso hasta el día 4 de abril de 2024, con la
indicación de que, “para poder visualizar las grabaciones, es imprescindible que
primero se dirija a cualquier cuerpo de seguridad del estado a interponer la
correspondiente denuncia, ya que, sin denuncia previa no es posible recuperar dicha
grabación.”

Ante la insistencia de la parte reclamante, que envió un nuevo correo electrónico,
solicitando las imágenes, el día 5 de abril de 2024, contestan que “lamentamos
comunicarte que no damos las grabaciones salvo a la policía o a un juez y que, en
cualquier caso, ya han expirado las imágenes.”

En la contestación al traslado, ACVIL ha manifestado que la parte reclamante tenía un
contrato de abono con el parking, lo que le permitía estacionar en cualquiera de las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

16/31

plazas del aparcamiento. La parte reclamante solo indicaba el periodo en que estuvo
estacionado el vehículo, desde el día 12 al 19 de febrero de 2024, lo que suponía un
tramo horario de 192 horas de grabación, de las 16 cámaras que hay instaladas en el
aparcamiento, lo que resulta un total de 3.072 horas de grabación.

ACVIL manifiesta que el vehículo salió y entró del parking en los días señalados, por lo
que no estaba acreditado que el suceso se hubiera producido en el parking, se refería
a un volumen de datos muy grande, e incluía datos relativos a terceras personas, y
que ésta es la razón por la que se le comunicó que solicitara las imágenes a través de
las fuerzas de orden público.

No obstante, hay que tener en cuenta que la contestación se dio en fecha 4 de abril de
2024, cuando ya había transcurrido el mes que exige la normativa para poder
contestar el ejercicio de derechos.

Además, ante la insistencia de la parte reclamante, el día 5 de abril de 2024 le
contestan que las imágenes ya no están disponibles, cuando expresamente había
comunicado que no se borraran por si era necesario acudir a los tribunales.

ACVIL indica que las imágenes solicitadas abarcaban un elevado volumen de datos
personales, pero ninguna indicación realizó a la parte reclamante en este sentido,
solicitándole que concretara la petición, ni tampoco le expresó ninguna de las
circunstancias puestas de manifiesto ante esta AEPD.

ACVIL también contesta en el escrito de fecha 24 de enero de 2025 dirigido a esta
AEPD que no pudieron contestar antes a la solicitud de la parte reclamante porque
“fue necesario revisar las 3.072 horas de grabación por si en alguna de ellas pudiera
haberse captado la supuesta colisión”. No hay que olvidar que la solicitud de acceso
se produce el 23 de febrero de 2024, y la primera contestación de ACVIL es el 4 de
abril de 2024. La contestación de ACVIL informando que las imágenes ya no estaban
disponibles se produce el día 5 de abril de 2024.

Con todas estas circunstancias, se estima que ACVIL no contestó en el plazo
establecido de un mes al ejercicio del derecho de acceso efectuado por la parte
reclamante. Esta circunstancia llevó a la eliminación de las imágenes.

Además, ACVIL tampoco envió ninguna contestación a la parte reclamante acerca de
la dificultad de la visualización de dichas imágenes, puesto que, el artículo 12.3 del
RGPD recoge que “(…) Dicho plazo podrá prorrogarse otros dos meses en caso
necesario, teniendo en cuenta la complejidad y el número de solicitudes. El
responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de
un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación.
(…)”

Con relación a esta cuestión, hay que señalar que esta Agencia se ha pronunciado al
respecto en el informe jurídico 0278/2016, referido a un supuesto de acceso a
imágenes del sistema de videovigilancia, en el siguiente sentido:

“(…) se desprende que la finalidad perseguida es la de ejercitar reclamaciones
judiciales por responsabilidad contractual, extracontractual o derivada de hechos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

17/31

ilícitos, para lo que resulta preciso conocer la identidad del posible reclamado a los
efectos de dirigir contra el mismo la correspondiente reclamación o acción judicial (art.
399 LEC o art. 277 LECr).

De este modo, debe considerarse que el interés del tercero en conocer los datos
relativos a la identidad del causante de dichos hechos es legítimo y ha de prevalecer
sobre el derecho a la protección de datos de los interesados cuando la finalidad de la
comunicación de los datos sea la de ejercitar los derechos que le corresponden frente
al obligado (art. 1089 y 1092 Cc), ya que en la tensión entre ambos derechos, el
derecho fundamental al acceso a la justicia y a la tutela judicial efectiva ha de
prevalecer sobre el derecho a la protección de datos en el presente caso, habida
cuenta además de que la legislación establece como una carga procesal el acudir a la
justicia para reclamar y ejercitar los derechos de los particulares, y dicha carga no
podría cumplirse sin el conocimiento de frente a quién habrá de dirigirse la acción
procesal.”

En este mismo informe se recogía que “(…) la comunicación habrá de limitarse al
mínimo necesario o imprescindible para la finalidad pretendida, lo que en el presente
caso nos lleva a concluir que la “visualización” pretendida no sería conforme con este
principio si se extiende más allá de lo necesario para que el tercero solicitante pudiese
determinar exclusivamente lo relacionado con el incidente concreto y específico a que
se refiere su petición, pero a nada más. Por ello, y dados los términos en que está
planteada la consulta, cabría decir que corresponde al consultante, en tanto que
responsable del tratamiento, determinar en primer lugar, mediante la visualización de
dichos ficheros, la información imprescindible y necesaria para que el tercero pueda
ver satisfecha la finalidad de la consulta, pero sin que pueda extenderse a nada más
de lo necesario para ello, por lo que cabe concluir que dicho “visionado” habrá de
limitarse exclusivamente a las imágenes que tengan relación con los supuestos para
los cuales se solicita la información, pero no a ninguna otra imagen en la que puedan
existir datos personales no relacionados con los motivos expuestos en la consulta.”

Por tanto, de conformidad con las evidencias de las que se dispone en este momento
de acuerdo de inicio de procedimiento sancionador, se considera que los hechos
conocidos podrían ser constitutivos de una infracción, imputable a ACVIL, por
vulneración del artículo 15 del RGPD transcrito anteriormente.

V
Tipificación de la infracción del artículo 15 del RGPD y calificación a efectos de
prescripción

El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del
artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas
administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de
una cuantía equivalente al 4 % como máximo del volumen de negocio total anual
global del ejercicio financiero anterior, optándose por la de mayor cuantía:

"b) los derechos de los interesados a tenor de los artículos 12 a 22;"

Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

18/31

“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.

A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD
establece lo siguiente:

k) El impedimento o la obstaculización o la no atención reiterada del ejercicio de los
derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679."

VI
Propuesta de sanción por la infracción del artículo 15 del RGPD

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:

“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.

2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

19/31

j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción”.

Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:

“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.

2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado”.

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, así como del artículo 76.2 de la
LOPDGDD anteriormente reproducidos.

Lo anterior implica que la cuantía de la multa debe tener como punto de partida, tres
elementos: el volumen de negocios, la categorización de las infracciones según su
propia naturaleza (es decir, si se trata de una infracción del 83.4, 83.5 u 83.6 RGPD) y
el nivel de gravedad de la infracción en cada caso concreto (de acuerdo con el artículo
83.2 a), b) y g)). En cualquier caso, la multa a imponer debe ser, en cada caso
individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el
artículo 83.1 del RGPD.

En este sentido, se considera, con carácter previo, el volumen de negocio de ACVIL es
de 44.697.000 euros en el año 2024.

Asimismo, atendiendo a la categorización de la infracción, de acuerdo con el artículo
83.5 del RGPD, la sanción que se imponga por cada una de las infracciones podrá ser
de 20.000.000 de euros como máximo, o tratándose de una empresa, una cuantía
equivalente al 4% como máximo del volumen de negocio anual, optándose por la de
mayor cuantía. El 4% del volumen de negocio de 44.697.000 euros es de 1.787.880
euros.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

20/31

Por lo que, en este caso, la sanción que se imponga necesariamente deberá oscilar
entre los 0 y los 20.000.000 euros.

A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con las evidencias de que se dispone en el presente momento de
acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la
instrucción, se considera que procede graduar la sanción a imponer de acuerdo con
las circunstancias siguientes, contempladas en los preceptos antes citados.

Con carácter previo, se estima que concurren las circunstancias siguientes:

- la naturaleza de la infracción, por cuanto la no atención del derecho de acceso,
por su contenido, incide en la capacidad de la parte reclamante de ejercer un
verdadero control sobre sus datos personales, en la medida en que la no
atención del derecho de acceso conllevó a la no entrega de las imágenes
solicitadas, lo que le perjudicó a la hora de defender sus derechos.

En relación con el derecho de acceso y su configuración como puerta de acceso
para otros derechos, el TJUE, en Sentencia de 07/05/2009, dictada en el Asunto
C-553/07, analizando entonces la Directiva e igualmente válido ahora para el
RGPD, declara lo siguiente:

“51. El citado derecho de acceso es indispensable para que el interesado pueda
ejercer los derechos que se contemplan en el artículo 12, letras b) y c), de la
Directiva, a saber, en su caso, cuando el tratamiento no se ajuste a las
disposiciones de la misma, obtener de responsable del tratamiento de los datos,
la rectificación, la supresión o el bloqueo delos datos [letra b)], o que proceda a
notificar a los terceros a quienes se hayan comunicado los datos, toda
rectificación, supresión o bloqueo efectuado, si no resulta imposible o supone un
esfuerzo desproporcionado [letra c)].

52. El derecho de acceso es, igualmente, condición necesaria para el ejercicio
por el interesado del derecho de oposición al tratamiento de sus datos
personales, contemplado en el artículo 14 de la Directiva, como lo es para el
derecho a recurrir por los daños sufridos, previsto en los artículos 22 y 23 de
ésta”.

• Intencionalidad/ Negligencia en la infracción (artículo 83.2, letra b), del
RGPD): se observa una conducta negligente en la reclamada, al no contestar a la
solicitud del derecho de acceso en el plazo establecido de un mes, de tal manera
que las imágenes de las cámaras de videovigilancia ya habían sido suprimidas.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

21/31

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con
respecto a la infracción cometida al vulnerar lo establecido en el artículo 15 del RGPD,
permite fijar inicialmente una sanción de multa administrativa de 75.000,00 euros.

VII
Obligación incumplida. Derecho a la limitación del tratamiento

El artículo 18 del RGPD regula el derecho a la limitación del tratamiento, estableciendo
lo siguiente:

"1. El interesado tendrá derecho a obtener del responsable del tratamiento la limitación
del tratamiento de los datos cuando se cumpla alguna de las condiciones siguientes:
a) el interesado impugne la exactitud de los datos personales en un plazo que permita
al responsable verificar la exactitud de los mismos;
b) el tratamiento sea ilícito y el interesado se oponga a la supresión de los datos
personales y solicite en su lugar la limitación de su uso;
c) el responsable ya no necesite los datos personales para los fines del tratamiento,
pero el interesado los necesite para la formulación, el ejercicio o la defensa de
reclamaciones;
d) el interesado se haya opuesto al tratamiento en virtud del artículo 21, apartado 1,
mientras se verifica si los motivos legítimos del responsable prevalecen sobre los del
interesado.

2. Cuando el tratamiento de datos personales se haya limitado en virtud del apartado
1, dichos datos solo podrán ser objeto de tratamiento, con excepción de su
conservación, con el consentimiento del interesado o para la formulación, el ejercicio o
la defensa de reclamaciones, o con miras a la protección de los derechos de otra
persona física o jurídica o por razones de interés público importante de la Unión o de
un determinado Estado miembro.

3. Todo interesado que haya obtenido la limitación del tratamiento con arreglo al
apartado 1 será informado por el responsable antes del levantamiento de dicha
limitación."

En el presente caso, la parte reclamante ejercitó ante ACVIL el derecho a la limitación
del tratamiento en relación con las imágenes captadas por el sistema de
videovigilancia instalado en el parking de su titularidad, como consecuencia de un
incidente producido en su vehículo mientras se encontraba aparcado en una plaza de
un garaje gestionado por la parte reclamada.

En este correo electrónico se indicaba expresamente que “no supriman y conserven
cautelarmente las grabaciones para poder ejercitar ante los Tribunales los derechos de
mi mandante”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

22/31

La parte reclamante reitera su petición el mismo 4 de abril de 2024 indicando: “solicito
que reconsideren su postura, y den oportunidad tramitación a la solicitud realizada con
fecha 23 de febrero de 2024, en el sentido de facilitar una copia de las grabaciones en
las que se aprecie el vehículo y matrícula responsable de la colisión que ocasionó los
daños al vehículo de mi mandante, y de garantizar, como medida cautelar, la
conservación y custodia de dichas imágenes (si solo facilitaran el núm. de matrícula),
por si resultaran necesarias para el ejercicio de los derechos que asisten a mi
representado.”

ACVIL contestó a este correo el 5 de abril de 2024 indicando que “Lamentamos
comunicarte que no damos grabaciones salvo a policía o a un juez y que, en cualquier
caso, ya han expirado las imágenes.”

Por tanto, en este caso, no puede considerarse que ACVIL atendiera el derecho a la
limitación del tratamiento ejercido por la parte reclamante, por cuanto no se contestó
adecuadamente a la petición de conservación de las grabaciones en cuestión,
grabaciones que además debieron ser conservadas en atención a lo solicitado.

Según la parte reclamante, su vehículo sufrió daños en uno de los parkings que
gestiona ACVIL, y así lo puso de manifiesto al solicitar las grabaciones de las cámaras,
indicando que las imágenes podían ser necesarias para ejercitar acciones
correspondientes ante los Tribunales. Por ello, se estima que era necesario conservar
las imágenes, especialmente porque las mismas no se pusieron a disposición de la
parte reclamante en atención al derecho de acceso ejercitado. No obstante, ACVIL
procedió al borrado de las imágenes requeridas.

Se entiende que existía un interés de la parte reclamante que justificaba el tratamiento
de las repetidas imágenes más allá del plazo de un mes que fija el artículo 22.3 de la
LOPDGDD.

En relación con esta cuestión, debe considerarse que la finalidad última requerida
perseguida con la no eliminación de las imágenes requeridas por la parte reclamante
es la de obtener una prueba de los daños causados a su vehículo. Interesa traer a
colación el derecho a la tutela judicial efectiva de los jueces y tribunales, recogido en el
artículo 24.1 de la Constitución Española, que garantiza el acceso de todas las
personas a los jueces y tribunales para la defensa de sus derechos.

Este derecho garantiza que el interesado pueda aportar los medios de prueba
pertinentes para su defensa. En otro caso, se vulnerarían las garantías derivadas del
citado derecho a la tutela judicial efectiva y se coartaría el pleno desenvolvimiento de
este derecho.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

23/31

Por todo ello, desde el punto de vista de esta Agencia, las grabaciones debieron
conservarse una vez rebasado el plazo establecido para su supresión, que también
trae su cobertura por el artículo 24 de la Constitución y sus normas de desarrollo.

Siguiendo esta premisa, debe darse una prevalencia al derecho consagrado por el
artículo 24 de la Constitución, que garantiza a los ciudadanos la tutela judicial efectiva
de jueces y tribunales, en los términos expuestos.

En este caso, las imágenes captadas por las cámaras de videovigilancia constituyen
una prueba válida y adecuada para la defensa de los intereses de la parte reclamante.

A este respecto, la Ley 1/2000, de 7 de enero, de Enjuiciamiento Civil, señala en el
artículo 299 cuales son los medios de prueba de que podrá hacerse uso en juicio,
estableciendo en su número 2 lo siguiente:

“También se admitirán, conforme a lo dispuesto en esta Ley, los medios de
reproducción de la palabra, el sonido y la imagen, así como los instrumentos que
permiten archivar y conocer o reproducir palabras, datos, cifras y operaciones
matemáticas llevadas a cabo con fines contables o de otra clase, relevantes para el
proceso”.

La prueba de la causación de los daños, así como la determinación de la persona
contra la que se dirigirá la demanda podría encontrarse en las imágenes captadas por
las cámaras.

Todo ello sin olvidar que la parte reclamante solicitó la conservación de las
grabaciones desde el primer momento, de modo que con esta sola petición ya se
justificaba la no supresión de las imágenes más allá del plazo de 30 días previsto.

Hay que tener en cuenta que las solicitudes de ejercicio de derechos se presentaron
ante la entidad responsable (ACVIL) antes de que las imágenes fuesen borradas y que
las razones expuestas prevalecen sobre la obligación de eliminar las imágenes en el
plazo máximo de un mes desde que fueron captadas.

VIII
Tipificación de la infracción del artículo 18 del RGPD y calificación a efectos de
prescripción

"b) los derechos de los interesados a tenor de los artículos 12 a 22;"
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

24/31

Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:

A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD
establece lo siguiente:

"En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
k) El impedimento o la obstaculización o la no atención reiterada del ejercicio de los
derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679."

IX
Propuesta de sanción por la infracción del artículo 18 del RGPD

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD y 76 de la LOPDGDD anteriormente
transcritos.

Lo anterior implica, de acuerdo con las Directrices 04/2022 sobre el cálculo de las
multas bajo el RGPD, que la cuantía de la multa para cada una de las infracciones
debe tener como punto de partida, tres elementos: el volumen de negocios, la
categorización de las infracciones según su propia naturaleza (es decir, si se trata de
una infracción del 83.4, 83.5 u 83.6 RGPD) y el nivel de gravedad de la infracción en
cada caso concreto (de acuerdo con el artículo 83.2 a), b) y g)). En cualquier caso, la
multa a imponer debe ser, en cada caso individual, efectiva, proporcionada y
disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD.

Como ya se ha señalado, se considera, con carácter previo, el volumen de negocio de
ACVIL es de 44.697.000 euros en el año 2024.

En relación con la categorización de la infracción, esta se encuentra tipificada en el
artículo 83.5 del RGPD. En virtud del mismo, la sanción que se imponga por cada una
de las infracciones anteriores podrá ser de 20.000.000 de euros, como máximo, o,
tratándose de una empresa, una cuantía equivalente al 4% como máximo del volumen
de negocio anual, optándose por la de mayor cuantía. El 4% del volumen de negocio
de la parte reclamada es de 1.787.880 euros.

Conforme a lo anterior, la sanción a imponer en este caso habrá de estar
forzosamente entre 0 y 20.000.000 de euros.

En el presente caso, considerando la gravedad de la posible infracción, atendiendo
especialmente a las consecuencias que su comisión provoca en los afectados,
correspondería la imposición de multa, además de la adopción de medidas, si
procede.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

25/31

La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada
y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar
estos principios, se considera, con carácter previo, el volumen de negocio de ACVIL
44.697.000 de euros.

Con carácter previo, se estima que concurren las circunstancias siguientes:

• La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate,
así como el número de interesados afectados y el nivel de los daños y perjuicios
que hayan sufrido (artículo 83.2, letra a), del RGPD): la naturaleza de la
infracción, por cuanto el borrado definitivo de las imágenes captadas por el
sistema de videovigilancia que ha conllevado la no atención del derecho a la
limitación del tratamiento incide, en este caso, en la capacidad de la parte
reclamante de ejercer un verdadero control de sus datos personales en la medida
en que limita su capacidad de acción en la defensa de sus derechos.

• Intencionalidad/ Negligencia en la infracción (artículo 83.2, letra b), del
RGPD): se observa una conducta negligente en la reclamada, al no contestar a la
solicitud de ejercicio del derecho en el plazo establecido de un mes, dando lugar
a que las imágenes de las cámaras de videovigilancia fueran suprimidas,
imposibilitando la atención del derecho.

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con
respecto a la infracción cometida al vulnerar lo establecido en el artículo 18 del RGPD,
permite fijar inicialmente una sanción de multa administrativa de 75.000,00 euros.

X
Medidas correctivas

De confirmarse la infracción, la resolución que se dicte podrá establecer las medidas
correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento
de la legislación de protección de datos personales, en este caso del Artículo 15 del
RGPD, de acuerdo con lo establecido en el citado artículo 58.2.d) del RGPD, según el
cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”

Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la
normativa de protección de datos personales, con el alcance expresado en los
anteriores Fundamentos de Derecho.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

26/31

En el presente acto se establece cuál es la presunta infracción cometida y los hechos
que podrían dar lugar a esa posible vulneración de la normativa de protección de
datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio
de que el tipo de procedimientos, mecanismos o instrumentos concretos para
implementarlas corresponda a la parte sancionada, pues es el responsable del
tratamiento quien conoce plenamente su organización y ha de decidir, en base a la
responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la
LOPDGDD.

No obstante, en este caso, con independencia de lo anterior, de conformidad con las
evidencias de que se dispone en el presente momento de acuerdo de inicio de
procedimiento sancionador, en la resolución que se adopte se podrá requerir a ACVIL
para que, en el plazo máximo de 3 meses, a contar desde la fecha de ejecutividad de
la resolución finalizadora de este procedimiento, adopte los mecanismos para
asegurar que las solicitudes de ejercicios de derechos sean respondidas en todo caso,
y evitar, en caso de solicitudes de acceso a las imágenes captadas por sus sistemas
de videovigilancia y solicitudes de limitación del tratamiento, que las imágenes a las
que se refieran estas solicitudes sean borradas antes de la atención del derecho y
antes de que los órganos competentes puedan revisar las decisiones que se adopten
al respecto.

La imposición de esta medida es compatible con la sanción consistente en multa
administrativa, según lo dispuesto en el art. 83.2 del RGPD.

Se advierte que no atender la posible orden de adopción de medidas impuestas por
este organismo en la resolución del presente procedimiento sancionador podrá ser
considerado como una infracción administrativa conforme a lo dispuesto en el RGPD,
tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la
apertura de un ulterior procedimiento administrativo sancionador.

Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su
caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de
adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de
la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa
obligación.

Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia
Española de Protección de Datos,
SE ACUERDA:

PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a ACVIL
APARCAMIENTOS, S.L.U, con NIF B73454134, por:

- la presunta infracción del artículo 15 del RGPD, tipificada en el artículo 83.5 del
RGPD.
- la presunta infracción del artículo 18 del RGPD, tipificada en el artículo 83.5 del
RGPD.

SEGUNDO: NOMBRAR como instructor/a a C.C.C. y, como secretario/a, a D.D.D.,
indicando que podrán ser recusados, en su caso, conforme a lo establecido en los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

27/31

artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector
Público (LRJSP).

TERCERO: INCORPORAR al expediente, a efectos probatorios, la reclamación
interpuesta por la parte reclamante y su documentación, así como, así como los
documentos obtenidos y generados por la Subdirección General de Inspección de
Datos en las actuaciones previas al inicio del presente procedimiento sancionador.

CUARTO: QUE a los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1 de
octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la
sanción que pudiera corresponder sería de

-por la presunta infracción del artículo 15 del RGPD, tipificada en el artículo 83.5.b) del
RGPD, una sanción por importe de 75.000 euros (setenta y cinco mil euros).

-por la presunta infracción del artículo 18 del RGPD, tipificada en el artículo 83.5.b) del
RGPD, una sanción por importe de 75.000 euros (setenta y cinco mil euros).

QUINTO: NOTIFICAR el presente acuerdo a ACVIL APARCAMIENTOS, S.L.U, con
NIF B73454134, otorgándole un plazo de audiencia de diez días hábiles para que
formule las alegaciones y presente las pruebas que considere convenientes. En su
escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura
en el encabezamiento de este documento.

De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su
responsabilidad dentro del plazo otorgado para la formulación de alegaciones al
presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la
sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta
reducción, la sanción quedaría establecida en 120.000,00 euros, resolviéndose el
procedimiento con la imposición de esta sanción.

Del mismo modo podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción,
la sanción quedaría establecida en 120.000,00 euros y su pago implicará la
terminación del procedimiento, sin perjuicio de la imposición de las medidas
correspondientes.

La reducción por el pago voluntario de la sanción es acumulable a la que corresponde
aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento
de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular
alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida
en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En
este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría
establecido en 90.000,00 euros.

En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará
condicionada al desistimiento o renuncia de cualquier acción o recurso en vía
administrativa contra la sanción.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

28/31

En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades
señaladas anteriormente (120.000,00 euros o 90.000,00 euros), deberá hacerlo
efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000
(BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de
Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el
concepto el número de referencia del procedimiento que figura en el encabezamiento
de este documento y la causa de reducción del importe a la que se acoge.

Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de
Inspección para continuar con el procedimiento en concordancia con la cantidad
ingresada.

En cumplimiento de los artículos 14, 41 y 43 de la LPACAP, se advierte de que, en lo
sucesivo, las notificaciones que se le remitan se realizarán exclusivamente de forma
electrónica, a través de la Dirección Electrónica Habilitada única (dehu.redsara.es) y
de la Sede electrónica (sedeaepd.gob.es), y que, de no acceder a ellas, se hará
constar su rechazo en el expediente, dando por efectuado el trámite y siguiéndose el
procedimiento. Se le informa que puede identificar ante esta Agencia una dirección de
correo electrónico para recibir el aviso de puesta a disposición de las notificaciones y
que la falta de práctica de este aviso no impedirá que la notificación sea considerada
plenamente válida.

Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP,
contra el presente acto no cabe recurso administrativo alguno.

1479-021025
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos
>>

SEGUNDO: En fecha 17 de marzo de 2026, ACVIL ha procedido al pago de la
sanción en la cuantía de 90.000,00 euros haciendo uso de las dos reducciones
previstas en el acuerdo de inicio transcrito anteriormente, lo que implica el
reconocimiento de la responsabilidad en relación con los hechos a los que se refiere el
acuerdo de inicio y su calificación jurídica.

TERCERO: En el acuerdo de inicio transcrito anteriormente se señalaba que, de
confirmarse la infracción, podría acordarse imponer al responsable la adopción de
medidas adecuadas para ajustar su actuación a la normativa mencionada en este
acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el
cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”.

Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de
las medidas incluidas en el acuerdo de inicio.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

29/31

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento la Presidencia de la Agencia Española de Protección de
Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II
Terminación del procedimiento

El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:

“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.

2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.

3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.

El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”

III
Pago voluntario y reconocimiento de responsabilidad

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

30/31

De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo
de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y
de realizar el pago voluntario de la sanción propuesta, lo que supondría dos
reducciones acumulables de un 20% cada una. Con la aplicación de estas dos
reducciones, la sanción quedaría establecida en 90.000,00 euros y su pago implicaría
la terminación del procedimiento, sin perjuicio de la imposición de las medidas
correspondientes.

Tras la notificación del citado acuerdo de inicio, ACVIL ha procedido al reconocimiento
de la responsabilidad y al pago voluntario de la sanción, acogiéndose a las dos
reducciones previstas. De conformidad con el apartado 3 del artículo 85 LPACAP, la
efectividad de las citadas reducciones estará condicionada al desistimiento o renuncia
de cualquier acción o recurso en vía administrativa contra la sanción.

Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como
de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago
voluntario por el presunto responsable no exime a la administración de la obligación de
resolver y notificar todos los procedimientos, cualquiera que sea su forma de
iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución
que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los
interesados y aquellas otras derivadas del mismo.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones, la Presidencia de la Agencia Española de Protección de
Datos RESUELVE:

PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones
determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente
resolución.

La suma de las citadas cuantías arroja una cantidad total de 150.000,00 euros.

Tras haber procedido ACVIL APARCAMIENTOS, S.L.U al pronto pago y
reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP,
a la reducción de un 40% del total mencionado, lo cual supone la cantidad definitiva de
90.000,00 euros.

La efectividad de las citadas reducciones está condicionada, en todo caso, al
desistimiento o renuncia de cualquier acción o recurso en vía administrativa.

SEGUNDO: DECLARAR la terminación del procedimiento EXP202500616, de
conformidad con lo establecido en el artículo 85 de la LPACAP.

TERCERO: ORDENAR a ACVIL APARCAMIENTOS, S.L.U para que en el plazo de 3
meses desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la
adopción de las medidas que se describen en los fundamentos de derecho del
acuerdo de inicio transcrito en la presente resolución.

CUARTO: NOTIFICAR la presente resolución a ACVIL APARCAMIENTOS, S.L.U.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

31/31

QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la
reducción por pago voluntario y reconocimiento de la responsabilidad al desistimiento
o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución
será firme en vía administrativa y plenamente ejecutiva a partir de su notificación.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública. La publicación se realizará una vez la resolución haya sido
notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

No obstante, conforme a lo previsto en el artículo 90.3.a) de la LPACAP, se podrá
suspender cautelarmente la resolución firme en vía administrativa si el interesado
manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste
el caso, el interesado deberá comunicar formalmente este hecho mediante escrito
dirigido a la Agencia Española de Protección de Datos, presentándolo a través del
Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o
a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
que acredite la interposición efectiva del recurso contencioso-administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contencioso-
administrativo en el plazo de dos meses desde el día siguiente a la notificación de la
presente resolución, daría por finalizada la suspensión cautelar.

1259-101025
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

Kamera Kayıtlarına Erişim ve İşlemenin Sınırlandırılması

Türkçe özet

Hukuki mesele

Sonuç

Karar metni