AEPD (Spain) - PS/00267/2021

1/61

 Expediente Nº: PS/00267/2021

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: A.A.A. (en adelante, la reclamante), con fecha 31/12/2020, interpuso
reclamación ante la Agencia Española de Protección de Datos. La reclamación se
dirige contra MERCADONA S.A., con NIF A46103834 (en adelante, MERCADONA o
la reclamada), por la falta de atención del derecho de acceso a los datos personales
de la reclamante, al no haberse contestado la solicitud en el plazo de un mes. Los
motivos en que basa la reclamación son los siguientes:

La reclamante expone que el ***FECHA.1 sufrió un accidente en un establecimiento
de la entidad sito en ***DIRECCION.1, y que, con el propósito de reclamar los daños,
ejercitó el derecho de acceso a las imágenes de las cámaras de seguridad, utilizando
para ello el formulario de solicitud disponible en la web de la reclamada, el establecido
en la Política de Privacidad, recibiendo un mensaje sobre la conformidad del envío,
que tuvo lugar el ***FECHA.2.

Añade que, transcurrido un mes sin recibir respuesta, remitió un correo electrónico al
DPD de la entidad, el cual respondió negando la recepción de la solicitud de acceso e
informando a la reclamante que las imágenes habían sido borradas. Con ese motivo,
la reclamante remitió el justificante del envío de la solicitud de acceso, sin recibir
ninguna otra respuesta.

Asimismo, señala la reclamante que con fecha ***FECHA.3 formuló denuncia ante la
propia entidad MERCADONA por el accidente acaecido, a través de su web,
recibiendo una referencia por el caso, por lo que no entiende que borrasen las
imágenes, que eran la única prueba de los hechos.

Junto a la reclamación, aporta la documentación siguiente, que consta reseñada en los
Hechos Probados:

. Impresión del formulario de solicitud de derecho de acceso cumplimentado a través
de la web de la reclamada, de fecha ***FECHA.2.
. Impresión de pantalla del mensaje de respuesta a la solicitud anterior.
. Copia del correo electrónico enviado el ***FECHA.4 por la representante de la
reclamante al DPD de MERCADONA, reclamando las imágenes.
. Impresión de pantalla del correo electrónico dirigido por la reclamante a la dirección
“[email protected]”, de fecha ***FECHA.3, con el asunto “Denuncia D201…”, y
respuesta de MERCADONA de ***FECHA.5.

SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

2/61

diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación al reclamado el
03/02/2021, para que procediese a su análisis e informase a esta Agencia en el plazo
de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos
en la normativa de protección de datos.

En respuesta a dicho traslado, la entidad reclamada informó como sigue:

. MERCADONA inicia su respuesta presentando los hechos objeto de las actuaciones,
confirmando que el envío de la solicitud a través del formulario disponible en la web no
genera un acuse de recibo y simplemente muestra un mensaje de respuesta indicando
“el mensaje se ha enviado correctamente”. Se refiere, asimismo, al correo que fue
enviado por la representante de la reclamante al DPD de la entidad en fecha
***FECHA.6, y señala que dicho correo se respondió informando “que la petición no
había sido recibido y que las imágenes ya no estaban disponibles (se habían borrado
al transcurrir más de 30 días desde la captación)”.

Añade que, una vez tuvo conocimiento de la solicitud de la reclamante por medio del
citado correo enviado al DPD, revisó los procesos materiales y humanos implicados,
tanto técnico como de gestión, sin observar ninguna desviación. Esta comprobación
dio lugar a la respuesta antes indicada.

Asimismo, conocida la reclamación, en fecha 09/02/2021 remitió a la reclamante un
burofax en los mismos términos.

Seguidamente, informa sobre algunos detalles relativos al procedimiento que sigue
para que los interesados ejerciten los derechos en materia de protección de datos
personales, que constan reseñados en el Hecho Probado Primero, e indica que a
través del formulario se han recibido y tramitado un total de 229 solicitudes de
derechos en materia de protección de datos personales durante el año 2020.

Por otra parte, destaca MERCADONA que, con fecha ***FECHA.7, la representante
de la reclamante se dirigió por primera vez a la entidad con la única finalidad de
informar del incidente y comunicar su intención de solicitar una indemnización por ello,
sin ninguna referencia a la solicitud de acceso realizada el ***FECHA.2, la cual es
motivo de la presente reclamación.

Entiende la reclamada, por otra parte, que de la comunicación realizada por la
reclamante a través del canal de denuncias no se puede desprender que se trataba de
una solicitud de ejercicio del derecho de acceso.

En base a lo expuesto, concluye la reclamada que actuó en todo momento conforme a
la normativa vigente, según el esquema establecido para el dar cumplimiento al
ejercicio de derechos de los clientes. En este caso concreto, en el momento que tuvo
conocimiento, por primera vez, de la solicitud de acceso el pasado ***FECHA.4,
contestó a dicha solicitud el ***FECHA.8, respondiendo a la única dirección conocida
de la solicitante.

Con su respuesta, aporta copia de la documentación siguiente, que consta reseñada
en los Hechos Probados.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

3/61

. Copia de un correo remitido por MERCADONA a la representante de la reclamante,
de ***FECHA.9, con el asunto “Derecho de acceso”.
. Copia del correo remitido por la representante de la reclamante a MERCADONA, de
***FECHA.7, antes citado.

TERCERO: Con fecha 16/04/2021, la Directora de la AEPD acuerda la admisión a
trámite de la reclamación.

CUARTO: Con fecha 05/07/2021, por la Subdirección General de Inspección de Datos
se accede a la información disponible sobre la entidad reclamada en “Axesor”. Consta
que esta entidad pertenece al sector de “Comercio” (…).

QUINTO: Con fecha 19/07/2021, la Directora de la Agencia Española de Protección de
Datos acordó iniciar procedimiento sancionador a la entidad MERCADONA, con
arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (en adelante,
LPACAP), por la presunta infracción de los artículos 12 y 6 del RGPD, tipificadas en
los artículos 83.5.b) y 83.5.a) del citado Reglamento, respectivamente; y calificadas
como leve y muy grave a efectos de prescripción en los artículos 74.c) y 72.1.b) de la
LOPDGDD.

En el acuerdo de apertura se determinó que las sanciones que pudieran corresponder,
atendidas las evidencias existentes en el momento de la apertura y sin perjuicio de lo
que resulte de la instrucción, ascenderían a un total de 170.000 euros (70.000 euros
por la infracción del artículo 12 y 100.000 euros por la infracción del artículo 6, ambos
del RGPD).

Asimismo, se advertía que las infracciones imputadas, de confirmarse, podrán
conllevar la imposición de medidas, de acuerdo con lo establecido en el citado artículo
58.2 d) del RGPD.

SEXTO: Notificado el citado acuerdo de inicio y ampliado el plazo concedido para
formular alegaciones, la entidad reclamada presentó escrito de fecha 02/08/2021, en el
que solicita el archivo del procedimiento sancionador conforme a las consideraciones
siguientes:

1. En primer lugar, se refiere al accidente sufrido por la reclamante, el cual, según
indica, le fue comunicado por denuncia de ***FECHA.3 realizada a través de su web, y
señala que la investigación interna desarrollada por la propia entidad reclamada con
posterioridad al trámite de traslado detectó un error humano en la gestión de la
reclamación civil presentada la reclamante, que originó que no llegara a conocimiento
del Delegado de Protección de Datos (DPD) ni de su equipo y la falta de atención de la
solicitud de acceso formulada.

A raíz de ello, se contactó con la reclamante, por medio de su representante, y se llegó
a un acuerdo que repara los daños y perjuicios sufridos por el accidente y los
derivados de la no atención de su derecho de acceso a sus datos personales, de
manera que el error en la atención del derecho no le ha ocasionado ningún daño y/o
perjuicio.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

4/61

Además, manifiesta que se adoptaron a nivel interno medidas disciplinarias; así como
medias técnicas y organizativas, para evitar que pueda producirse en el futuro un error
similar y que aseguren el envío al DPD de las solicitudes que se formulen a través del
formulario web.

2. Considera improcedente la apertura de procedimiento sancionador en un caso
referido exclusivamente a la falta de atención de una solicitud de ejercicio de los
derechos establecidos en los artículos 15 a 22 del RGPD, y destaca el carácter
excepcional de dicho procedimiento, que ha sido puesto de manifiesto por la AEPD en
diversas actuaciones (E/10485/2019, TD/00120/2021 y RR/00506/2021), indicando
que “siempre que sea posible, deberá optarse por la prevalencia de mecanismos
alternativos en el caso de que tengan amparo en la normativa vigente...” y que deben
existir elementos que justifiquen el inicio del procedimiento sancionador. A este
respecto, añade MERCADONA que, en el presente caso, el acuerdo de inicio del
procedimiento no concreta cuáles son los concretos aspectos que justifican la apertura
del procedimiento sancionador, ni cómo a través de la imposición de una sanción a la
entidad, podrán restaurarse las garantías y derechos de la reclamante, que a través
del procedimiento del artículo 64.1 de la LOPDGDD, según la Autoridad, no quedarían
debidamente restauradas.

En este caso, los hechos se refieren exclusivamente a la falta de atención de una
solicitud de derecho de acceso, sin que se hayan producido incumplimiento de otras
disposiciones que justifiquen la apertura de un procedimiento sancionador, atendiendo
a las circunstancias de hecho recogidas en el punto anterior, y se han restaurado las
garantías y derechos de la interesada.

Así, considera que el acuerdo de inicio no ha motivado debidamente la apertura del
procedimiento, en contra de lo establecido en el artículo 35.8 de la Ley 39/2015, letras
h) e i), lo que puede viciar de nulidad el acto administrativo conforme a la doctrina del
Tribunal Supremo en la medida en que puede privar al interesado de los medios de
defensa necesarios o dificultar el control jurisdiccional (STS 5701/1998, STS
1935/2003 o STS 8046/1999).

Destaca que, tratándose de un acto discrecional, dicha motivación debe ser más
intensa, expresando el proceso lógico que lleva a la Administración a tomar la decisión
(STS 7626/1998 que cita a su vez las SSTS, entre otras de 15/06/1984, 13/07/1984 y
07/02/1987).

Por último, indica MERCADONA que, si la finalidad de la apertura del procedimiento
sancionador es que queden “debidamente restauradas las garantías y derechos de los
interesados” tal y como se indica en el Fundamento de Derecho II del propio Acuerdo
de inicio de Procedimiento Sancionador, esa entidad ha realizado acciones para
reparar y paliar los daños y perjuicios sufridos por la interesada, por no haber atendido
en tiempo el derecho de acceso a causa del error humano detectado, por lo tanto han
quedado debidamente restauradas las garantías y derechos de la reclamante.

Por tanto, entiende que no procede la apertura de procedimiento sancionador y que,
además, no se ha justificado dicha decisión.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

5/61

3. Considerando el error humano alegado, invoca el principio de culpabilidad,
señalando que no existen errores en el pasado.

Cita el artículo 28.1 de la Ley 40/2015, que establece el Principio de responsabilidad
de la potestad sancionadora, y varios precedentes en los que la AEPD ha declarado
que el principio de culpabilidad constituye nota esencial en materia sancionadora y que
la llamada responsabilidad objetiva no tiene cabida en el Derecho administrativo
sancionador, por lo que la mera comisión de una infracción administrativa no es
suficiente a la hora de proceder a imponer una sanción administrativa, debiendo
concurrir una conducta dolosa o negligente, ya sea negligencia grave o leve o simple,
según en grado de desatención, no existiendo negligencia, ni por tanto infracción
culpable y punible, "cuando se haya puesto la diligencia necesaria en el cumplimiento
de las obligaciones exigibles en materia de LOPD" (PS/00724/2014).

Como el error humano es involuntario, no hay culpabilidad, pues nunca podría llegar a
exigirse una diligencia de tal calibre que, en términos de resultado, fuera inmune a
cualquier fallo humano o técnico, puesto que ello vaciaría completamente de contenido
al citado principio de culpabilidad, no siendo distinto de una mera imputación por vía
de la causalidad objetiva. Así se recoge en varias resoluciones de la Autoridad como
las dictadas en los expedientes señalados con los números E/03468/2009, en el que la
AEPD trae a colación doctrina jurisprudencial de la AN y el TS sobre el error y la
relación con la culpa (“…ningún sistema es indefectible ni inmune la existencia de
posibles errores, por lo que, una vez producidos, ha de analizarse la importancia y
alcance de los mismos, para evitar una responsabilidad objetiva del sujeto de la
obligación de custodia de los mismos”); E/00546/2010; E/01795/2011 (“…En el
presente caso no concurre el requisito del dolo o culpa al respecto de la actuación de
las empresas denunciadas, sino que estaríamos ante un supuesto de error con
resultado presuntamente infractor, en la medida en que pudiera existir un eventual
resultado antijurídico, pero no una voluntad en torno a dicho resultado... En este
sentido se ha manifestado, ante situaciones similares la propia Audiencia Nacional, en
sentencias como las dictadas el 16 de marzo de 2004 y 2 de marzo de 2005, en las
que respectivamente declara lo siguiente… Hemos de tener en cuenta que, como
pone de manifiesto la Audiencia Nacional, y en la medida en que no concurre
voluntariedad en el acto, que no se ha producido un resultado especialmente lesivo en
lo acontecido, y que no consta la falta de cuidado en la actuación generalizada de la
empresa denunciada en sus comunicaciones, seria contrario a la naturaleza del
ámbito sancionador administrativo, sujeto a los principios de intervención mínima y
proporcionalidad, imponer una sanción al respecto del acto producido, que puede
resumirse en un mero error no merecedor de actuación sancionadora”).

En el presente caso, la entidad ha puesto la diligencia necesaria en el cumplimiento de
las obligaciones establecidas en la normativa de protección de datos y actúa en todos
sus procesos con la máxima diligencia, y siempre dentro de su compromiso con la
transparencia y respeto al cumplimiento normativo en lo que respecta al tratamiento de
los datos de sus clientes. Así, tiene establecido un procedimiento intuitivo y sencillo en
relación con el ejercicio de los derechos en materia de Protección de Datos, en el cual
se establece las exigencias recogidas en el RGPD y la LOPDGDD.

En cuanto a la información que se proporciona a los clientes sobre cómo ejercer los
derechos, ha establecido un proceso sencillo y directo sobre el que la entidad informa
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

6/61

a través de diferentes vías (cartelería en los accesos a las tiendas; llamada al teléfono
gratuito del Servicio de atención al cliente; o la Política de Privacidad publicada en la
página web, que incluye un vínculo que dirige al formulario de ejercicio de derechos).

En el presente caso, la reclamante optó por la vía del formulario web, cuyas solicitudes
son recibidas por el Departamento de Atención al Cliente.

Y detalla el proceso de tramitación que sigue la solicitud, el cual consta reseñado en el
Hecho Probado Primero.

Este proceso contempla que las solicitudes para el ejercicio de derechos de protección
de datos sean comunicadas por el gerente al Delegado de Protección de Datos, a
través de un procedimiento no automatizado. Es el único paso no automatizado dentro
de todo el procedimiento de gestión de derechos y hasta la fecha, nunca había
acontecido ningún error, ni de carácter técnico ni humano, en la gestión de las
solicitudes en materia de protección de datos, funcionando perfectamente el sistema
establecido, gracias a la especial y constante formación que la entidad imparte a los
profesionales encargados de gestionar este tipo de solicitudes, a través de la cual se
transmite la gran importancia del derecho fundamental de protección de datos y
especialmente, los derechos de los interesados.

En relación a los ejercicios de derecho recibidos a través del formulario web, se han
recibido y tramitado de forma satisfactoria un total de 229 solicitudes de derechos
ARSOPL durante el año 2020 (enero – septiembre: 188 y de octubre – diciembre: 41).
La entidad puede afirmar que no ha sido sancionada con anterioridad por la AEPD en
materia de derechos de los interesados, y a nivel interno, no consta hasta el día de
hoy ninguna reclamación ante el DPD, ni hoja de reclamaciones, sobre la no
contestación o no recepción de solicitudes de los interesados.

No obstante, de forma adicional la entidad ha procedido a reforzar las instrucciones al
personal encargado de la gestión de las solicitudes de los interesados en materia de
protección de datos, especialmente las que los interesados envíen a través del
formulario de Atención al Cliente y que los gerentes asignados para su tramitación
reciben en sus carpetas, haciendo especial hincapié en su comunicación al DPD en
tanto no se automatice totalmente el procedimiento, a través de un comunicado
enviado por el Delegado de Protección de Datos en fecha 02/08/2021 de agosto.

A la vista del procedimiento establecido, concluye MERCADONA que ha observado en
todo momento la diligencia y el deber de cuidado que le eran exigibles, estableciendo
los procedimientos necesarios para gestionar las solicitudes de los interesados y
proporcionando formación específica a los trabajadores encargados de gestionar
dichas solicitudes y comunicarlas al Delegado de Protección de Datos. Además, se
implementan medidas preventivas tales como controles periódicos realizados por los
coordinadores, con la finalidad de evitar incidencias.

Lo contrario sería asumir una responsabilidad objetiva del sujeto de la obligación de
custodia de los mismos, a pesar de que no consta una falta de cuidado en la actuación
generalizada, habiendo mostrado la entidad la diligencia y el deber de cuidado que le
son exigibles, a través de la implementación de medidas formativas y preventivas de
control. Además, debe tenerse en cuenta la importancia y alcance del error, que no se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

7/61

ha producido un resultado especialmente lesivo en lo acontecido ya que los daños y
perjuicios han sido reparados a la reclamante, y la naturaleza del error, que dada la
gran cantidad de datos que trata la entidad, ningún sistema es indefectible ni inmune a
la existencia de posibles errores como ha sido el caso presente, y que por otro lado, se
han adoptado medidas (técnicas) para evitar que pueda producirse en un futuro.

4. MERCADONA considera vulnerado el principio de tipicidad por las circunstancias
siguientes:

. Cuando se afirma en el acuerdo de apertura del procedimiento que se ha infringido el
artículo 6 del RGPD y que ello podría suponer la comisión de la infracción tipificada, en
el apartado 5.a) del artículo 83 del RGPD, no se concreta en absoluto la conducta
infractora.

. Se indica también en el acuerdo de apertura que los hechos podrían suponer una
vulneración de lo dispuesto en el artículo 6 del RGPD, en relación con el artículo 22 de
la LOPDGDD. El artículo 6 del RGPD cuenta con cuatro párrafos, que a su vez
cuentan con diferentes subapartados, y no se especifica qué párrafo y letra del artículo
6 es el que podría haber sido supuestamente vulnerado.

Lo mismo en relación con el artículo 22 de la LOPDGDD, que cuenta con ocho
párrafos y no se especifica qué concreto párrafo y apartado es/son el/los que podría/n
haber sido vulnerado/s.

A mayor abundamiento, tampoco se explica la relación entre el artículo 6 del RGPD y
el artículo 22 LOPDGDD.

. No se explica con detalle o no se fundamenta adecuadamente por qué el hecho de
haber borrado unas imágenes en el cumplimiento del plazo legalmente establecido,
por no haber dado respuesta a un derecho de acceso debido a un error humano,
supone un incumplimiento de las condiciones de licitud y concretamente, de cuál de
ellas.

Según MERCADONA, todo ello es causante de indefensión y contribuye a la
inseguridad jurídica (artículo 9.3 Constitución).

Cita la resolución dictada por la AEPD en el expediente E/02434/2020, en la que se
declara:

“En definitiva, este principio implica, en primer lugar, que las leyes sancionadoras únicamente
pueden aplicarse a aquellas conductas que reúnan todos los elementos del tipo descrito, es
decir, que una conducta se puede definir como “típica” cuando existe una identidad u
homogeneidad entre el hecho cometido y las circunstancias que se describen en la norma. La
prohibición de la analogía, por su parte, implica que no se puede imponer una sanción por un
hecho que no encaje en la literalidad del tipo de la infracción, aunque guarde con él algún tipo
de similitud o proximidad conceptual”.

Por todo lo anterior, entiende la entidad reclamada que en el acuerdo de inicio de
procedimiento sancionador no se cumple en absoluto con el principio de tipicidad ya
que, en primer lugar, no se han concretado los preceptos supuestamente vulnerados,
ni se ha explicado la relación entre los mismos; en segundo lugar, no existe identidad
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

8/61

entre el hecho cometido y las circunstancias que se describen en la norma, pues no se
ha producido en ningún momento un tratamiento de datos ilícito (art 6 RGPD) ni se ha
vulnerado lo establecido en el artículo 22 de la LOPDGDD, y en tercer lugar, no se
puede imponer una sanción por un hecho que no encaje en la literalidad del tipo de la
infracción, aunque guarde con él algún tipo de similitud o proximidad conceptual
(prohibición de analogía).

5. MERCADONA cumple escrupulosamente lo establecido en el artículo 22.3 de la
LOPDGDD sobre la obligación de conservación de las imágenes captadas por
sistemas de videovigilancia, ya que dichas imágenes se borran de manera definitiva al
transcurrir más de 30 días desde la captación.

En el caso objeto de la presente reclamación, debido a un error humano, no se tramitó
correctamente la solicitud de acceso de la reclamante, pero ello no implica en absoluto
un incumplimiento de lo establecido en el artículo 22.3 LOPDGDD, que dispone lo
siguiente:

“3. Los datos serán suprimidos en el plazo máximo de un mes desde su captación, salvo
cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la
integridad de personas, bienes o instalaciones. En tal caso, las imágenes deberán ser puestas
a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde
que se tuviera conocimiento de la existencia de la grabación. No será de aplicación a estos
tratamientos la obligación de bloqueo prevista en el artículo 32 de esta ley orgánica” .

En las “Fichas prácticas de videovigilancia información general” de la AEPD,
actualizadas en 2021, se indica lo siguiente (aporta impresión de pantalla):

“Las imágenes serán conservadas durante un plazo máximo de un mes desde su captación,
transcurrido el cual se procederá al borrado.

Cuando se produjese la grabación de un delito o infracción administrativa que deba ser puesta
en conocimiento de una autoridad las imágenes se acompañarán a la denuncia y deberán
conservarse con el único fin de ponerlas a disposición de la citada autoridad sin que puedan
ser utilizadas para ningún otro propósito”.

Por tanto, sobre la obligación de supresión general transcurrido máximo un mes desde
la captación de las imágenes, la excepción viene dada por la grabación de un delito o
infracción administrativa que deba ser puesto en conocimiento de las autoridades, sin
que podamos incluir otros supuestos dentro de dicha excepción a la regla general,
pues la propia LOPDGDD no los incluye.

El artículo 22.3 LOPDGDD habla de “(…) salvo cuando hubieran de ser conservados
para acreditar la comisión de actos que atenten contra la integridad de personas,
bienes o instalaciones”, por lo que no se está refiriendo a cualquier acto, sino a
aquellos que impliquen una conducta por parte de un tercero (cometer un acto) contra
personas, bienes o instalaciones, es decir, debe cometerse un acto por parte de una
persona, que atente contra la integridad de personas, bienes o instalaciones.

Recordemos que toda excepción debe ser interpretada restrictivamente y sostener lo
contrario, vulneraría tanto el principio de tipicidad como la prohibición de analogía, ya
que no se puede imponer una sanción por un hecho que no encaje en la literalidad del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

9/61

tipo de la infracción, aunque guardase con él algún tipo de similitud o proximidad
conceptual.

En un caso similar (Procedimiento E/02434/2020) en el que la Guardia Civil solicitó
imágenes a un establecimiento de hostelería “por ser estas determinantes para el
esclarecimiento de los hechos”, y estas ya habían sido borradas, la AEPD indica que
es necesario analizar si la conducta descrita constituye una infracción y afirma que “El
citado artículo 22.3 LOPDGDD, hay que ponerlo en conexión con lo establecido en el
artículo 32 LOPDGG, “Bloqueo de datos” y concluye que “la obligación de “bloqueo”
en materia de imágenes obtenidas a través de sistemas de video-vigilancia es una de
las excepciones determinadas por el Legislador, de manera que no cabría imputar al
denunciado una infracción administrativa en los términos del art. 72n) LOPDGDD”, por
lo que archiva la denuncia:

“De acuerdo con lo expuesto, cabe concluir que no existe como tal una obligación de bloqueo
en el caso de las imágenes obtenidas a través del sistema, ni el Legislador obliga a que las
mismas se tengan que conservar necesariamente por el plazo de un mes, careciendo este
organismo de un mayor conocimiento de las circunstancias que dieron lugar a la eliminación de
las imágenes (vgr. intencionalidad o simple error humano), motivos todos ellos que aconsejan
ordenar el Archivo del presente procedimiento”.

Si en el caso comentado en que las imágenes eran solicitadas por la Guardia civil para
el esclarecimiento de unos hechos presuntamente delictivos, la Autoridad concluyó
que no había obligación por parte del establecimiento de bloquear las imágenes,
menos aún en el presente caso en el que no estamos ante la comisión de un delito o
infracción administrativa, que justificaría la “puesta a disposición de las imágenes a la
autoridad competente en un plazo máximo de setenta y dos horas desde que se
tuviera conocimiento de la existencia de la grabación”, que es lo que realmente
establece el artículo 22.3 de la LOPDGDD, y no una obligación de conservación, ni
siquiera parcial.

En conclusión, no se ha incumplido con ninguna disposición que establezca una
obligación de conservación de las imágenes, ya que el art 22.3 LOPDGDD no
establece dicha obligación, sino que establece únicamente la obligación de comunicar
determinadas grabaciones a las autoridades, y sancionar por ello supondría una
vulneración del Principio de Tipicidad y la prohibición de analogía.

Cuestión diferente es que, por no haber recibido o procesado correctamente la
solicitud de derecho de acceso, se hayan causado unos posibles daños a la
reclamante, los cuales ya han sido reparados a través del acuerdo alcanzado con la
reclamante tal y como se ha explicado anteriormente, pero en modo alguno puede
vincularse el hecho de que la reclamante realice una denuncia al establecimiento por
unos hechos a efectos de reclamar daños por responsabilidad civil (recordemos, sin
ejercitar propiamente un derecho de acceso a las imágenes en dicha denuncia y que
no hacía referencia al ejercicio de derecho de acceso ejercitado previamente) con una
obligación legal de conservar las imágenes que además el art 22.3 no establece, ya
que dicho precepto se limita a establecer la obligación de poner a disposición de la
autoridad competente en un plazo máximo de setenta y dos horas aquellas imágenes
que sirvan para “acreditar la comisión de actos que atenten contra la integridad de
personas, bienes o instalaciones” y no de cualquier suceso que no implique la
grabación de un delito o infracción administrativa.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

10/61

Por tanto, es claro que el artículo 22.3 no establece una obligación de conservación de
imágenes que la entidad no haya respetado. Aceptar lo contrario supondría la
obligación de los responsables de tratamiento de revisar todas las grabaciones
diariamente para conservar cualquier grabación en la que una persona pudiera
haberse caído, desmayado etc. además de comunicar a las autoridades competentes
dichos sucesos que no entrarían dentro de su competencia como es el caso presente,
y sancionar por ello, supondría vulneración del Principio de Tipicidad y de prohibición
de analogía.

Con sus alegaciones aporta la documentación siguiente:

. Acuerdo de especificaciones dirigido al Departamento de Sistemas para realizar un
nuevo desarrollo en la página web corporativa que implique la automatización del
envío de cualquier ejercicio de derechos al Delegado de Protección de Datos.

Con el objetivo de facilitar el ejercicio de derechos, este documento contempla incluir
una “FAQ” para explicar cómo ejercitar el derecho y con un enlace a un formulario,
“que completándolo llegará” al equipo legal para gestionar la solicitud.

. “Certificación” del Departamento de Recursos Humanos en relación con la imposición
de la medida disciplinaria interna. Se dice que la investigación realizada detectó que
un empleado del Área de Responsabilidad Civil encargado de la gestión de la
reclamación objeto de las presentes actuaciones “había incurrido en la falta de
diligencia en sus funciones y que han originado la falta de atención del derecho de
acceso en materia de videovigilancia”, por lo que “se le aplicaron las medidas
disciplinarias internas por incumplir de forma negligente la ejecución de los métodos
de trabajo establecidos por la empresa, habiendo sido debidamente formado para
ellos”.

. Comunicado del DPD de la entidad reclamada dirigido a los “gerentes de tramitación”
del Departamento de Atención al Cliente”, remitido mediante correo electrónico de
02/08/2021. Enumera las vías para el ejercicio de derechos e informa lo siguiente:

“Como sabéis si el interesado utiliza el formulario web para el ejercicio de un derecho, a través
de un procedimiento automatizado, el sistema asigna la solicitud a un gerente y la envía a su
carpeta.
IMPORTANTE: Aquellas solicitudes para el ejercicio de derechos en materia de protección de
datos, como sabéis y venís realizando hasta la fecha, deben ser enviadas de forma inmediata
al Delegado de Protección de Datos ***EMAIL.1, para que se proceda a dar respuesta en
tiempo y forma al Jefe(cliente) que lo solicita. Actualmente es un proceso que se realiza de
forma manual, por lo que se ha solicitado al Departamento de Informatica el estudio y la
valoración del proyecto de automatización con la finalidad de evitar cualquier error humano en
la gestión”.

. Documentación sobre una formación dirigida al “Área Línea 900”, realizada en mayo
de 2021, que incluye un apartado dedicado a la protección de datos personales.

SÉPTIMO: Con fecha 29/07/2021, tuvo entrada en esta Agencia un escrito presentado
por la representante de la reclamante, en relación con la apertura del procedimiento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

11/61

sancionador, mediante el que comunica “que se ha llegado a un acuerdo con
Mercadona, a través del cual quedan debida y suficientemente resarcidos los daños y
perjuicios sufridos por mi clienta, tanto materiales como inmateriales en el ámbito de la
responsabilidad civil, así como en materia de protección de datos por la no atención
del derecho de acceso, motivo de la reclamación presentada”. En base a ello, termina
señalando que han quedado resarcidos los perjuicios y satisfecho el derecho de la
reclamante y solicita “se considere atendida mi reclamación y, por ende, el archivo del
expediente”.

OCTAVO: Con fecha 02/03/2022 se formuló propuesta de resolución en el sentido
siguiente:

1. Que se sancione a la entidad MERCADONA, por una infracción del artículo 12, en
relación con el artículo 15, ambos del RGPD, tipificada en el artículo 83.5.b) y
calificada como leve a efectos de prescripción en el artículo 74.c) de la LOPDGDD,
con una multa de 70.000 euros (setenta mil euros).

2. Que se sancione a la entidad MERCADONA, por una infracción del Artículo 6 del
RGPD, tipificada en el artículo 83.5.a) y calificada como muy grave a efectos de
prescripción en el artículo 72.1.b) de la LOPDGDD, con una multa de 100.000 euros
(cien mil euros).

3. Que se imponga a la entidad MERCADONA, en el plazo que se determine, la
adopción de las medidas necesarias para adecuar su actuación a la normativa de
protección de datos personales, con el alcance expresado en el Fundamento de
Derecho IX de la propuesta de resolución.

NOVENO: Con fecha 16/03/2022, se recibe escrito de la entidad reclamada en el que
formula alegaciones a la propuesta de resolución, solicitando nuevamente el archivo
del procedimiento y que se tengan en cuenta las peticiones que seguidamente se
indican. Basa su petición en las consideraciones siguientes:

1. Reitera las mismas alegaciones anteriores sobre la procedencia de seguir un
procedimiento por falta de atención de una solicitud de ejercicio de derechos, que es el
que, a su juicio, corresponde por imperativo legal, en lugar de un procedimiento
sancionador; y señala que aquel tiene una duración de seis meses a contar desde la
admisión a trámite el 16/04/2021, que transcurrieron sin pronunciamiento alguno.

Entiende que las responsabilidades también deben depurarse en el marco de ese
procedimiento regulado en el artículo 64.1 de la LOPDGDD; y que debe seguirse el
mismo aunque no sea posible atender el derecho, como ocurre en este caso al
haberse eliminado el dato, según ha resuelto la Agencia en precedentes que califica
como similares, en los que la AEPD ha estimado formalmente la reclamación del
interesado dentro del procedimiento de tutela de derechos, instando al reclamado a
dar respuesta pero sin apreciar “carencia” de objeto y sin depurar responsabilidades
(TD/00955/2018, TD/00830/2017 y TD/01272/2017). Añade que así lo entiende el
Comité Europeo de Protección de Datos (CEPD) en sus Directrices 3/2019, sobre el
tratamiento de datos personales mediante dispositivos de vídeo:

“Ejemplo: Si el responsable del tratamiento suprime automáticamente todas las imágenes por
ejemplo en un plazo de dos días, no puede facilitar las imágenes al interesado transcurridos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

12/61

esos dos días. Si el responsable recibe una solicitud después de esos dos días, se debe
informar al interesado en consecuencia”.

Cita también las actuaciones seguidas por la AEPD con el número E/02434/2020, que
se refiere a una petición de las Fuerzas y Cuerpos de Seguridad del Estado de
imágenes determinantes para el esclarecimiento de la supuesta comisión de un delito
o infracción administrativa, que la Agencia archivó concluyendo que no había
obligación por parte del establecimiento de bloquear las imágenes y no sancionó por
ello.

Además, considera MERCADONA que no se ha producido incumplimiento de otras
disposiciones diferentes al artículo 12, párrafos 2 y 3, en relación con el artículo 15
RGPD, que justifiquen la apertura de un procedimiento sancionador y argumenta que
la supuesta infracción imputada está tipificada como “No atender las solicitudes de
ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento”.

Finalmente, expone que se está sancionando una misma conducta con dos sanciones;
y que se han restaurado las garantías y derechos de la interesada por los posibles
perjuicios derivados de los hechos, según establece el artículo 82.1 del RGPD.

2. Insiste MERCADONA en las alegaciones ya expresadas sobre el carácter
excepcional del procedimiento sancionador; las acciones llevadas a cabo para
restaurar las garantías y derechos de la interesada y reparar los daños, que no se
consiguen con la imposición de una sanción; así como en la falta de motivación, en el
presente caso, del acuerdo de apertura, a diferencia de otros casos en los que se
justifica en una actuación general del responsable que afectaría a todas las personas
que estuvieran en la misma situación, y no un error puntual (PS/00003/2021), que ni
siquiera concreta los párrafos de los artículo 12 y 6 del RGPD infringidos.

Al igual que en el apartado anterior, también en este apartado 2 discute MERCADONA
la procedencia de resolver las cuestiones suscitadas mediante un procedimiento
sancionador, argumentando de contrario el volumen de solicitudes de derechos que ha
tramitado en los últimos años; que no ha sido sancionada con anterioridad por esta
causa y no consta ninguna reclamación ante el DPD; y se han adoptado las medidas
necesarias para evitar que errores similares, habiendo automatizado totalmente el
proceso de gestión de solicitudes, las cuales han sido valoras como atenuante junto
con el hecho de que en este caso la anomalía únicamente afecta a la reclamante.

Entiende que no es suficiente para fundamentar la apertura del procedimiento
sancionador con indicar que al suprimir las imágenes se ha producido otra infracción
diferente a la vulneración de los artículos 15 a 22 del RGPD, o que el procedimiento
por la no atención de un derecho “carecía de objeto” puesto que las imágenes no
existían.

Por otra parte, menciona la posibilidad de acudir a otros poderes correctivos
establecidos en el artículo 58.2 del RGPD (advertencia, apercibimiento u otras), en
función de las circunstancias de cada caso individual.

No ha sido sino en la Propuesta de resolución, cuando se ha argumentado por primera
vez por parte de la AEPD qué concretos párrafos de los artículos 12 y 6 del RGPD se
consideraban supuestamente vulnerados. Y, con respecto a la supuesta vulneración
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

13/61

del artículo 6 y su relación con el artículo 22 de la LOPDGDD, es también en la
propuesta de resolución cuando, a pesar de reconocer la no aplicación del artículo 22
LOPDGDD, la AEPD explica el razonamiento jurídico y ratifica la propuesta de
sanción.

3. Reitera que la solicitud de acceso de la reclamante no fue gestionada debido a que
no llegó a conocimiento del DPD por un error humano, ya explicado, en su opinión, en
sus alegaciones a la apertura del procedimiento.

Invoca nuevamente el principio de culpabilidad y la prohibición de la responsabilidad
objetiva en el Derecho administrativo sancionador, que se consideran en diversas
resoluciones de la propia Agencia como las indicadas en su escrito de alegaciones
anterior y en Sentencias de la Audiencia Nacional (como las dictadas el 16/03/2004 y
02/03/2005, referidas a un error en los movimientos de una cuenta bancaria o una
equivocación en el envío de correspondencia a la dirección de una persona, cuando
no concurra voluntariedad y no conste la falta de cuidado).

En tales casos, la AEPD ha valorado las circunstancias concretas, teniendo en cuenta
que la mera comisión de una infracción administrativa -tipo objetivo- no es suficiente a
la hora de proceder a imponer una sanción administrativa (PS/00724/2014); que
ningún sistema es indefectible ni inmune la existencia de posibles errores, por lo que,
una vez producidos, ha de analizarse la importancia y alcance de los mismos, para
evitar una responsabilidad objetiva del sujeto de la obligación de custodia de los
mismos (E/01795/2011); si concurre o no voluntariedad en el acto, si se ha producido
un resultado especialmente lesivo o consta la falta de cuidado en la actuación
generalizada (E/03468/2009); o la proporcionalidad (SAN de 16/03/2004 y
02/03/2005).

En cuanto a las afirmaciones contenidas sobre esta cuestión en la propuesta de
resolución, indica MERCADONA que la Agencia no fundamenta en qué consistió la
falta de diligencia. El único argumento es que “no puede admitirse que la actuación de
la entidad reclamada, no dando curso a la solicitud de acceso a los datos personales,
haya sido diligente”, lo cual tendría como corolario la responsabilidad objetiva derivada
de cualquier error, despiste, olvido etc. del trabajador que debía redirigir la solicitud al
DPD, sin atender a las circunstancias concretas del caso y al hecho reconocido por la
propia Autoridad de que se contaba con los procedimientos “adecuados” para
gestionar este tipo de solicitudes y de que no se habían producido errores en el
pasado que motivasen el cambio de procedimiento por parte del responsable, en base
a su diligencia.

Como muestra de la existencia en este caso de la diligencia debida generalizada, la
propia AEPD valora como circunstancia atenuante la implantación de procedimientos
adecuados de actuación en la gestión de solicitudes de ejercicio de derechos, de
modo que la infracción es consecuencia de una anomalía en el funcionamiento de
dichos procedimientos que afecta únicamente a la reclamada. Siendo así, entiende
MERCADONA que no se puede apreciar voluntariedad en el error, y añade que no se
ha producido un resultado lesivo, ya que la entidad ha procedido a evitar los posibles
daños y perjuicios que se hubieran podido derivar.

Por último, en cuanto a la importancia y alcance del error, la entidad ha puesto de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

14/61

manifiesto que hasta la fecha no se había producido error alguno en la gestión de las
solicitudes de derechos de los interesados, ni de carácter técnico ni humano, a pesar
del elevado número de solicitudes recibidas, ni ha sido sancionada con anterioridad
por la AEPD en materia de derechos de los interesados y a nivel interno, no consta
hasta el día de hoy ninguna reclamación ante el DPD, ni hoja de reclamaciones, sobre
la no contestación o no recepción de solicitudes de los interesados.

A pesar de ser una “anomalía en el funcionamiento”, tal y como la define la propia
AEPD, la entidad ha modificado el procedimiento de gestión eliminando el único paso
no automatizado. Así, ha implantado un desarrollo, mediante un sistema de reglas de
flujo de correo en el Exchange Server (también conocidas como reglas de transporte).
Estas reglas contienen un conjunto de condiciones y acciones, con las que se
garantizan la notificación a los destinatarios de Atención al cliente (L900) y Delegado
de Protección de Datos, de forma automática, de aquellas peticiones del ejercicio de
derechos que se realicen a través del formulario de la página web (reenvío automático
de una copia del mensaje original a el buzón de correo ***EMAIL.1).

En cuanto a su alcance, se evidencia por parte de la AEPD que afecta únicamente a la
reclamada, lo cual se tiene en cuenta como atenuante de la sanción. En este punto,
debe tenerse en cuenta que no se ha producido un resultado lesivo en lo acontecido,
ya que no han llegado a derivarse daños y perjuicios por satisfacción extrajudicial de la
pretensión de indemnización en base a unos hechos a cuya acreditación pretendían
servir las imágenes solicitadas por la reclamante.

Además, ha mostrado la diligencia y el deber de cuidado que le son exigibles, a través
de la implementación de medidas formativas y preventivas de control, tal y como
evidencia la falta de errores en el pasado.

Señala también que no ha amparado la no atención del derecho en la supresión de las
imágenes, sino en el error humano indicado. El transcurso del plazo fue solo la
consecuencia de no haber llegado la solicitud al DPD. Prueba de ello es que se dio
respuesta a la reclamante en fecha ***FECHA.9, antes del requerimiento de la AEPD.

En cuanto al plazo de conservación de las imágenes, en el resto de países europeos,
o no existen plazos de conservación, o son inferiores a 30 días, por lo que la situación
que plantea la AEPD es todavía más evidente y posible de materializarse si el
interesado no ejercita su derecho de acceso antes de que se produzca la supresión de
las imágenes. Así, el Comité Europeo de Protección de Datos, CEPD, en las
Directrices 3/2019, en relación con los períodos de almacenamiento y obligación de
borrado, afirma que:

“Los datos personales no podrán conservarse durante más tiempo del necesario para la
finalidad para la que se tratan [artículo 5, apartado 1, letras c) y e) del RGPD]. En algunos
Estados miembros, puede haber disposiciones específicas para los períodos de conservación
respecto a la videovigilancia de conformidad con el artículo 6, apartado 2, del RGPD.
El hecho de si es necesario conservar o no los datos personales debe controlarse en un corto
espacio de tiempo. Por lo general, los fines legítimos de la videovigilancia son normalmente la
protección de la propiedad o la conservación de pruebas. Normalmente los daños producidos
se pueden reconocer un uno o dos días. Para facilitar la demostración del cumplimiento del
marco de protección de datos, va en interés del responsable del tratamiento celebrar acuerdos
organizativos por adelantado (p. ej., nombrar, si fuera necesario, a un representante para
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

15/61

examinar y asegurar el material de vídeo). Teniendo en cuenta los principios del artículo 5,
apartado 1, letras c) y e) del RGPD, concretamente la minimización de datos y la limitación del
plazo de conservación, los datos personales deberán suprimirse en la mayoría de los casos (p.
ej., a efectos de detectar vandalismo), preferentemente de forma automática, transcurridos
unos días. Cuanto más tiempo dure el período de conservación (especialmente cuando supere
las 72 horas), más argumentos deberán facilitarse para la legitimidad de la finalidad y la
necesidad de conservación”.

Incluso el CEPD pone el siguiente ejemplo respecto de una tienda:

“Ejemplo: El propietario de una tienda pequeña normalmente se daría cuenta de cualquier
signo de vandalismo el mismo día. En consecuencia, bastaría con un período normal de
conservación de 24 horas. Los fines de semana que está cerrada o las vacaciones más
prolongadas pueden no obstante ser motivos para un período de conservación más largo. Si se
detecta un daño también puede ser necesario conservar las imágenes de vídeo durante un
período más prolongado con el fin de interponer demandas contra el infractor” .

4. La AEPD entiende dos conductas diferentes e independientes, cuando en realidad
una es consecuencia de la otra, pues si se borraron las imágenes fue porque
precisamente no se tuvo constancia de la solicitud de acceso debido al error
acontecido. Y concluye que las circunstancias concurrentes prevalecen sobre la
obligación de eliminar las imágenes en el plazo máximo de un mes desde que fueron
captadas, vulnerando lo establecido en el artículo 6 del RGPD.

A este respecto, señala en primer lugar, que cuando la reclamante se interesó por su
solicitud se dio respuesta, por ser la primera vez que llegaba a conocimiento, y ya
había transcurrido el plazo máximo de conservación de 30 días, como en los casos
similares señalados anteriormente.

Por otra parte, alega MERCADONA que la supresión de los datos cuando han dejado
de ser necesarios no necesita una base legítima. La supresión se produce
precisamente porque ya no existe base de legitimación para seguir conservando esos
datos por haber transcurrido el plazo máximo legal de un mes, necesitando de una
base de legitimación para su conservación posterior, no para su supresión como indica
la AEPD. En otras palabras, es la “expiración” del plazo legal de conservación, el
propio cumplimiento de la norma aplicable, lo que conlleva la supresión de las
imágenes, sin necesidad de acudir a ninguna base de legitimación para realizar dicha
supresión. De admitir el argumento de la AEPD, debería existir en todo Registro de
Actividades de Tratamiento (incluido el de la propia AEPD), un tratamiento
denominado “supresión de imágenes” con su correspondiente base de legitimación, lo
cual no tiene sentido alguno.

En tercer lugar, destaca que estamos ante un plazo máximo de conservación, como la
propia AEPD indica en sus “fichas prácticas de videovigilancia” (“trascurrido el cual se
procederá al borrado”), en la propuesta de resolución y en múltiples resoluciones.
Como la dictada en el procedimiento PS/00261/2020, en la que se afirma lo siguiente:

“Sobre la obligación de conservación de imágenes por un plazo no superior a 30 días, el
(RGPD), en su considerando 39, anuncia la necesidad de “garantizar que se limite a un mínimo
estricto” el plazo de conservación de los datos personales, los cuales a su vez deben ser
“adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados”. El
artículo 22.3 de la LOPDGDD concreta –en cuanto a los tratamientos con fines de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

16/61

videovigilancia– que “los datos serán suprimidos en el plazo máximo de un mes desde su
captación”.

La excepción viene dada por la grabación de un delito o infracción administrativa que
deba ser puesto en conocimiento de las autoridades ex artículo 22.3 LOPDGDD, sin
que podamos incluir otros supuestos dentro de dicha excepción a la regla general,
pues la propia LOPDGDD no los incluye.

Recordemos que toda excepción debe ser interpretada restrictivamente y sostener lo
contrario, vulneraría tanto el principio de tipicidad como la prohibición de analogía, ya
que no se puede imponer una sanción por un hecho que no encaje en la literalidad del
tipo de la infracción, aunque guardase con él algún tipo de similitud o proximidad
conceptual.

En el Acuerdo de inicio de procedimiento sancionador, la AEPD afirmaba que se
consideraba que los hechos expuestos podrían incumplir lo establecido en el artículo 6
del Reglamento, en relación con el artículo 22 de la LOPDGDD; y en la propuesta
reconoce que no es aplicable al presente caso.

Por tanto, no se entiende cuál es el supuesto analizado en las presentes actuaciones y
por qué se considera responsable a dicha entidad de una supuesta infracción del art 6
de RGPD con respecto al mismo (adjunta extracto del Registro de Actividad del
Tratamiento correspondiente al tratamiento de Videovigilancia).

La AEPD entiende que “concurren otras circunstancias que deben ser consideradas
en el análisis de la licitud o ilicitud de aquella supresión o borrado de datos
personales”, directamente vinculadas a la situación particular de la reclamante, pero
en ningún modo puede sostenerse que, debido a esas circunstancias particulares, que
la entidad no tiene por qué conocer, MERCADONA tenía un deber de conservación. Y
advierte esta entidad que para el ejercicio de derechos no debe aducirse justificación o
motivación alguna por parte del interesado y que la entidad no debe realizar ninguna
valoración respecto a si puede existir un interés legítimo del interesado que pueda
justificar la conservación de las imágenes más allá del plazo legal. En el caso de haber
recibido la solicitud, la entidad hubiera entregado copia de las imágenes a la
interesada, pero no porque la base de legitimación hubiera cambiado, sino porque la
interesada tiene derecho a solicitar las imágenes a través del derecho de acceso con
independencia de su motivación. En otras palabras, MERCADONA no tenía que hacer
ninguna ponderación o valoración en lo que a la legitimación se refiere.

Reproduce de nuevo lo señalado sobre los períodos de conservación y supresión de
las imágenes en las Directrices 3/2019 del CEPD, antes transcrito, añadiendo el
párrafo siguiente:

“Si el responsable del tratamiento utiliza la videovigilancia no solo para controlar sus
instalaciones sino también para conservar los datos, deberá garantizar que la conservación es
efectivamente necesaria para lograr la finalidad. Si es así, el plazo de conservación deberá
definirse claramente y fijarse individualmente para cada fin particular. Es responsabilidad del
responsable del tratamiento definir el período de conservación de conformidad con los
principios de necesidad y proporcionalidad y acreditar el cumplimiento de las disposiciones del
RGPD”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

17/61

Por otro lado, si necesitara una base jurídica para proceder a la supresión de los
datos, en ningún momento especifica la AEPD cuál es o cuál debería ser, de las
enumeradas en el artículo 6 RGPD.

Según la reclamada, la propuesta de resolución confunde los conceptos de “base de
legitimación” con los “motivos” o razones que justificaban la conservación de las
imágenes. Que la reclamante tuviera interés en las imágenes, y derecho a obtenerlas,
está fuera de toda discusión, pero la AEPD parece ignorar que, si en el presente caso
no se conservaron las imágenes, no fue porque se hubiera valorado que la reclamante
no tenía derecho a las mismas o porque se considerase que en todo caso debía
aplicarse el plazo de conservación de un mes, sino porque, sencillamente, hubo un
error puntual en la gestión de su solicitud que impidió su contestación en tiempo y
forma. No puede confundirse el interés que pueda tener la interesada en las imágenes,
con el plazo de conservación de las imágenes que determina el responsable o con el
concepto de base de legitimación. Si un interesado ejercita el derecho de acceso
durante el plazo en el que el responsable conserva las imágenes, deberá atenderse, y
deberán conservarse las imágenes, aunque hubiera un defecto formal en la petición,
precisamente para que cuando este se subsanase, satisfacer el derecho. Pero en este
caso no llegó a conocimiento del responsable la petición, por lo que no se pudieron
conservar.

Tampoco se discute el derecho de la entidad a conservar las imágenes si así lo estima
oportuno, por ejemplo, porque fuera demandada por la reclamante, en el ejemplo que
pone la propia AEPD, pero esto pone de manifiesto la confusión de la AEPD respecto
a la necesidad de una base de legitimación para conservar las imágenes más allá del
plazo legal establecido, con la supuesta necesidad de una base de legitimación para
suprimir dichas imágenes.

De hecho, en las citadas Directrices 3/2019, en relación con el derecho de acceso en
materia de videovigilancia se afirma que:

“El interesado tiene derecho a obtener la confirmación del responsable del tratamiento respecto
a si sus datos personales son o no objeto de tratamiento…Si, no obstante, los datos se siguen
tratando en el momento de la solicitud (esto es, si los datos se conservan o tratan
continuamente de cualquier otra forma), el interesado debe obtener acceso e información de
conformidad con el artículo 15”.

“Ejemplo: Si el responsable del tratamiento suprime automáticamente todas las imágenes por
ejemplo en un plazo de dos días, no puede facilitar las imágenes al interesado transcurridos
esos dos días. Si el responsable recibe una solicitud después de esos dos días, se debe
informar al interesado en consecuencia.

En el presente caso no estamos ante una colisión de derechos que deba ponderar el
responsable, sino simplemente ante una solicitud de derecho de acceso que no fue
atendida porque el responsable no tuvo conocimiento de la petición de la interesada
debido a un error aislado y puntual en el procedimiento.

Si MERCADONA suprimió las imágenes fue porque no tuvo conocimiento de la
petición de acceso de la interesada, no porque valorase negativamente su solicitud y
no concediese dicho acceso.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

18/61

La AEPD ha considerado que se da una prevalencia del derecho a la tutela judicial
efectiva de jueces y tribunales. Pero es que no resulta necesario argumentar que
debía de haberse conservado las imágenes por un período superior a los 30 días. Si
se hubiera recibido la petición, la interesada hubiese tenido respuesta en tiempo y
forma, sin necesidad de tener que conservar las imágenes más tiempo del establecido
ni buscar ninguna base de legitimación adicional.

Dado que el DPD no recibió la solicitud original, se procedió a su supresión en
cumplimiento de los procedimientos establecidos. Es decir, MERCADONA nunca se
encontró y nunca se habría encontrado (en caso de no haberse producido el error
acontecido) en la disyuntiva de si debía o no conservar los datos más allá del plazo
legal, por lo que no puede exigirse la realización de ninguna ponderación ante una
supuesta colisión de derechos que no ha existido ni existirá. Para el caso de que la
petición se hubiera tramitado satisfactoriamente, se habrían entregado las imágenes
sin más valoración.

Pero es que, además, si aceptamos que el responsable debe analizar y valorar las
causas por las que el interesado solicita los datos, estamos arrogando al responsable
de unas facultades que la ley no le otorga.

Además, al afirmar la AEPD que “existe una habilitación legal para el tratamiento de
los datos de las imágenes una vez rebasado el plazo establecido para su supresión,
que trae su cobertura del propio artículo 24 de la Constitución y sus normas de
desarrollo” parece introducir, para aquellos casos en los que no se ha ejercitado un
derecho en materia de protección de datos, una obligación de supervisión de todas las
imágenes por parte de los responsables de tratamiento, diariamente, para valorar si es
necesario conservar cualquier grabación en la que una persona pudiera haberse
caído, desmayado etc. y las necesitase para ejercer su derecho a la tutela judicial
efectiva, incluso aun en el caso de ausencia de petición del interesado. Este
razonamiento no puede compartirse ni sostenerse jurídicamente, pues supone exigir
obligaciones a los responsables de tratamiento que no están en la ley y que van más
allá de las finalidades de un sistema de videovigilancia instalado para garantizar la
preservar la seguridad de las personas y bienes, así como de sus instalaciones.
Cuestión diferente es que el interesado pueda solicitar las imágenes a través del
derecho de acceso y utilizarlas como considere (por ejemplo aportarlas a un
procedimiento judicial), pero en modo alguno puede argumentarse una obligación
general de conservación para el responsable, contradiciendo el plazo máximo legal de
conservación de las imágenes, para salvaguardar un posible derecho de acceso a la
tutela judicial efectiva de una persona que no ha ejercitado un derecho de acceso en
protección de datos.

Queda claro que esas finalidades van más allá de la finalidad del sistema de
videovigilancia de preservar la seguridad de las personas y bienes, así como de sus
instalaciones (Art 22.1 LOPDGDD).

No obstante, la entidad ha procedido a la reparación de los posibles daños y perjuicios
que el error acontecido y, por tanto, la no disposición de las imágenes haya podido
causar a la reclamante.

Por todas las razones expuestas, en ningún momento, se ha realizado un tratamiento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

19/61

de datos sin que concurra una base de licitud.

Tampoco se ha incumplido ninguna disposición que establezca una obligación de
conservación de las imágenes, ya que el artículo 22.3 LOPDGDD no establece dicha
obligación, por lo que sancionar por ello supondría una vulneración del principio de
tipicidad y la prohibición de analogía.

5. Invoca los principios de seguridad jurídica, que obliga a que el ius puniendi del
Estado se someta al principio de Legalidad – Lex previa- y al principio de Tipicidad-
Lex certa-.

En base a ello, se opone expresamente a la consideración de los hechos imputados
como constitutivos del supuesto de hecho del artículo 6 del RGPD y artículo 72.1.b) de
la LOPDGDD, porque, precisamente, el haberlos conservado más allá del plazo legal
de conservación hubiera supuesto un tratamiento sin base de legitimación.

La infracción consistente en suprimir unas imágenes sin base de legitimación no
existe, no se encuentra tipificada en la normativa, pues todas las bases de licitud
detalladas en el artículo 6 suponen un tratamiento de datos en positivo, activo, (tratar
datos para una finalidad específica, ejecutar un contrato, cumplir una obligación legal,
etc.), no negativo (suprimir).

6. En cuanto a la graduación de las sanciones, señala lo siguiente:

a) En relación con la infracción por incumplimiento de lo dispuesto en el artículo 12, en
relación con el artículo 15, ambos del RGPD, considera la reclamada que las
circunstancias siguientes deben considerarse como atenuantes y no agravantes:

. Existe un único afectado, la duración de la infracción no perdura en el tiempo y no
existía con carácter general o estructural, no se trata de una infracción grave y los
daños que hubiera podido sufrir la interesada han sido reparados situando a la
reclamante en la misma situación en que se encontraría de haberse servido de las
imágenes para presentar demanda.

. No cabe apreciar intencionalidad o negligencia en la infracción, por cuanto la
infracción ha sido “consecuencia de una anomalía en el funcionamiento de los
procedimientos” que, según la AEPD la entidad tiene implantados y son adecuados; la
reclamada no ha sido sancionada con anterioridad por la no atención de un derecho y
ni siquiera constan reclamaciones a nivel de DPD o de hojas de reclamaciones, lo que
evidencia que no se habían producido errores hasta la fecha, gracias a la formación
que imparte a su personal (aporta documentación sobre acciones formativas
impartidas); y se han implementado medidas preventivas tales como controles
periódicos y la automatización del proceso.

. La reclamada ha colaborado con la Agencia y no ha esperado al requerimiento formal
para modificar su procedimiento.

. Las categorías de datos afectados son datos relativos a imágenes, no constituyendo
categorías especiales de datos, dado que únicamente se tratan con la finalidad de
garantizar la seguridad de personas, bienes e instalaciones.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

20/61

Así lo entiende el CEPD en sus Directrices 3/2019:

“Los sistemas de videovigilancia normalmente recopilan cantidades masivas de datos
personales que pueden revelar datos de naturaleza muy personal e incluso categorías
especiales de datos. En efecto, los datos aparentemente no significativos recogidos en un
principio mediante el vídeo se pueden usar para inferir otra información dirigida a lograr una
finalidad diferente (p. ej., realizar un seguimiento de los hábitos de una persona). Sin embargo,
la videovigilancia no se considera siempre como un tratamiento de categorías especiales de
datos personales”.

La categoría denominada “de naturaleza especialmente sensible” no existe. Un
sistema de videovigilancia “ordinario” no permite la pronta identificación de los
interesados, básicamente porque no se cuenta con ningún otro dato que pueda
permitir dicha identificación, ni utiliza los datos para otras finalidades diferentes a
preservar la seguridad de las personas, bienes e instalaciones.

Por otra parte, en relación con las agravantes consideradas, manifiesta que los
tratamientos de datos que realiza son los mínimos imprescindibles para desarrollar su
actividad principal, que es la venta de productos de alimentación, no siendo posible
discriminar la captación de imágenes de clientes. En cuanto a la profesionalidad en
relación con el tratamiento de los datos, advierte de nuevo que hasta la fecha no ha
sido sancionada por una falta de atención de los derechos de los interesados, ni se ha
planteado ninguna reclamación interna.

b) Sobre las agravantes consideradas para determinar la sanción por el
incumplimiento de lo establecido en el artículo 6 del RGPD, MERCADONA reitera lo
expresado en relación con la infracción anterior y añade, en relación con la gravedad
de la infracción y la intencionalidad o negligencia, que no puede vincularse la denuncia
de la reclamante al establecimiento a efectos de reclamar daños por responsabilidad
civil con una obligación legal de conservar las imágenes que además el art 22.3 no
establece. No es obligación de MERCADONA guardar las imágenes de cada suceso
ocurrido, sin que haya solicitado la persona las imágenes, sólo para la eventualidad de
que pudiera solicitarlas. No se puede afirmar que “MERCADONA suprimió las
imágenes a pesar de conocer que la reclamante denunció ante dicha entidad el
accidente y los daños sufridos, y solicitó, con tal motivo, el acceso a dichas imágenes”
porque la entidad no era consciente de la solicitud de acceso realizada.

Por otra parte, invoca el principio de proporcionalidad y solicita, subsidiariamente, que
se imponga una sanción de advertencia o apercibimiento, o, en todo caso, que se
reconsidere el importe propuesto, al no resultar proporcionado; señalando finalmente
que se está castigando una misma conducta y hechos (no atender un ejercicio de
derecho) a través de dos sanciones distintas, que redundan en un importe total
desproporcionado si atendemos a que el error ha supuesto una “anomalía en el
funcionamiento de dichos procedimientos” que ha afectado a una única persona.

7. MERCADONA considera que la reducción por reconocimiento de la responsabilidad
prevista en el artículo 85 de la Ley 39/2015, que la Agencia limita al plazo concedido
para formular alegaciones a la apertura del procedimiento, puede aplicarse en
cualquier momento anterior a la resolución.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

21/61

Según MERCADONA, debe considerarse que el citado artículo regula la terminación
del procedimiento de forma voluntaria y unilateral por el administrado en “bloque”,
determinando las opciones, condiciones y sus consecuencias; y dicho precepto admite
que la segunda forma de terminación voluntaria del procedimiento, el pago voluntario,
se pueda realizar en “cualquier momento antes de la resolución”.

Entiende que la propuesta de resolución es el momento “natural” para la asunción de
responsabilidad por el administrado sin vulneración ni afectación alguna a su derecho
de defensa, contradicción y tutela judicial efectiva. Es dicha propuesta la que
determina los hechos probados, su encuadramiento en el tipo infractor y la sanción,
después de que el interesado haga valer sus alegaciones y pruebas, sin sujeción al
acuerdo de inicio.

Tal conclusión viene apoyada por la reciente STS 232/2021, de 18 de febrero, (recurso
de casación 2201/2020) que aborda la posibilidad de impugnar ante los Tribunales
sanciones recaídas en expedientes administrativos en los que el administrado ha
reconocido su responsabilidad y, a los efectos de acogerse a las reducciones que
señala el art. 85 LPAC, desiste o renuncia al ejercicio de cualquier acción o recurso en
vía administrativa contra la sanción.

En el Fundamento Jurídico Tercero establece:

“Ahora bien, una cosa es que en tales casos subsista la posibilidad de impugnar por vía
jurisdiccional contencioso-administrativa la resolución sancionadora, y otra distinta que… se
incremente la dificultad para impugnar con éxito en la vía judicial contencioso-administrativa la
resolución sancionadora, porque esta será la consecuencia natural de haber reconocido su
responsabilidad en aplicación de los principios de buena fe y vinculación a los propios actos
(…) para que dicha impugnación pueda tener éxito tendrá que proporcionar al juzgador una
sólida explicación que justifique cumplidamente el motivo por el que, habiendo asumido
primeramente su responsabilidad por la infracción cometida -que conlleva el reconocimiento de
la concurrencia de los elementos objetivos y subjetivos de la infracción, es decir, su
participación en los hechos tipificados y de su culpabilidad- después en vía judicial sostiene la
inexistencia de la infracción (…)”.

De dicho pronunciamiento se desprende, a juicio de MERCADONA, que el
reconocimiento de responsabilidad no implica que la tipificación de los hechos sea la
correcta; que lo sea en consideración de las circunstancias modificativas de la
responsabilidad reconocida, el exacto alcance de la participación, si culposa, dolosa o
a título de mera inobservancia leve, la gravedad de los hechos y su concreta
graduación, que podrá dirimirse ante la jurisdicción contencioso-administrativa sin
incremento de la dificultad para impugnarlos.

Sostener que la responsabilidad solo puede reconocerse durante el plazo para
formular alegaciones implicaría, de facto, que los administrados la asuman para
beneficiarse del descuento, aunque estén conformes con el acuerdo de inicio solo
parcialmente, trasladando a la vía judicial la contienda sobre los aspectos en cuestión.

Por el contrario, admitir ese reconocimiento en cualquier momento anterior a la
resolución, cuando ya ha finalizado la instrucción y se han fijado los elementos
tomados en consideración, elimina la litigiosidad sin menoscabo de la tutela judicial
efectiva y el derecho de defensa.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

22/61

Además, entiende la reclamada que no existe fundamento jurídico alguno que permita
afirmar que el plazo es el de alegaciones al acuerdo de inicio, porque nada dice el
texto legal y porque existen diferentes “hitos” anteriores a la resolución, a saber,
alegaciones al acuerdo de inicio, trámite de audiencia, y propuesta de resolución,
pudiendo ser cualquiera de ellos.

Dicha interpretación viene avalada por las propias administraciones públicas en
diferentes procedimientos sancionadores, como la Agencia Catalana de Protección de
Datos (procedimiento PS8/2019). Cita también el informe SSPI00043/17, del Gabinete
Jurídico de la Junta de Andalucía, en relación con el Informe HPPI00035/17, de 5 de
julio de 2017, de la Asesoría Jurídica de la Consejería de Hacienda y Administración
Pública que admite dicha posibilidad:

“(…) esta interpretación permite considerar que en ese caso no estaremos tampoco en un vicio
invalidante pues ningún perjuicio existe para la Administración, que debe seguir instruyendo el
procedimiento sin poder tener la posibilidad de que el mismo termine anticipadamente.
Igualmente será siempre más beneficioso para el administrado poder acogerse a esta
posibilidad, que no tener opción para ello. Además porque, como hemos comentado, parece
que la redacción al menos deja dudas cuando establece en el art. 85.2 que podrá hacerse “en
cualquier momento anterior a la resolución”. Por todo ello, realmente parece que el tenor del
art. 85 lo que exige es que en el Acuerdo de inicio se determine el porcentaje de reducción,
más que la cuantía, por ello el Acuerdo de inicio debe siempre establecer el porcentaje y en los
supuestos en los que se pudiere, la cuantía, dado que esto último no siempre será posible”.

También por los Tribunales. La Sentencia del Tribunal Superior de Justicia de Madrid,
Sala de lo Contencioso-administrativo, núm. 79/2020, de 6 de febrero, en la que se
denuncia la inaplicación del art. 85.1 LPACAP, declara:

“Finalmente debe recordarse que el art. 85 de la Ley 39/2015, dispone que “iniciado un
procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el
procedimiento con la imposición de la sanción que proceda”. Estableciendo, su apartado 3 que,
“cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver
el procedimiento aplicará reducciones de, al menos, el 20% sobre el importe de la sanción
propuesta”.
La parte actora considera que, pese a haber reconocido en el escrito de alegaciones formulado
con la propuesta de resolución la responsabilidad del mismo en la falta de declaración del
dinero intervenido, y haber propuesto incluso una sanción de 100.000€ la resolución
sancionadora obvia tal circunstancia e impone al mismo una multa totalmente
desproporcionada.
Frente a esta alegación, la Abogacía del Estado defiende que no concurren las circunstancias
necesarias para que proceda su aplicación por cuanto en el escrito de alegaciones de 13 de
noviembre de 2017 no se hace referencia expresa al reconocimiento de la responsabilidad, que
debe ser previa a la resolución del expediente una vez recibida la propuesta (…)”.

Especialmente esclarecedora es la Sentencia de la Audiencia Nacional núm.
625/2017, de fecha 22/03/2019, que establece;

“La resolución sancionadora de 21 de diciembre de 2018 no tuvo en cuenta que mediante
sendos escritos de 4 de diciembre –(alegaciones al acuerdo de inicio del expediente
sancionador)- y 11 de diciembre del 2018 – (alegaciones a la Propuesta de Resolución)- el
demandante reconoció la responsabilidad de los hechos, pidió el pago con cargo a la cantidad
incautada, y renunció por dos veces a la interposición de recurso en vía administrativa. Estos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

23/61

escritos evidencias una clara voluntad de poner fin al procedimiento, en los términos del art.
85.1 de la Ley 39/2015, y de renunciar al recurso administrativo, procediendo al pago, con
cargo a la garantía. De ahí, que cumplidas todas las condiciones exigidas en el párrafo
segundo y en el tercero del artículo 85, era procedente acumular dos reducciones del 20%” .

Añade MERCADONA que otras normativas reguladoras de procedimientos
administrativos sancionadores establecen la posibilidad de reconocer la
responsabilidad en cualquier momento anterior a la resolución, y cita las siguientes:

. Ley 16/1987, de 30 de Julio, de Ordenación del Transporte Terrestre (LOTT), que en
su artículo 146.3 establece:

“El pago de la sanción pecuniaria con anterioridad a que se dicte resolución sancionadora
implicará la conformidad con los hechos denunciados y la renuncia a formular alegaciones por
parte del interesado y la terminación del procedimiento debiendo, no obstante, dictarse
resolución expresa”.

. Ley 13/2017, de 8 de noviembre, del Taxi de la Comunidad Valenciana, que en su
artículo 38.4 establece;

“Iniciado el procedimiento sancionador, si la persona infractora reconoce su responsabilidad
con anterioridad a que se dicte resolución, la cuantía de la sanción pecuniaria inicialmente
propuesta se reducirá en un cincuenta por ciento”.

. Ley 7/2014, de 23 de Julio, de Protección de las personas consumidoras y usuarias
de les Illes Balears, que en su artículo 84 gradúa el porcentaje de descuento en
función del momento procedimental en que se produzca el reconocimiento de
responsabilidad. Y así:

“1. Se aplicará una reducción del cincuenta por ciento del importe de la sanción
correspondiente a las infracciones graves o leves si el presunto responsable presta su
conformidad al contenido de la resolución de inicio y justifica el ingreso del citado importe
durante los quince días siguientes a su notificación. En este caso, se entiende que la persona
interesada renuncia a formular alegaciones y presentar cualquier tipo de ulterior recurso.
2. Se aplicará una reducción del veinte por ciento del importe de la sanción correspondiente a
las infracciones graves o leves si el presunto responsable presta su conformidad con el
contenido de la Propuesta de resolución y justifica el ingreso del citado importe durante los
quince días siguientes a su notificación. En este caso se entiende que la persona interesada
renuncia a formular alegaciones y a presentar cualquier tipo de ulterior recurso”.

. Ordenanza municipal de Consumo del Ayuntamiento de Madrid, ANM 2011/17, que
en su artículo 59.1 establece:

“1. Iniciado un expediente sancionador, si el infractor reconoce explícitamente su
responsabilidad antes de la resolución, el expediente podrá resolverse sin más trámites con la
imposición de la sanción que proceda. En este caso, se aplicará una reducción del 30 por 100
sobre la cuantía total de la multa, que deberá abonar el interesado en el periodo voluntario de
pago”.

Finalmente, la interpretación del art. 85 LPACAP expuesta, la encontramos en el
artículo 3 del reciente Real Decreto 137/2021, de 2 de marzo de 2021, que la eleva a
rango normativo al establecer:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

24/61

“De conformidad con lo previsto en el art. 85.3 de la Ley 39/2015, de 1 de octubre, en los
procedimientos sancionadores contemplados en el art. 2 si, iniciado un procedimiento
sancionador, en cualquier momento anterior a la resolución el presunto responsable reconoce
su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que
proceda, y cuando la sanción tenga únicamente carácter pecuniario, el órgano competente
para resolver y notificar la resolución del procedimiento aplicará reducciones de hasta un 30%
sobre el importe de la sanción propuesta”.

Por tanto, en caso de mantener la AEPD sanción o sanciones económicas, si se
procede al pago voluntario y al reconocimiento de responsabilidad en cualquier
momento antes de la resolución que implique la terminación del procedimiento
sancionador, deberá realizarse el descuento del 40%.

De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:

HECHOS PROBADOS

1. La entidad MERCADONA ha manifestado que informa sobre el procedimiento que
sigue para que los interesados ejerciten los derechos en materia de protección de
datos personales a través de distintas vías, como son, los carteles expuestos en las
tiendas advirtiendo que se encuentran en una “Zona Videovigilada” (se indica a
dirección de contacto del DPD de la entidad); mediante llamada gratuita al Servicio de
Atención al Cliente, que remite un SMS informado sobre ese procedimiento; y desde la
Política de Privacidad disponible en la web, en la que se incluye un vínculo que dirige
al formulario habilitado para dicho ejercicio de derechos. Según la información
facilitada, la Política de Privacidad informa lo siguiente:

“Puede enviarnos un escrito a MERCADONA, S.A. (Asesoría Jurídica Procesos) C/…
o si dispone de firma digital expedida por la Fábrica Nacional de Moneda y Timbre, a
través del formulario de atención al cliente (“https://infor.mercadona.es/es/atencion-al-
cliente#destacadosFormulario”)”.

Una vez cumplimentado y enviado el formulario, aparece de forma automática el texto
“Gracias, tu comentario se ha enviado correctamente”.

MERCADONA informa, asimismo, que el interesado, a su vez, recibe un email a la
dirección de correo facilitada, indicando: “MERCADONA. Tu opinión nos ayuda a
seguir mejorando. Estimad@... (nombre del destinatario). Gracias por contactar con
nosotros en nuestro Servicio de Atención al Cliente. Informarte que hemos recibido tu
correo. Te invitamos a que consultes nuestras preguntas frecuentes por si tienes más
dudas”).

Según la información proporcionada por MERCADONA, el proceso de tramitación de
la solicitud sigue las fases siguientes:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

25/61

“i. El formulario se registra en el sistema de gestión (Contac Center). Sistema gestionado por
los gerentes de tramitación.
ii. Recibido el formulario, el sistema asigna la solicitud al gerente, en función de determinados
criterios (tipología, carga de trabajo, productividad…del gerente).
iii. Una vez asignada la solicitud (formulario), ésta se envía a la carpeta del gerente asignado, a
la que accede a través de usuario y contraseña, incluyendo toda la información y los
documentos enviados por el Cliente, para su tramitación.

Añade que “existen controles periódicos realizados por los coordinadores, con la
finalidad de evitar incidencias” y que “el sistema (Contact Center) deja las trazas y las
evidencias de todos los movimientos que pasan por el sistema, no permitiendo el
borrado accidental, ni voluntario de las entradas al sistema”.

2. Con fecha ***FECHA.1, la reclamante sufrió un accidente en el establecimiento de
la entidad sito en ***DIRECCION.1.

3. Con fecha ***FECHA.3, a través de la web de MERCADONA, la reclamante formuló
denuncia ante la citada entidad por el accidente acaecido, recibiendo una referencia
por el caso. Esta denuncia se formula mediante correo electrónico dirigido a la
dirección “[email protected]”, con el asunto “Denuncia D201…”. En este
correo constan los datos de la reclamante relativos a nombre, apellidos, dirección de
correo electrónico y teléfono. El comentario incluido da cuenta del accidente sufrido
(…), los daños causados por el mismo en la persona de la reclamante (….) y la falta
de atención del siniestro por la aseguradora de la reclamada (….).

4. Con fecha ***FECHA.5, la entidad reclamada responde a la denuncia reseñada en
el Hecho Probado anterior por la misma vía, indicando que la denuncia ha sido
remitida al Servicio de Atención al Cliente de MERCADONA, al que deberá dirigir las
futuras comunicaciones (se indica un teléfono de contacto con este departamento y un
enlace a la web de la entidad).

5. Con fecha ***FECHA.2, la reclamante ejercitó el derecho de acceso a las imágenes
de las cámaras de seguridad, utilizando para ello el formulario de solicitud disponible
en la web de la MERCADONA, en la pestaña “Atención al Cliente”, citado en el Hecho
Probado Primero. En esta solicitud consta el nombre y apellidos de la reclamante,
código postal y dirección de correo electrónico de la reclamante, y el siguiente texto en
el campo denominado “¿En qué podemos ayudarte?” (url: “https://infor.mercadona.es/
es/atencion-al-cliente#destacadosFormulario”):

“Adjunto solicitud de derecho de acceso a las grabaciones de videovigilancia del
establecimiento MERCADONA ***DIRECCION.1, por motivo del accidente acontecido
(…)”.

Como “Archivos adjuntos” se indica “DNI” de la reclamante y “Solicitud de derecho de
acceso” (en este escrito se indica que la solicitud está motivada por el accidente
acontecido el día ***FECHA.1).

6. En respuesta a la solicitud del derecho de acceso presentada por la reclamante,
ésta recibió un mensaje de respuesta, también de fecha ***FECHA.2, con el texto
siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

26/61

“¡Gracias!, tu comentario se ha enviado correctamente”.

7. Con fecha ***FECHA.7, la representante de la reclamante remitió un correo
electrónico a MERCADONA con el texto siguiente:

“Me dirijo a usted para establecer una primera comunicación, con el fin de poner en su
conocimiento la documentación de la que dispongo por el momento, en relación al siniestro…
del que resultó lesionada mi representada… También con el fin de poner en su conocimiento
nuestra voluntad de solicitar la indemnización que según el baremo corresponda” .

8. Con fecha ***FECHA.4, la representante de la reclamante remitió un correo
electrónico dirigido al DPD de MERCADONA, con el texto siguiente:

“Hace más de un mes, mi clienta ejercitó su derecho de acceso a las imágenes de
videovigilancia, por el canal establecido en su política de privacidad (a través del
formulario de atención al cliente: https://info.mercadona.es/es/atencion-al-
cliente#destacadosFormulario), y aún no ha recibido respuesta.
Ruego que le manden dichas imágenes ya que corresponden a (…)”.

9. Con fecha ***FECHA.9, MERCADONA remitió un correo electrónico a la reclamante
con el asunto “Derecho de acceso” y el texto siguiente:

“Tras contrastar internamente, informarle que no nos consta que se haya recibido ninguna
petición de acceso a imágenes, ni de la documentación que según la normativa de protección
de datos es necesaria para gestionar cualquier derecho de acceso, ni por parte de su cliente (la
Sra…) ni por su parte.
Debemos de añadir ya no se dispone de ninguna de las imágenes de la fecha solicitada
(***FECHA.1), todo ello de conformidad con el art. 6 de la Instrucción 1/2006, de 8 de
noviembre, de la AEPD, que establece que "Los datos serán cancelados en el plazo máximo
de un mes desde su captación".
Atentamente.
Div. Jurídico Procesos MERCADONA”.

10. Con fecha 09/02/2021, MERCADONA remitió a la reclamante un burofax en los
mismos términos del correo reseñado en el Hecho Probado Noveno.

FUNDAMENTOS DE DERECHO

I

En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de
control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora
de la Agencia Española de Protección de Datos es competente para iniciar y para
resolver este procedimiento.

El artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la
Agencia Española de Protección de Datos se regirán por lo dispuesto en el RGPD, en
la presente ley orgánica, por las disposiciones reglamentarias dictadas en su
desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas
generales sobre los procedimientos administrativos”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

27/61

II

Durante la instrucción del procedimiento, la reclamante ha comunicado a esta Agencia
que ha llegado a un acuerdo con la entidad reclamada por el que han quedado
resarcidos los daños y perjuicios sufridos en el ámbito de la responsabilidad civil y por
la no atención del derecho de acceso, solicitando que se considere atendida su
reclamación y se proceda al archivo del presente procedimiento sancionador.

A este respecto, el artículo 63.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento
Administrativo Común de las Administraciones Públicas (LPACAP) establece que “los
procedimientos de naturaleza sancionadora se iniciarán siempre de oficio por acuerdo
del órgano competente”. En el mismo sentido, el artículo 64.2 de la LOPDGDD
dispone que los procedimientos que tengan por objeto la determinación de la posible
existencia de una infracción de lo dispuesto en el RGPD “se iniciará mediante acuerdo
de inicio adoptado por propia iniciativa o como consecuencia de reclamación”.

Así, que la reclamante desista de su reclamación no implica el archivo del
procedimiento sancionador incoado, toda vez que el mismo se inicia y se tramita en
todas sus fases de oficio, siendo competencia de esta Agencia determinar si ha sido
vulnerada la normativa de protección de datos personales y el alcance que debe
otorgarse a dicho incumplimiento.

Resulta irrelevante, a tales efectos, el acuerdo que hayan podido suscribir la
reclamante y la entidad reclamada para reparar los daños y perjuicios sufridos por
aquella, así como las medidas disciplinarias internas que la reclamada dice haber
adoptado.

De acuerdo con lo expuesto, no puede aceptarse la postura defendida por
MERCADONA en sus alegaciones cuando señala que con el citado acuerdo entre las
partes se han restaurado las garantías y derechos de la interesada. La “reparación” de
los daños y perjuicios sufridos a la que se refiere MERCADONA no puede exonerarla
de la responsabilidad derivada de los incumplimientos de la normativa que se hayan
producido, cuya aplicación, obviamente, no queda condicionada por los pactos que
puedan producirse entre particulares. Sólo cuando el responsable del tratamiento
demuestre que “no es en modo alguno responsable del hecho que haya causado los
daños y perjuicio” estará exento de responsabilidad, conforme a lo establecido en el
artículo 82.3 del RGPD.

Ese resarcimiento puede compensar los daños y perjuicios sufridos por la reclamante,
pero no restaura sus garantías y derechos en un caso que tiene origen en el ejercicio
del derecho de acceso, el cual no puede ser atendido al haberse suprimido los datos
personales a los que se refería la solicitud.

Por otra parte, cuando de los hechos constatados se deriva alguna responsabilidad
imputable, tampoco el hecho de que la entidad de que se trate no haya sido
sancionada con anterioridad por infracciones de idéntica naturaleza, o la adopción de
medidas dirigidas a evitar incumplimientos futuros, puede servir de argumento para la
no apertura del procedimiento sancionador que valore aquellas responsabilidades y
determine las consecuencias aplicables, es decir, los poderes correctivos que procede
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

28/61

aplicar en cada caso.

Lo mismo puede decirse cuando la supuesta infracción afecte únicamente a un
interesado. La realización de actuaciones sancionadoras no está reservada a
supuestos, como el citado por MERCADONA en sus alegaciones, en los que la
conducta de la entidad responsable se configure como una actuación general que
afecte a una pluralidad de sujetos que se encuentren en una misma situación.

III

Considera la entidad MERCADONA que el acuerdo de inicio no ha motivado
suficientemente la apertura del procedimiento ni concretado los aspectos que justifican
dicha apertura, limitando su derecho de defensa.

Por las mismas razones, considera vulnerado el principio de tipicidad. A este respecto,
alega MERCADONA que el acuerdo de apertura del procedimiento no concreta la
conducta infractora, no especifica qué párrafos y letras de los artículos 6 y 22 se
entienden vulnerados, ni explica por qué el hecho de haber borrado unas imágenes en
el cumplimiento del plazo legalmente establecido y no haber dado respuesta a un
derecho de acceso debido a un error humano supone un incumplimiento de las
condiciones de licitud. En sus últimas alegaciones manifiesta que las infracciones y los
razonamientos jurídicos no se han concretado hasta la propuesta de resolución.

Esta Agencia no comparte la posición expresada por la reclamada en relación con el
contenido del acuerdo de apertura del presente procedimiento sancionador.

A juicio de esta Agencia, el acuerdo de inicio dictado se ajusta a lo previsto en el
artículo 68.1 de la LOPDGDD, en el que se establece el contenido mínimo exigible, los
elementos que deben detallarse en el mencionado acuerdo para determinar su validez.
Según este artículo bastará con que el acuerdo de inicio del procedimiento concrete
los hechos que motivan la apertura, identifique la persona o entidad contra la que se
dirige el procedimiento, la infracción que hubiera podido cometer y su posible sanción
(en este caso, de los distintos poderes correctivos que contempla el artículo 58.2 del
RGPD, la Agencia estimó procedente la imposición de multa, además de la adopción
de medidas para ajustar su actuación a la normativa, sin perjuicio de lo que pudiera
resultar de la instrucción del procedimiento).

En el mismo sentido se expresa el artículo 64.2 de la LPACAP, que establece
expresamente el contenido mínimo de acuerdo de iniciación. Según este precepto,
entre otros detalles, deberá contener “los hechos que motivan la incoación del
procedimiento, su posible calificación jurídica y las sanciones que pudieran
corresponder, sin perjuicio de lo que resulte de la instrucción”.

En este caso, no solo se cumplen sobradamente las exigencias mencionadas, sino
que se va más allá ofreciendo razonamientos que justifican la posible calificación
jurídica de los hechos valorada al inicio e, incluso, se mencionan las circunstancias
que pueden influir en la determinación de la sanción, lo que sin duda redunda en
beneficio del interesado, que ve reforzado y favorecido su derecho de defensa.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

29/61

En relación con la solicitud de derecho de acceso formulada por la reclamante, se
reseñaron las normas que regulan los aspectos formales relativos al ejercicio de
derechos y se destacó que el plazo previsto para atender aquella solicitud transcurrió
sin que la reclamante obtuviera la respuesta debida por parte de MERCADONA,
concluyendo que tales hechos podrían suponer la comisión de una infracción tipificada
en el artículo 83.5.b) del RGPD y artículo 74.c) de la LOPDGDD, por la vulneración de
lo dispuesto en el artículo 12, apartados 2 y 3, del RGPD, en relación con el artículo 15
del mencionado Reglamento, sin perjuicio de lo que resulte de la instrucción.

Por otra parte, el acuerdo de apertura del procedimiento, después de reproducir el
artículo 6 del RGPD, referido a la “licitud del tratamiento”, destaca que la eliminación o
“supresión” de las imágenes a las que se refiere el derecho de acceso ejercitado por la
reclamante constituye un tratamiento de datos personales.

Sobre la eliminación de las imágenes captadas por sistemas de videovigilancia, se
reproducen seguidamente los apartados 1 a 3 del artículo 22 de la LOPDGDD.

Se pusieron de manifiesto las circunstancias y los propósitos que determinaron la
actuación de la reclamante y se destacó que, a pesar de ello, MERCADONA procedió
al borrado de las imágenes solicitadas por la misma, para concluir que estos hechos
podrían suponer un incumplimiento de lo dispuesto en el artículo 6 del RGPD, en
relación con el artículo 22 de la LOPDGDD, constitutivo de una infracción tipificada en
el artículo 83.5.a) del RGPD y 72.1.b) de la LOPDGDD (“El tratamiento de datos
personales sin que concurra alguna de las condiciones de licitud del tratamiento
establecidas en el artículo 6 del Reglamento (UE) 2016/679”).

En definitiva, entiende esta Agencia que el acuerdo de apertura ha permitido a
MERCADONA conocer los hechos que dieron lugar al inicio del procedimiento y su
posible calificación jurídica. Prueba de ello son las alegaciones planteadas por dicha
entidad, que guardan relación directa con lo expuesto.

No cabe, por tanto, estimar la indefensión alegada. La indefensión con trascendencia
jurídica se produce solo cuando el interesado se ve, de forma injustificada,
imposibilitado para impetrar la protección de sus derechos e intereses legítimos o
cuando la vulneración de las normas procesales o procedimentales lleva consigo la
privación del derecho a la defensa, con el consiguiente perjuicio real y efectivo para los
intereses del afectado al quedar privado de su derecho a alegar, probar y, en su caso,
para replicar las argumentaciones contrarias (STC 31/1984, de 7 de marzo, STC
48/1984, de 4 de abril, STC 70/1984, de 11 de junio, STC 48/1986, de 23 de abril, STC
155/1988, de 22 de julio, y STC 58/1989, de 16 de marzo, entre otras muchas).
Resulta conveniente traer a colación la STC 78/1999, de 26 de abril, que en su
Fundamento Jurídico 2, dice:

“Para que pueda estimarse una indefensión con relevancia constitucional, que sitúa al
interesado al margen de toda posibilidad de alegar y defender en el proceso sus derechos, no
basta con una vulneración meramente formal, siendo necesario que de esa infracción formal se
derive un efecto material de indefensión, un efectivo y real menoscabo del derecho de defensa
(STC 149/1998, fundamento jurídico 3º), con el consiguiente perjuicio real y efectivo para los
interesados afectados (SSTC 155/1988, fundamento jurídico 4º, y 112/1989, fundamento
jurídico 2º)".

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

30/61

En todo caso, como bien señala MERCADONA en sus alegaciones, es la propuesta de
resolución que se dicte una vez instruido el procedimiento la que fija los hechos que se
consideren probados y su exacta calificación jurídica, determina la infracción que, en
su caso, aquéllos constituyan, la persona o personas responsables y la sanción que se
proponga. Esta propuesta debe ser notificada a la parte interesada, concediéndosele
plazo para formular alegaciones y presentar los documentos e informaciones que se
estimen pertinentes. En ningún caso se adoptará resolución sin que el interesado
tenga ocasión de manifestarse sobre todos los extremos considerados.

Por tanto, los escritos de alegaciones presentados por MERCADONA no contienen
ningún argumento que modifique ese planteamiento y la conclusión expuesta.

MERCADONA, en este caso, ha visto respetadas todas las garantías del interesado
que prevé la normativa procesal

IV

De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de
Protección de Datos es competente para desempeñar las funciones que se le asignan
en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la
sensibilización de los responsables y los encargados del tratamiento acerca de las
obligaciones que les incumben, así como tratar las reclamaciones presentadas por un
interesado e investigar el motivo de las mismas.

Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables
y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en
el desempeño de sus funciones. Para el caso de que éstos hayan designado un
delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de
cooperar con dicha autoridad.

Del mismo modo, el ordenamiento jurídico interno, en el artículo 65.4 la LOPDGDD, ha
previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se
formulen ante la Agencia Española de Protección de Datos, que consiste en dar
traslado de las mismas a los delegados de protección de datos designados por los
responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de
la citada norma, o a éstos cuando no los hubieren designado, para que procedan al
análisis de dichas reclamaciones y a darles respuesta en el plazo de un mes.

De conformidad con esta normativa, con carácter previo a la admisión a trámite de la
reclamación que da lugar al presente procedimiento, se dio traslado de la misma a la
entidad responsable para que procediese a su análisis, diera respuesta a esta Agencia
en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida,
en el supuesto de ejercicio de los derechos regulados en los artículos 15 a 22 del
RGPD.

El resultado de dicho traslado no fue satisfactorio. En consecuencia, con fecha
16/04/2021, a los efectos previstos en su artículo 64.2 de la LOPDGDD, la Agencia
Española de Protección de Datos acordó admitir a trámite la reclamación que da lugar
al presente procedimiento.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

31/61

Tratándose de una reclamación por falta de atención de una solicitud de ejercicio de
los derechos establecidos en los artículos 15 a 22 del RGPD, con carácter general, se
sigue el procedimiento regulado en el artículo 64.1 de la LOPDGDD, según el cual:

“1. Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de
ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679,
se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el
artículo siguiente.
En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la
fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite.
Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación.”

En sentido contrario, cuando el procedimiento no se refiera exclusivamente a la
atención de una solicitud de ejercicio de los derechos, procede la depuración de
responsabilidades administrativas en el marco de un procedimiento sancionador,
siendo competencia exclusiva de esta Agencia valorar si existen responsabilidades
administrativas que deban ser depuradas en un procedimiento de esta naturaleza y, en
consecuencia, la decisión sobre su apertura. Esta depuración de responsabilidades,
en contra de lo señalado por MERCADONA en sus alegaciones, no puede acordarse
en un procedimiento por falta de atención de los derechos.

Este régimen específico respecto de los procedimientos ante las autoridades de
control en materia de protección de datos también se contempla en el RGPD. El
Capítulo VIII del RGPD lleva por título “Recursos, responsabilidad y sanciones”, y el
primero de los artículos de dicho Capítulo VIII, el artículo 77.1, establece el derecho a
presentar una reclamación ante una autoridad de control:

“Sin perjuicio de cualquier otro recurso administrativo o acción judicial, todo interesado tendrá
derecho a presentar una reclamación ante una autoridad de control, en particular en el Estado
miembro en el que tenga su residencia habitual, lugar de trabajo o lugar de la supuesta
infracción, si considera que el tratamiento de datos personales que le conciernen infringe el
presente Reglamento”.

A su vez, el artículo 79 del mismo Reglamento establece que “[s]in perjuicio de los
recursos administrativos o extrajudiciales disponibles, incluido el derecho a presentar
una reclamación ante una autoridad de control en virtud del artículo 77, todo
interesado tendrá derecho a la tutela judicial efectiva cuando considere que sus
derechos en virtud del presente Reglamento han sido vulnerados como consecuencia
de un tratamiento de sus datos personales”.

Por lo tanto, una “reclamación” de un particular puede dar lugar a dos tipos de
procedimientos, uno de ellos relativo a infracciones del RGPD, con carácter general, y
otro por vulneración de sus derechos.

Dicha distinción también se ha plasmado en el Título VIII de la LOPDGDD, que regula
conjuntamente los “procedimientos en caso de posible vulneración de la normativa de
protección de datos”. Así, su artículo 63.1, “Régimen jurídico”, incluye (a) los
procedimientos en caso de infracción del RGPD y la propia LOPDGDD y (b) los
derivados de una posible vulneración de los derechos de los interesados. No prevé la
LOPDGDD ningún tipo adicional de procedimiento en caso de posible vulneración de
la normativa de protección de datos, de manera que todas las funciones y poderes que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

32/61

el RGPD otorga a las autoridades de control en los arts. 57 y 58 RGPD habrán de
ejercitarse a través de dichos procedimientos en caso de posible vulneración de la
normativa de protección de datos. No existen otros.

De ello se desprende, teniendo en cuenta igualmente el art. 64 LOPDGDD, que
cuando el procedimiento se dirija exclusivamente a la falta de atención de una solicitud
de los derechos los artículos 15 a 22 RGPD será necesaria una reclamación, pero que
(art. 64.2 LOPDGDD) “[c]uando el procedimiento tenga por objeto la determinación de
la posible existencia de una infracción de lo dispuesto en el Reglamento (UE)
2016/679 y en la presente ley orgánica, se iniciará mediante acuerdo de inicio
adoptado por propia iniciativa o como consecuencia de reclamación”. Es decir, tanto el
RGPD como la LOPDGDD consideran que una reclamación de un afectado puede ser
la vía o el medio de llevar a conocimiento de la autoridad de control una posible
infracción de la normativa de protección de datos, pero en ningún caso restringe la
actuación de la autoridad de control a la específica y concreta queja de los afectados.

Lo contrario sería inconsistente con la finalidad y la voluntad del legislador comunitario,
plasmada expresamente en el RGPD, de que las autoridades de control controlen y
hagan aplicar el RGPD, y con lo previsto en el RGPD de que puedan ponerse de
manifiesto “infracciones” de la normativa de protección de datos a través de
“reclamaciones” que pueden trascender de las propias reclamaciones individuales
formuladas.

En relación con esta cuestión MERCADONA ha alegado que en un caso referido
exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos
debe seguirse por imperativo legal el procedimiento regulado en el artículo 64.1 de la
LOPDGDD, no procediendo la apertura de un procedimiento sancionador, cuyo
carácter excepcional ha sido puesto de manifiesto por la AEPD en diversas
actuaciones que cita, indicando que “siempre que sea posible, deberá optarse por la
prevalencia de mecanismos alternativos en el caso de que tengan amparo en la
normativa vigente...” y que deben existir elementos que justifiquen el inicio del
procedimiento sancionador.

En este caso, a juicio de esta Agencia, tal y como se indicó en el acuerdo de apertura,
existen elementos que justifican el inicio de la actividad sancionadora, considerando
que con el procedimiento previsto en el artículo 64.1 de la LOPDGDD citado no
quedarían debidamente restauradas las garantías y derechos de los interesados. En
este caso, el derecho ejercitado tenía el propósito de acceder a unas imágenes que la
entidad responsable eliminó antes de que se formulara la reclamación, por lo que
carecía de objeto la tramitación de un procedimiento por falta de atención de un
ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, cuyo fin último
es resolver si procede o no atender el derecho ejercitado, en este caso, la entrega o
no a la reclamante de unas imágenes que ya no existían.

Además, considerando las circunstancias puestas de manifiesto, resulta que la
actuación de MERCADONA va más allá de la no atención en plazo de la solicitud de
acceso de la reclamada, y se estimó oportuno analizar en el presente procedimiento el
alcance, desde el punto de vista de la protección de datos personales, que debe
otorgarse al tratamiento de datos consistente en la supresión de las imágenes
pretendidas por la reclamante, su posible ilicitud y la responsabilidad que este hecho
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

33/61

puede conllevar para la entidad la reclamada. Extremo este que en modo alguno
puede realizarse en el marco del procedimiento regulado en el artículo 64.1 de la
LOPDGDD.

También ha alegado la reclamada que existen precedentes similares en los que la
AEPD ha seguido el procedimiento regulado en el artículo 64.1 de la LOPDGDD y que
el propio CEPD, en sus Directrices 3/2019 se pronuncia en el mismo sentido. Sin
embargo, tanto la declaración del CEPD reseñada por MERCADONA como los
precedentes citados, dos de ellos, se refieren a solicitudes de ejercicio de derechos
formuladas cuando las imágenes ya habían sido suprimidas. En el procedimiento
señalado con el número TD/01272/2017 la solicitud de acceso se formula en fecha
14/04/2017 y requiere imágenes captadas el 14/11/2016 (la reclamación fue
desestimada); y el expediente número TD/00955/2018 analiza una solicitud de
20/03/2018 mediante la que el interesado solicita imágenes captadas el 25/11/2017 (la
reclamación fue estimada por cuanto la solicitud de acceso no fue respondida por el
responsable). El tercer precedente citado, el señalado con el número TD/00830/2017,
se resuelve estimatoriamente por falta de respuesta y, aunque la reclamación hace
referencia al acceso a imágenes captadas por un sistema de videovigilancia, la
solicitud de acceso que motivó la reclamación no especificaba este objeto ni hace
referencia a la fecha en que fueron captadas las supuestas imágenes.

Siendo así, en aquellos precedentes no existía responsabilidad por la supresión de los
datos, siendo desestimado uno de los casos y en dos de ellos únicamente se valoró la
falta de respuesta en plazo, dado lugar a una resolución que estima formalmente la
reclamación y obliga a la entidad reclamada a responder debidamente al reclamante
respectivo informándole en el sentido expresado por el CEPD en aquellas Directrices
(no existen datos).

En cuanto a las actuaciones seguidas con el número E/02434/2020, también citadas
por la reclamada, conviene preciar que el acuerdo de archivo adoptado tuvo en cuenta
que los hechos transmitidos encontraban acomodo en una presunta conducta delictiva,
por la que existía causa judicial sub iudice, y que no se conocían las circunstancias
que dieron lugar a la eliminación de las imágenes.

Finalmente, alega MERCADONA que no se justifica la apertura de un procedimiento
sancionador porque únicamente se ha incumplido el artículo 12 en relación con el
derecho de acceso ejercitado, y argumenta que la supuesta infracción imputada se
tipifica como “No atender las solicitudes de ejercicio de los derechos establecidos en
los artículos 15 a 22 del Reglamento”. Como bien dice la reclamada, ese
incumplimiento es constitutivo de infracción y da lugar a la depuración de
responsabilidades. Entender que ante ese incumplimiento solo puede actuarse a
través del procedimiento de falta de atención de derechos es tanto como entender que
dicho tipo infractor no se aplica en ningún caso.

Finalmente, interesa poner de relieve que ninguna norma impide que el órgano que
ejerce la potestad sancionadora, cuando determina la apertura de un procedimiento
sancionador, siempre de oficio (art. 63.1 ley 39/2015, de 1 de octubre), determine su
alcance conforme a las circunstancias puestas de manifiesto, aunque las mismas no
se ajusten estrictamente a las manifestaciones y pretensiones del reclamante. Es
decir, el acuerdo de inicio del procedimiento sancionador no está constreñido por la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

34/61

reclamación presentada por el particular. No ocurre así en el caso de procedimientos
tramitados a solicitud del interesado, en los que el artículo 88.2 de la LPACAP exige
que la resolución sea congruente con las peticiones formuladas por éste. Incluso, en
este caso, queda a salvo la potestad de la Administración de incoar de oficio un nuevo
procedimiento.

Este mismo artículo 88 de la LPACAP, referido al contenido de la resolución, en su
apartado 1 establece la obligación de decidir todas las cuestiones planteadas por los
interesados y aquellas otras que deriven del procedimiento, incluidas cuestiones
conexas no planteadas por los interesados. Este artículo establece expresamente lo
siguiente:

“1. La resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por
los interesados y aquellas otras derivadas del mismo.
Cuando se trate de cuestiones conexas que no hubieran sido planteadas por los interesados, el
órgano competente podrá pronunciarse sobre las mismas, poniéndolo antes de manifiesto a
aquéllos por un plazo no superior a quince días, para que formulen las alegaciones que
estimen pertinentes y aporten, en su caso, los medios de prueba”.

En el procedimiento sancionador, incluso, se tendrán en cuenta los hechos que se
pongan de manifiesto durante su instrucción, los cuales se determinarán en la
propuesta de resolución, y podrán motivar la modificación de las imputaciones
contenidas en el acuerdo de inicio del procedimiento o su calificación jurídica.

En este sentido, al referirse a las especialidades de la resolución en los
procedimientos sancionadores, el artículo 90 de la LPACAP establece:

“2. En la resolución no se podrán aceptar hechos distintos de los determinados en el curso del
procedimiento, con independencia de su diferente valoración jurídica…”.

V

Los derechos de las personas en materia de protección de datos personales están
regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se
contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la
limitación del tratamiento y derecho a la portabilidad.

Los aspectos formales relativos al ejercicio de esos derechos se establecen en los
artículos 12 del RGPD y 12 de la LOPDGDD.

El artículo 12 “Transparencia de la información, comunicación y modalidades de
ejercicio de derechos” del RGPD establece lo siguiente:

“1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado
toda información indicada en los artículos 13 y 14, así como cualquier comunicación con
arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente,
inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información
dirigida específicamente a un niño. La información será facilitada por escrito o por otros
medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la
información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado
por otros medios.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

35/61

2. El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos en virtud
de los artículos 15 a 22. En los casos a que se refiere el artículo 11, apartado 2, el responsable
no se negará a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de
los artículos 15 a 22, salvo que pueda demostrar que no está en condiciones de identificar al
interesado.

3. El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones
sobre la base de una solicitud con arreglo a los artículos 15 a 22, sin dilación indebida y, en
cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá
prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número
de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el
plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación.
Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará
por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite
de otro modo.”

4.Si el responsable del tratamiento no da curso a la solicitud del interesado, le informará sin
dilación, y a más tardar transcurrido un mes de la recepción de la solicitud, de las razones de
su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control
y de ejercitar acciones judiciales.

5.La información facilitada en virtud de los artículos 13 y 14 así como toda comunicación y
cualquier actuación realizada en virtud de los artículos 15 a 22 y 34 serán a título gratuito.
Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a
su carácter repetitivo, el responsable del tratamiento podrá: a) cobrar un canon razonable en
función de los costes administrativos afrontados para facilitar la información o la comunicación
o realizar la actuación solicitada, o b) negarse a actuar respecto de la solicitud. El responsable
del tratamiento soportará la carga de demostrar el carácter manifiestamente infundado o
excesivo de la solicitud.

6.Sin perjuicio de lo dispuesto en el artículo 11, cuando el responsable del tratamiento tenga
dudas razonables en relación con la identidad de la persona física que cursa la solicitud a que
se refieren los artículos 15 a 21, podrá solicitar que se facilite la información adicional
necesaria para confirmar la identidad del interesado.

7.La información que deberá facilitarse a los interesados en virtud de los artículos 13 y 14
podrá transmitirse en combinación con iconos normalizados que permitan proporcionar de
forma fácilmente visible, inteligible y claramente legible una adecuada visión de conjunto del
tratamiento previsto. Los iconos que se presenten en formato electrónico serán legibles
mecánicamente.

8.La Comisión estará facultada para adoptar actos delegados de conformidad con el artículo 92
a fin de especificar la información que se ha de presentar a través de iconos y los
procedimientos para proporcionar iconos normalizados”.

Por su parte, el artículo 12 “Disposiciones generales sobre ejercicio de los derechos”
de la LOPDGDD, en sus apartados 2 y 4, añade lo siguiente:

“2. El responsable del tratamiento estará obligado a informar al afectado sobre los medios a su
disposición para ejercer los derechos que le corresponden. Los medios deberán ser fácilmente
accesibles para el afectado. El ejercicio del derecho no podrá ser denegado por el solo motivo
de optar el afectado por otro medio”.
“4. La prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus
derechos formulado por el afectado recaerá sobre el responsable”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

36/61

Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del
RGPD.

De conformidad con lo dispuesto en estas normas, el responsable del tratamiento
debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus
derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3
del RGPD); viene obligado a responder las solicitudes formuladas a más tardar en un
mes, salvo que pueda demostrar que no está en condiciones de identificar al
interesado; así como a expresar sus motivos en caso de que no atendiera la solicitud.

De lo anterior se desprende que la solicitud de ejercicio de derechos formulada por el
interesado debe ser respondida en todo caso, recayendo sobre el responsable la
prueba del cumplimiento de este deber.

Esta obligación de actuar no resulta exigible cuando el responsable del tratamiento
pueda demostrar que no está en condiciones de identificar al interesado (en los casos
a que se refiere el artículo 11.2 del RGPD). En supuestos distintos al previsto en este
artículo, en los que el responsable del tratamiento tenga dudas razonables en relación
con la identidad del solicitante, podrá requerir información adicional necesaria para
confirmar esa identidad.

A este respecto, el Considerando 64 del RGPD se expresa en los términos siguientes:

“(64) El responsable del tratamiento debe utilizar todas las medidas razonables para verificar la
identidad de los interesados que soliciten acceso, en particular en el contexto de los servicios
en línea y los identificadores en línea. El responsable no debe conservar datos personales con
el único propósito de poder responder a posibles solicitudes”.

En lo que se refiere al derecho de acceso, el RGPD estipula en su artículo 15 lo
siguiente:

“1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si
se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a
los datos personales y a la siguiente información:

a) los fines del tratamiento;
b) las categorías de datos personales de que se trate;
c) los destinatarios o las categorías de destinatarios a los que se comunicaron o serán
comunicados los datos personales, en particular destinatarios en terceros países u
organizaciones internacionales;
d) de ser posible, el plazo previsto de conservación de los datos personales o, de no ser
posible, los criterios utilizados para determinar este plazo;
e) la existencia del derecho a solicitar del responsable la rectificación o supresión de datos
personales o la limitación del tratamiento de datos personales relativos al interesado, o a
oponerse a dicho tratamiento;
f) el derecho a presentar una reclamación ante una autoridad de control;
g) cuando los datos personales no se hayan obtenido del interesado, cualquier información
disponible sobre su origen;
h) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se
refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa
sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho
tratamiento para el interesado.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

37/61

2.Cuando se transfieran datos personales a un tercer país o a una organización internacional,
el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo
46 relativas a la transferencia.

3.El responsable del tratamiento facilitará una copia de los datos personales objeto de
tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado
un canon razonable basado en los costes administrativos. Cuando el interesado presente la
solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la
información se facilitará en un formato electrónico de uso común.

4.El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los
derechos y libertades de otros”.

Al igual que el resto de los derechos del interesado, el derecho de acceso es un
derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento
que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos
personales que le conciernan y que estén siendo objeto de tratamiento, así como la
información enumerada en el artículo antes citado.

En el presente caso, la reclamante es cliente de la entidad reclamada. Consta
declarado que, con fecha ***FECHA.1, visitó el establecimiento de la entidad
responsable sito en ***DIRECCION.1, por lo que su imagen fue captada por el sistema
de videovigilancia instalado en ese centro.

Posteriormente, siguiendo el procedimiento habilitado por MERCADONA para el
ejercicio de derechos en materia de protección de datos personales, la reclamante
ejercitó el derecho de acceso a sus datos personales, solicitando, concretamente, las
imágenes captadas por las cámaras de seguridad (el texto de la solicitud es el
siguiente: “Adjunto solicitud de derecho de acceso a las grabaciones de
videovigilancia del establecimiento MERCADONA ***DIRECCION.1, (…)”). Este
derecho se ejercitó en fecha ***FECHA.2, empleando para ello el formulario disponible
en la web de la reclamada, insertado en la pestaña “Atención al Cliente”, adjuntando
un archivo correspondiente a la solicitud de acceso y copia del DNI.

Como respuesta al envío del mencionado formulario, el sistema de información remitió
a la reclamante un mensaje con el texto “¡Gracias!, tu comentario se ha enviado
correctamente”.

Trascurrido el plazo establecido, dicha solicitud no obtuvo la respuesta legalmente
exigible, lo que motivó la reclamación que da lugar al presente procedimiento,
presentada en fecha 31/12/2020.

Son hechos no controvertidos (i) que la reclamante ejercitó ante MERCADONA el
derecho de acceso a sus datos personales, utilizando para ello uno de los
mecanismos habilitados por la propia reclamada, como es el formulario disponible en
la web de la entidad, al que se accede también a través de un enlace insertado en la
Política de Privacidad; y (ii) que esta solicitud de acceso a los datos personales no fue
contestada por la responsable en el plazo establecido.

Las normas antes citadas no permiten que pueda obviarse la solicitud como si no se
hubiera planteado, dejándola sin la respuesta que obligatoriamente deberán emitir los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

38/61

responsables, aún en el supuesto de que no existan datos del interesado en los
ficheros de la entidad o incluso en aquellos supuestos en los que no reuniera los
requisitos previstos, en cuyo caso el destinatario de dicha solicitud viene igualmente
obligado a requerir la subsanación de las deficiencias observadas o, en su caso,
denegar la solicitud motivadamente indicando las causas por las que no procede
considerar el derecho de que se trate.

Por tanto, la solicitud que se formule obliga al responsable, en todo caso, a dar
respuesta expresa al interesado informándole sobre la decisión que haya adoptado a
propósito de la solicitud de ejercicio de derechos, empleando para ello cualquier medio
que justifique la recepción de la contestación.

MERCADONA no ha cuestionado que recibiera la solicitud de derecho de acceso
formulada por la reclamante. Alega, sin embargo, un error humano involuntario en la
gestión de la solicitud, que originó que no llegara a conocimiento del DPD ni de su
equipo y la consiguiente falta de atención de la misma. En base a ello, invoca el
principio de culpabilidad señalando que la llamada responsabilidad objetiva no tiene
cabida en el Derecho administrativo sancionador, por lo que la mera comisión de una
infracción administrativa no es suficiente a la hora de proceder a imponer una sanción
administrativa, debiendo concurrir una conducta dolosa o negligente.

A este respecto, añade que actúa en todos los procesos con máxima diligencia, que
dispone de un procedimiento sencillo para el ejercicio de derechos por diversas vías,
sobre las que informa debidamente a los clientes, y que aplica un procedimiento de
tramitación de las solicitudes que no ha tenido errores hasta ahora y sobre el que
ofrece constante formación a las personas encargadas, y que será ajustado para evitar
incidencias similares.

Según el proceso de gestión diseñado por MERCADONA, las solicitudes de ejercicio
de derechos se reciben por el Departamento de Atención al Cliente, que las transmite
posteriormente al DPD mediante un proceso manual. En este caso, alega que por un
error humano involuntario la solicitud de la reclamante no llegó al DPD, impidiendo que
fuera atendida, y que ello ha dado lugar a las acciones disciplinarias oportunas.

No obstante, MERCADONA ni siquiera ha explicado en qué ha consistido el error
humano alegado. Aunque parece desprenderse de su escrito de alegaciones que la no
atención de la solicitud de la reclamante se debió a que uno de los gestores del
departamento de Atención al Cliente (“gerente” en los términos de la propia entidad
reclamada) no trasladó la solicitud al DPD. Entiende esta Agencia que esto equivale a
no dar curso a la solicitud, a no tramitarla según los canales internos diseñados por la
misma, lo que no puede admitirse como un error involuntario.

La incidencia se produce en el ámbito de responsabilidad de MERCADONA y esta
entidad debe responder por ello. En modo alguno puede considerarse que el error que
alega haber cometido excluya su responsabilidad, puesto que, según reiterada
jurisprudencia, no puede estimarse la existencia de tal error cuando éste es imputable
a quien lo padece o pudo ser evitado con el empleo de una mayor diligencia. En este
caso, el supuesto error es incompatible con la diligencia que la reclamada viene
obligada a observar.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

39/61

Esta diligencia debe manifestarse en el caso concreto que se analiza, respecto del que
se alega el error, y no en las circunstancias generales que alega MERCADONA para
justificar su actuación diligente, como el disponer de procedimientos de gestión de
solicitudes de ejercicio de derechos o la inexistencia de errores en el pasado, ni el
hecho de haber tomado medidas para evitar incidencias futuras. Las acciones
formativas impartidas a los empleados de la reclamada tampoco pueden tomarse
como una circunstancia que impida exigir las responsabilidades que derivan de la
concreta actuación irregular.

En el caso concreto de la reclamante, no puede admitirse que la actuación de la
entidad reclamada, no dando curso a la solicitud de acceso a los datos personales,
haya sido diligente. Admitir que no procede exigir responsabilidad a MERCADONA por
no responder un ejercicio de derechos en materia de protección de datos, en base a
un supuesto error involuntario consistente en no dar trámite a la solicitud, sería tanto
como admitir que pueda ignorarse la aplicación del RGPD y la LOPDGDD,
desvirtuando todo el sistema de ejercicio de derechos que establece, en el que se
contempla expresamente la obligación de responder aquellas solicitudes en todo caso
y las consecuencias de no cumplir esta exigencia normativa.

A este respecto, debe recordarse que cuando el error es muestra de una falta de
diligencia el tipo es aplicable. La Audiencia Nacional en Sentencia de 21 de
septiembre de 2004 (RCA 937/2003), se pronuncia en los siguientes términos:

“Además, en cuanto a la aplicación del principio de culpabilidad resulta (siguiendo el criterio de
esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso
1139/2001) que la comisión de la infracción prevista en el artículo 44.3.d) puede ser tanto
dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo
es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se
infiere de la simple lectura del Art. 130 de la Ley 30/1992, lo cierto es que la expresión “simple
inobservancia” del Art. 130.1 de la Ley 30/1992, permite la imposición de la sanción, sin duda
en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber
de cuidado”.

En esta línea cabe citar la SAN de 21 de enero de 2010, en la que la Audiencia
expone:

“La recurrente también mantiene que no concurre culpabilidad alguna en su actuación. Es
cierto que el principio de culpabilidad impide la admisión en el derecho administrativo
sancionador de la responsabilidad objetiva, también es cierto, que la ausencia de
intencionalidad resulta secundaria ya que este tipo de infracciones normalmente se cometen
por una actuación culposa o negligente, lo que es suficiente para integrar el elemento subjetivo
de la culpa. La actuación de XXX es claramente negligente pues… debe conocer… las
obligaciones que impone la LOPD a todos aquellos que manejan datos personales de terceros.
XXX viene obligada a garantizar el derecho fundamental a la protección de datos personales
de sus clientes e hipotéticos clientes con la intensidad que requiere el contenido del propio
derecho”.

El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC
246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador
una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda
sancionarse una actuación intencionada o voluntaria, y a este respecto el artículo 28
de la Ley 40/2015 de Régimen Jurídico del Sector Público, bajo la rúbrica
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

40/61

“Responsabilidad”, dispone lo siguiente:

“1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las
personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los
grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios
independientes o autónomos, que resulten responsables de los mismos a título de dolo o
culpa”.

Los hechos expuestos en el Fundamento precedente ponen de manifiesto que
MERCADONA no obró con la diligencia a la que venía obligada MERCADONA, que
actuó con falta de diligencia. El Tribunal Supremo (Sentencias de 16 y 22/04/1991)
considera que del elemento culpabilista se desprende “...que la acción u omisión,
calificada de infracción sancionable administrativamente, ha de ser, en todo caso,
imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable”. El
mismo Tribunal razona que “no basta... para la exculpación frente a un
comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino
que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su
inexistencia” (STS 23 de enero de 1998).

Conectada también con el grado de diligencia que el responsable del tratamiento está
obligado a desplegar en el cumplimiento de las obligaciones que le impone la
normativa de protección de datos puede citarse la SAN de 17/10/2007 (Rec. 63/2006),
que precisó: “(...) el Tribunal Supremo viene entendiendo que existe imprudencia
siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no
se comporta con la diligencia exigible”.

A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de
carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de
los deberes que la Ley impone a las personas responsables de ficheros o del
tratamiento de datos de extremar la diligencia...” (SAN 29/06/2001).

Se concluye, por tanto, en contra de lo objetado por la entidad reclamada, que el
elemento subjetivo sí está presente en la infracción declarada.

En consecuencia, de conformidad con las evidencias expuestas, los citados hechos
suponen una vulneración de lo dispuesto en el artículo 12, apartados 2 y 3, del RGPD,
en relación con el artículo 15 del mencionado Reglamento, que da lugar a la aplicación
de los poderes correctivos que el artículo 58 del citado Reglamento otorga a la
Agencia Española de Protección de datos.

No exigir responsabilidad a MERCADONA por estos hechos sería tanto como vaciar
de contenido las normas que regulan el ejercicio de derechos en materia de protección
de datos personales.

Resulta relevante que las imágenes captadas por un sistema de videovigilancia deben
suprimirse en el plazo máximo de un mes, de acuerdo con el artículo 6 de la
Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de
Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de
sistemas de cámaras o videocámaras. Es el mismo plazo previsto para que el
responsable del tratamiento resuelva la solicitud de ejercicio del derecho de acceso a
tales imágenes.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

41/61

Si consideramos que el ejercicio del derecho es posterior a la captación de las
imágenes, la fecha de finalización del plazo para atender el derecho siempre será
posterior al plazo previsto para suprimir las imágenes. Por tanto, si se admitiera que
MERCADONA no tiene responsabilidad por la no atención del derecho de acceso
ejercitado por la reclamante, equivaldría a admitir que cualquier responsable del
tratamiento pueda eludir el derecho de acceso de los interesados alegando que las
imágenes han sido suprimidas.

En cuanto a los precedentes citados por la reclamada, debe significarse que los dos
supuestos en los que se apreció la existencia de un error involuntario no guardan
similitud con el presente caso, por cuanto se refieren a errores de anotación
(E/01795/2011 y E/03468/2009). El tercero de esos precedentes (PS/00724/2014) se
resuelve por esta Agencia, en relación con los aspectos destacados por
MERCADONA, según el esquema seguido en el presente acto.

VI

La entidad MERCADONA, además de no facilitar el acceso a las imágenes de las
cámaras de seguridad solicitado por la reclamante, procedió a su eliminación por el
transcurso del plazo de 30 días desde su captación, según dicha entidad informó a la
reclamante a través de un correo dirigido a la representante de ésta, que previamente
había advertido sobre la falta de respuesta al derecho de acceso (“Debemos de añadir
ya no se dispone de ninguna de las imágenes de la fecha solicitada (***FECHA.1),
todo ello de conformidad con el art. 6 de la Instrucción 1/2006, de 8 de noviembre, de
la AEPD, que establece que "Los datos serán cancelados en el plazo máximo de un
mes desde su captación").

Este borrado de las imágenes constituye un tratamiento de datos personales, de
conformidad con el artículo 4 del RGPD que, bajo la rúbrica “Definiciones”, dispone lo
siguiente:

“2) tratamiento: cualquier operación o conjunto de operaciones realizadas sobre datos
personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no,
como la recogida, registro, organización, estructuración, conservación, adaptación o
modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o
cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o
destrucción”.

En definitiva, nos encontramos ante un “tratamiento de datos” (“supresión o
destrucción” de las imágenes) sujeto al régimen de legitimación que regula el artículo 6
del RGPD “Licitud del tratamiento”, que establece lo siguiente:

“1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o
varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte
o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

42/61

física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público
o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el
responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no
prevalezcan los intereses o los derechos y libertades fundamentales del interesado que
requieran la protección de datos personales, en particular cuando el interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por
las autoridades públicas en el ejercicio de sus funciones.

2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de
adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en
cumplimiento del apartado 1, letras c) y e), fijando de manera más precisa requisitos
específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con
inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX.

3. La base del tratamiento indicado en el apartado 1, letras c) y e), deberá ser establecida por:
a) el Derecho de la Unión, o
b) el Derecho de los Estados miembros que se aplique al responsable del tratamiento.
La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo
al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de
una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al
responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para
adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones
generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos
objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar
datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de
conservación de los datos, así como las operaciones y los procedimientos del tratamiento,
incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a
otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o
de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin
legítimo perseguido.

4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos
personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o
de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad
democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el
responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es
compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en
cuenta, entre otras cosas:
a) cualquier relación entre los fines para los cuales se hayan recogido los datos personales y
los fines del tratamiento ulterior previsto;
b) el contexto en que se hayan recogido los datos personales, en particular por lo que respecta
a la relación entre los interesados y el responsable del tratamiento;
c) la naturaleza de los datos personales, en concreto cuando se traten categorías especiales
de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas
e infracciones penales, de conformidad con el artículo 10;
d) las posibles consecuencias para los interesados del tratamiento ulterior previsto;
e) la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización”.

En relación con la conservación de las imágenes captadas por sistemas de
videovigilancia, es preciso tener en cuenta lo establecido en la Instrucción 1/2006, de 8
de noviembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de
datos personales con fines de vigilancia a través de sistemas de cámaras o
videocámaras.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

43/61

Con la aplicación del RGPD, debe considerarse que la mayor parte de la Instrucción
1/2006 ha quedado desplazada, ya que el contenido de la misma, como puede ser la
legitimación o los derechos de las personas, queda desplazado por lo establecido al
respecto por la norma europea.

No obstante, puede considerarse que queda en vigor lo dispuesto en el artículo 6 de la
citada Instrucción, que regula el plazo de conservación y se refiere a la obligación de
“cancelar” los datos personales (las imágenes) en el plazo máximo de un mes desde
su captación. Una interpretación acorde con el RGPD, que no contempla la
cancelación sino la supresión de los datos personales, supone que ese plazo máximo
de conservación de un mes no será de cancelación sino de supresión, salvo en
aquellos supuestos en que se deban conservar para acreditar la comisión de actos
que atenten contra la integridad de personas, bienes o instalaciones.

También el artículo 22 de la LOPDGDD, en su apartado 3, al que se hizo referencia en
el acuerdo de apertura del procedimiento, establece algunas reglas respecto de la
eliminación de las imágenes captadas por sistemas de videovigilancia. Sin embargo,
como bien señala la entidad MERCADONA en su escrito de alegaciones, este
precepto regula supuestos distintos al analizado en las presentes actuaciones,
relacionados con “el tratamiento de imágenes a través de sistemas de cámaras o
videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así
como de sus instalaciones”. Este precepto regula tratamientos de videovigilancia cuya
legitimación se encuentra en la existencia de una finalidad de interés público
incardinable en el artículo 6.1.e) del Reglamento, y no en meros intereses legítimos de
un particular.

De acuerdo con lo indicado, la supresión por MERCADONA de las imágenes
solicitadas por la reclamante podría entenderse ajustada a lo dispuesto en la citada
Instrucción 1/2006, al haberse llevado a cabo dentro del plazo máximo de un mes
desde que fueron captadas, esto es desde el ***FECHA.1.

Sin embargo, en el presente caso, concurren otras circunstancias que deben ser
consideradas en el análisis de la licitud o ilicitud de aquella supresión o borrado de
datos personales.

La reclamante sufrió un accidente en uno de los establecimientos de la entidad
MERCADONA en fecha ***FECHA.1 y, cuatro días después, el ***FECHA.3, denunció
este hecho ante dicha entidad, comunicando la responsabilidad de la misma en el
incidente (…), los daños causados por el mismo en la persona de la reclamante (…) y
su protesta por la falta de atención del siniestro por parte de la aseguradora de
MERCADONA (…). La intención de la reclamante de ser compensada por el accidente
sufrido queda clara en la denuncia, la cual consta recibida por MERCADONA, que
respondió a la misma el ***FECHA.5 acusando recibo e informando sobre su traslado
al Departamento de Atención al Cliente.

Tales circunstancias motivaron el interés de la reclamante en disponer de copia de las
imágenes captadas por el sistema de cámaras de seguridad instalado en el
establecimiento en cuestión, para lo cual ejercitó el derecho de acceso reseñado
anteriormente, en fecha ***FECHA.2, también recibida por el Departamento de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

44/61

Atención al Cliente. En esta solicitud de derecho de acceso a las imágenes del sistema
de videovigilancia, la reclamante vuelve a comunicar a la entidad reclamada que su
presentación está motivada por el accidente acontecido en el centro en cuestión y en
la fecha indicada.

Todas estas circunstancias eran conocidas por MERCADONA. Además, con fecha
***FECHA.7, la representante de la reclamante envió un correo electrónico a esta
entidad, en relación con el mencionado siniestro, advirtiendo sobre su “voluntad de
solicitar la indemnización que por baremo corresponda”.

Estos actos se estiman suficientemente indicativos de la necesidad de conservar las
imágenes, especialmente porque las mismas no fueron puestas a disposición de la
reclamante en atención al derecho de acceso ejercitado. No obstante, a pesar de todo
ello, MERCADONA procedió al borrado de las imágenes requeridas por la reclamante.

Se entiende que existía un interés de la reclamante que justificaba el tratamiento de
las repetidas imágenes más allá del plazo de un mes que fija la Instrucción 1/2006, al
menos hasta la entrega de las imágenes a la reclamante y con este único fin.

Lo mismo se diría si la reclamante hubiese formulado demanda y MERCADONA
hubiese decidido conservar las imágenes para la defensa de sus derechos, en cuyo
caso se entendería que el tratamiento de datos se ajustaría a los establecido en el
artículo 6.1.f) del RGPD (el tratamiento se considera lícito cuando “es necesario para
la satisfacción de intereses legítimos perseguidos por el responsable”).

Es preciso tener en cuenta la doctrina del Tribunal Constitucional respecto de las
restricciones al derecho fundamental a la protección de datos, analizadas en su
sentencia 292/2000, de 30 de noviembre. En esta Sentencia, después de configurar el
derecho fundamental a la protección de datos personales como un derecho autónomo
e independiente que consiste en un poder de disposición y de control sobre los datos
personales, que faculta a la persona para decidir cuáles de esos datos proporcionar a
un tercero o cuáles puede este tercero recabar, y que también permite al individuo
saber quién posee esos datos personales y para qué, pudiendo oponerse a esa
posesión o uso, analiza los límites del mismo, señalando en lo siguiente:

“Más concretamente, en las Sentencias mencionadas relativas a la protección de datos, este
Tribunal ha declarado que el derecho a la protección de datos no es ilimitado, y aunque la
Constitución no le imponga expresamente límites específicos, ni remita a los Poderes Públicos
para su determinación como ha hecho con otros derechos fundamentales, no cabe duda de
que han de encontrarlos en los restantes derechos fundamentales y bienes jurídicos
constitucionalmente protegidos, pues así lo exige el principio de unidad de la Constitución
(SSTC 11/1981, de 8 de abril, F. 7; 196/1987, de 11 de diciembre [ RTC 1987, 196] , F.
6; y respecto del art. 18, la STC 110/1984, F. 5)”.

En relación con esta cuestión, debe considerarse que la finalidad última perseguida
con la no eliminación de las imágenes requeridas por la reclamante, titular de los datos
en cuestión, es la de obtener una prueba de la causación de daños en su propia
persona, como consecuencia de un accidente acaecido en un centro de MERCADONA
en el que la misma resultó perjudicada por una posible negligencia de dicha entidad.

En este caso surge una colisión entre dos derechos fundamentales: el derecho a la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

45/61

protección de datos de carácter personal, derivado del artículo 18 de la Constitución y
consagrado como derecho autónomo e informador del texto constitucional por la citada
Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre; y el derecho a la
tutela judicial efectiva de los jueces y tribunales, contenido en el artículo 24.1 de la
Constitución Española (“Todas las personas tienen derecho a obtener la tutela efectiva
de los jueces y tribunales en el ejercicio de sus derechos e intereses legítimos, sin
que, en ningún caso, pueda producirse indefensión”), que garantiza el acceso de todas
las personas a los jueces y tribunales para la defensa de sus derechos.

El derecho a la protección de datos personales cede en aquellos supuestos en que
pueda suponer una merma en la posibilidad de aportación por el interesado de los
medios de prueba pertinentes para su defensa, vulnerándose las garantías derivadas
del citado derecho a la tutela efectiva y coartándose la posibilidad de obtener el pleno
desenvolvimiento de este último derecho.

Por todo ello, desde el punto de vista de esta Agencia, existe una habilitación legal
para el tratamiento de los datos de las imágenes una vez rebasado el plazo
establecido para su supresión, que trae su cobertura del propio artículo 24 de la
Constitución y sus normas de desarrollo.

Siguiendo esta premisa, debe darse una prevalencia al derecho consagrado por el
artículo 24 de la Constitución, que garantiza a los ciudadanos la tutela judicial efectiva
de jueces y tribunales, en los términos expuestos.

Tal y como sostiene reiterada jurisprudencia del Tribunal Constitucional (por todas,
STC 186/2000, de 10 de julio, con cita de otras muchas) “el derecho a la intimidad no
es absoluto, como no lo es ninguno de los derechos fundamentales, pudiendo ceder
ante intereses constitucionalmente relevantes, siempre que el recorte que aquél haya
de experimentar se revele como necesario para lograr el fin legítimo previsto,
proporcionado para alcanzarlo y, en todo caso, sea respetuoso con el contenido
esencial del derecho”.

El Tribunal Constitucional viene exigiendo que cualquier medida restrictiva de
derechos sea proporcional. Así se declara en la Sentencia del Tribunal Constitucional
14/2003, de 28 de enero:

“En otras palabras, de conformidad con una reiterada doctrina de este Tribunal, la
constitucionalidad de cualquier medida restrictiva de derechos fundamentales viene
determinada por la estricta observancia del principio de proporcionalidad. A los efectos que
aquí importan basta con recordar que, para comprobar si una medida restrictiva de un derecho
fundamental supera el juicio de proporcionalidad, es necesario constatar si cumple los tres
requisitos o condiciones siguientes: si la medida es susceptible de conseguir el objetivo
propuesto (juicio de idoneidad); si, además, es necesaria, en el sentido de que no exista otra
medida más moderada para la consecución de tal propósito con igual eficacia (juicio de
necesidad); y, finalmente, si la misma es ponderada o equilibrada, por derivarse de ella más
beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en
conflicto (juicio de proporcionalidad en sentido estricto; SSTC 66/1995, de 8 de mayo [ RTC
1995, 66], F. 5; 55/1996, de 28 de marzo [RTC 1996, 55], FF. 7, 8 y 9; 270/1996, de 16 de
diciembre [RTC 1996, 270], F. 4.e; 37/1998, de 17 de febrero [RTC 1998, 37], F. 8; 186/2000,
de 10 de julio [RTC 2000, 186], F. 6)”.

Este principio de proporcionalidad se respeta en este caso, en el que las imágenes
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

46/61

captadas por las cámaras de videovigilancia de MERCADONA constituyen una prueba
válida y adecuada para la defensa de los intereses de la reclamante.

A este respecto, la Ley 1/2000, de 7 de enero, de Enjuiciamiento Civil, señala en el
artículo 299 cuales son los medios de prueba de que podrá hacerse uso en juicio,
estableciendo en su número 2 lo siguiente:

“También se admitirán, conforme a lo dispuesto en esta Ley, los medios de reproducción de la
palabra, el sonido y la imagen, así como los instrumentos que permiten archivar y conocer o
reproducir palabras, datos, cifras y operaciones matemáticas llevadas a cabo con fines
contables o de otra clase, relevantes para el proceso”.

Por su parte, el artículo 265 determina el momento en que dichos documentos deben
presentarse disponiendo lo siguiente:

1. A toda demanda o contestación habrán de acompañarse:
1º. Los documentos en que las partes funden su derecho a la tutela judicial que pretenden.
2º. Los medios e instrumentos a que se refiere el apartado 2 del artículo 299, si en ellos se
fundaran las pretensiones de tutela formuladas por las partes.
(…)”.

En este caso, la prueba de la causación de los daños, así como la determinación de la
persona contra la que se dirigirá la demanda se encuentran en las imágenes captadas
por las cámaras, cuya aportación al proceso con la demanda parece necesaria, por lo
que el derecho a la tutela efectiva debe prevalecer en este caso sobre el derecho a la
protección de datos.

El alcance del derecho a la tutela judicial en relación con la prueba ha sido abordado,
entre otras, en la STC 212/2013, de 16 de diciembre, en la que se hace referencia,
citando la STC 88/2014, de 28 de mayo a “las íntimas relaciones del derecho a la
prueba con otros derechos garantizados en el art. 24 CE. Concretamente, en nuestra
doctrina constitucional hemos hecho hincapié en la conexión de este específico
derecho constitucional con el derecho a la tutela judicial efectiva (art. 24.1 CE), cuyo
alcance incluye las cuestiones relativas a la prueba (SSTC 89/1986, de 1 de julio, FJ
2; 50/1988, de 22 de marzo, FJ 3; 110/1995, de 4 de julio, FJ 4; 189/1996, de 25 de
noviembre, FJ 3; y 221/1998, de 24 de noviembre, FJ 3), y con el derecho de defensa
(art. 24.2 CE), del que es inseparable (SSTC 131/1995, de 11 de septiembre, FJ 2;
1/1996, de 15 de enero, FJ 2; y 26/2000, de 31 de enero, FJ 2)’’ (STC 19/2001, de 29
de enero, FJ 4; y, en el mismo sentido, STC 133/2003, de 30 de junio, FJ 3)”. En las
reseñadas SSTC 19/2001 y 133/2003 el Tribunal Constitucional apuntaba que “ha sido
justamente esta inescindible conexión (con los otros derechos fundamentales
mencionados, en particular el derecho a obtener una tutela judicial efectiva), la que ha
permitido afirmar que el contenido esencial del derecho a utilizar los medios de prueba
pertinentes se integra por el poder jurídico que se reconoce a quien interviene como
litigante en un proceso de provocar la actividad procesal necesaria para lograr la
convicción del órgano judicial sobre la existencia o inexistencia de los hechos
relevantes para la decisión del conflicto objeto del proceso (por todas, STC 37/2000,
de 14 de febrero, FJ 3)”.

Los argumentos que opone MERCADONA en sus alegaciones a la propuesta de
resolución tienen un presupuesto erróneo, como es el considerar que dicha entidad
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

47/61

“no tuvo constancia de la solicitud de acceso”, circunstancia esta a la que se refiere en
repetidas ocasiones. Sin embargo, según ha quedado expuesto, la solicitud de
ejercicio del derecho de acceso fue recibida correctamente por la citada entidad.

Y no solo eso. También consta acreditado que MERCADONA recibió la denuncia por
el accidente sufrido por la reclamante, dirigida al mismo departamento en el que tuvo
entrada la solicitud de acceso a las imágenes captadas por el sistema de
videovigilancia.

Atender ambas iniciativas de la reclamante conllevaba la conservación de las
imágenes, aunque eso hubiese supuesto rebasar el plazo legal, resultando esta
conservación acorde con los principios de necesidad y proporcionalidad en este caso
concreto.

Por tanto, con ello no se impone a la entidad responsable una obligación general de
conservación y de supervisión de todas las imágenes para valorar esa necesidad de
conservación, que sí se da en este caso atendiendo a las circunstancias expuestas.

Se tiene en cuenta que aquella solicitud de acceso y denuncia de la reclamante se
presentaron ante la propia entidad responsable antes de que las imágenes fuesen
borradas, a diferencia del supuesto analizado en las Directrices 3/2019 del CEPD al
que se refiere MERCADONA en sus alegaciones, que habla de una solicitud de
acceso formulada cuando las imágenes ya habían sido suprimidas. Así, no se entiende
que MERCADONA alegue que la Agencia se basa en circunstancias que “la entidad
no tiene por qué conocer”, dado que dichas circunstancias sí le eran conocidas.

Sí es cierto lo indicado por MERCADONA al señalar que hubiera sido distinto de haber
entregado las imágenes a la reclamante antes del vencimiento del plazo legal de
conservación, pero no fue así por la propia conducta de la reclamada, y no
precisamente por no haber recibido la solicitud.

Esta misma entidad manifiesta en sus alegaciones que “Si un interesado ejercita el
derecho de acceso durante el plazo en el que el responsable conserva las imágenes,
deberá atenderse, y deberán conservarse las imágenes, aunque hubiera un defecto
formal en la petición, precisamente para que cuando este se subsanase, satisfacer el
derecho”.

Seguidamente añade, una vez más, “Pero en este caso no llegó a conocimiento del
responsable la petición, por lo que no se pudieron conservar”, cuando ya sabemos que
si llegó a su conocimiento la solicitud de acceso.

También entiende la reclamada su derecho a conservar las imágenes más allá del
plazo establecido para la defensa de sus propios derechos.

Por otra parte, niega que exista en este caso una colisión de derechos (protección de
datos personales y tutela judicial efectiva) que daba ponderarse por el responsable y lo
hace argumentando nuevamente que no se hubiese producido si hubiese tenido
conocimiento de la petición de la interesada. Dice que “Si se hubiera recibido la
petición, la interesada hubiese tenido respuesta en tiempo y forma, sin necesidad de
tener que conservar las imágenes más tiempo del establecido ni buscar ninguna base
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

48/61

de legitimación adicional”, sin considerar que sí recibió la petición, que el hecho de que
internamente no se trasladara a la unidad encargada de su tramitación no equivale a
no haber recibido la solicitud y que todo ello ocurre en su exclusivo ámbito de
responsabilidad.

La conclusión aquí expuesta no supone ninguna modificación respecto de la obligación
general que la normativa impone a los responsables del tratamiento de los datos
personales de suprimirlos cuando han dejado de ser necesarios para la finalidad que
motivó su recogida o, tratándose de imágenes captadas por sistemas de
videovigilancia, cuando transcurre el plazo establecido.

Las razones expuestas prevalecen sobre la obligación de eliminar las imágenes en el
plazo máximo de un mes desde que fueron captadas, resultando que, concluida la
necesidad de conservar y proporcionalidad de conservar las imágenes, el tratamiento
de datos personales consistente en el borrado o supresión de tales imágenes se lleva
a cabo sin una base jurídica que lo legitime, en clara vulneración de lo establecido en
el artículo 6 del RGPD. Este incumplimiento da lugar a la aplicación de los poderes
correctivos que el artículo 58 del citado Reglamento otorga a la Agencia Española de
Protección de datos.

La vulneración de lo dispuesto en el artículo 6 del RGPD se produce con
independencia de la falta de atención del derecho de acceso ejercitado por la
reclamante. Ambas infracciones resultan de conductas separadas que deben ser
sancionadas por separado.

VII

Para el caso de que concurra una infracción de los preceptos del RGPD, entre los
poderes correctivos de los que dispone la Agencia Española de Protección de Datos,
como autoridad de control, el artículo 58.2 de dicho Reglamento contempla los
siguientes:

“2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a
continuación:
(…)
b) dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las
operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;”
(...)
d) ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se
ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada
manera y dentro de un plazo especificado;
(…)
i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las
medidas mencionadas en el presente apartado, según las circunstancias de cada caso
particular;”.

Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en la letra d)
anterior es compatible con la sanción consistente en multa administrativa.

VIII

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

49/61

De conformidad con las evidencias expuestas, se considera que los hechos expuestos
incumplen lo establecido en los artículos 12, en relación con el artículo 15, ambos del
RGPD; y de lo establecido en el artículo 6 del mismo Reglamento; lo que supone la
comisión de sendas infracciones tipificadas, respectivamente, en los apartados 5.a) y
5.b) del artículo 83 del RGPD.

El artículo 83.5, a) y b), del RGPD, bajo la rúbrica “Condiciones generales para la
imposición de multas administrativas” dispone lo siguiente:

“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una
empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual
global del ejercicio financiero anterior, optándose por la de mayor cuantía:

a) los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a
tenor de los artículos 5, 6, 7 y 9;
b) los derechos de los interesados a tenor de los artículos 12 a 22”.

Por otra parte, el artículo 71 de la LOPDGDD considera infracción cualquier
incumplimiento de esta Ley Orgánica:

“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del
artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente
ley orgánica”.

El apartado 1.b) del artículo 72 de la LOPDGDD considera, como “muy grave”, a
efectos de prescripción:

“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:

b) El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del
tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679” .

Y el apartado c) del artículo 74 de la LOPDGDD, considera como infracción “leve” a
efectos de prescripción las infracciones de carácter meramente formal de los artículos
mencionados en el artículo 83.5 del RGPD y, en concreto:

“c) No atender las solicitudes de ejercicio de los derechos establecidos en los artículos 15 a 22
del Reglamento (UE) 2016/679, salvo que resultase de aplicación lo dispuesto en el artículo
72.1.k) de esta Ley Orgánica”.

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:

“1. Cada autoridad de control garantizará que la imposición de las multas administrativas con
arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los
apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.

2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso
individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58,
apartado 2, letras a) a h) y j). Al decidir la imposición de una multa administrativa y su cuantía
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

50/61

en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza,
alcance o propósito de la operación de tratamiento de que se trate así como el número de
interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para paliar los
daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta
de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el
responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el mismo
asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación
aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los
beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de
la infracción”.

Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:

“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE)
2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el
apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679 también
podrán tenerse en cuenta:

a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de datos
personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la
infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción,
que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan
controversias entre aquellos y cualquier interesado”.

Además de lo señalado, debe considerarse lo establecido en el artículo 83.1 del
RGPD, según el cual “Cada autoridad de control garantizará que la imposición de las
multas administrativas con arreglo al presente artículo por las infracciones del
presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias”.

De acuerdo con los preceptos indicados, a efectos de fijar el importe de la sanción a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

51/61

imponer en el presente caso, se considera que procede graduar la sanción a imponer
de acuerdo con los siguientes criterios que establecen los preceptos transcritos:

1. Infracción del artículo 12, en relación con el artículo 15, ambos del RGPD, tipificada
en el artículo 83.5.b) y calificada como leve a efectos de prescripción en el artículo
74.c) de la LOPDGDD:

Se estiman concurrentes como agravantes los criterios de graduación siguientes:

. Artículo 83.2.a) del RGPD: “a) la naturaleza, gravedad y duración de la
infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación
de tratamiento de que se trate así como el número de interesados afectados y el
nivel de los daños y perjuicios que hayan sufrido”.

. La naturaleza de la infracción, por cuanto la no atención del derecho de
acceso, por su contenido, incide en la capacidad de la reclamante de ejercer
un verdadero control sobre sus datos personales.

En relación con el derecho de acceso y su configuración como puerta de
acceso para otros derechos, el TJUE, en Sentencia de 07/05/2009, dictada en
el Asunto C-553/07, analizando entonces la Directiva e igualmente válido
ahora para el RGPD, declara lo siguiente:

“51 El citado derecho de acceso es indispensable para que el interesado pueda
ejercer los derechos que se contemplan en el artículo 12, letras b) y c), de la
Directiva, a saber, en su caso, cuando el tratamiento no se ajuste a las disposiciones
de la misma, obtener de responsable del tratamiento de los datos, la rectificación, la
supresión o el bloqueo delos datos [letra b)], o que proceda a notificar a los terceros a
quienes se hayan comunicado los datos, toda rectificación, supresión o bloqueo
efectuado, si no resulta imposible o supone un esfuerzo desproporcionado [letra c)].
52 El derecho de acceso es, igualmente, condición necesaria para el ejercicio por el
interesado del derecho de oposición al tratamiento de sus datos personales,
contemplado en el artículo 14 de la Directiva, como lo es para el derecho a recurrir
por los daños sufridos, previsto en los artículos 22 y 23 de ésta”.

. El nivel de daños y perjuicios sufrido por los interesados, en la medida en
que la no atención del derecho de acceso conllevó la no entrega de las
imágenes solicitadas por la reclamante, lo que perjudicó su capacidad de
defensa en relación con el accidente sufrido por la misma en un centro de la
reclamada.

. Artículo 83.2.b) del RGPD: “b) la intencionalidad o negligencia en la infracción".

La negligencia apreciada en la comisión de la infracción, teniendo en cuenta que
MERCADONA, no solo no atendió el derecho ejercitado por la reclamante, sino
que ni siquiera dio ninguna respuesta a la solicitud formulada por la reclamante
dentro del plazo previsto. Esta respuesta no se produjo hasta un momento
posterior a la eliminación de las imágenes en cuestión, de modo que la no
atención del derecho ha supuesto una pérdida de la disposición y control sobre los
datos.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

52/61

Esta circunstancia, ponen de manifiesto la actuación negligente de MERCADONA.
A este respecto, se tiene en cuenta lo declarado en Sentencia de la Audiencia
Nacional de 17/10/2007 (rec. 63/2006) que, partiendo de que se trata de entidades
cuya actividad lleva aparejado en continuo tratamiento de datos, indica que “…el
Tribunal Supremo viene entendiendo que existe imprudencia siempre que se
desatiende un deber legal de cuidado, es decir, cuando el infractor no se
comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha
de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda
de que, en el caso ahora examinado, cuando la actividad de la recurrente es de
constante y abundante manejo de datos de carácter personal ha de insistirse en el
rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”.

Se trata de una empresa que realiza tratamientos de datos personales de manera
sistemática y continua y que debe extremar el cuidado en el cumplimiento de sus
obligaciones en materia de protección de datos.

Entiende esta Agencia que la diligencia tiene que deducirse de hechos
concluyentes, que consten debidamente acreditados y directamente relacionados
con los elementos que configuran la infracción, de tal modo que pueda deducirse
que la misma se ha producido a pesar de todos los medios dispuestos por el
responsable para evitarla. En este caso, la actuación de MERCADONA no tiene
este carácter.

. Artículo 83.2.g) del RGPD: “g) las categorías de los datos de carácter personal
afectados por la infracción”.

Si bien no se han visto afectadas “Categorías especiales de datos personales”,
según define el RGPD en el artículo 9, los datos personales a los que se refieren
las actuaciones (imagen de la reclamante) tiene una naturaleza especialmente
sensible, por cuanto permite la pronta identificación de los interesados y aumenta
los riesgos sobre su privacidad.

. Artículo 76.2.b) de la LOPDGDD: “b) La vinculación de la actividad del infractor
con la realización de tratamientos de datos personales”.

La alta vinculación de la actividad del infractor con la realización de tratamientos
de datos personales, especialmente en lo relativo a la captación de imágenes de
clientes por los sistemas de videovigilancia instalados en sus establecimientos,
que se realiza de forma indiscriminada. Se considera el nivel de implantación de la
entidad y la actividad que desarrolla, en la que se ven implicados datos
personales de miles de interesados. Esta circunstancia determina un mayor grado
de exigencia y profesionalidad y, consiguientemente, de la responsabilidad de la
entidad reclamada en relación con el tratamiento de los datos.

. Artículo 83.2.k) del RGPD: “k) cualquier otro factor agravante o atenuante
aplicable a las circunstancias del caso, como los beneficios financieros obtenidos
o las pérdidas evitadas, directa o indirectamente, a través de la infracción”.

. La condición de gran empresa y volumen de negocio de MERCADONA.
Consta en las actuaciones que dicha entidad tiene (…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

53/61

Se considera, asimismo, que concurren como atenuantes las circunstancias
siguientes:

. Artículo 83.2.d) del RGPD: “d) el grado de responsabilidad del responsable o del
encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas
que hayan aplicado en virtud de los artículos 25 y 32”.

La entidad imputada tiene implantados procedimientos adecuados de actuación
en la gestión de solicitudes de ejercicio de derechos, de modo que la infracción es
consecuencia de una anomalía en el funcionamiento de dichos procedimientos
que afecta únicamente a la reclamada.

Considerando los factores expuestos, la valoración que alcanza la multa, por la
Infracción del artículo 12 del RGPD, es de 70.000 euros (setenta mil euros).

2. Infracción por incumplimiento de lo establecido en el artículo 6 del RGPD, tipificada
en el artículo 83.5.a) y calificada como muy grave a efectos de prescripción en el
artículo 72.1.b) de la LOPDGDD:

Se estiman concurrentes como agravantes los criterios de graduación siguientes:

. Artículo 83.2.a) del RGPD: “a) la naturaleza, gravedad y duración de la
infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación
de tratamiento de que se trate así como el número de interesados afectados y el
nivel de los daños y perjuicios que hayan sufrido”.

. La naturaleza y gravedad de la infracción, por cuanto el borrado definitivo de
las imágenes captadas por el sistema de videovigilancia, en este caso, incide
en la capacidad de la reclamante de ejercer un verdadero control sobre sus
datos personales en la medida en que limita su capacidad de acción en la
defensa de sus derechos; y limita cualquier intervención posterior de esta
Agencia en orden a reparar la falta de atención del derecho de acceso o de
los tribunales respecto de las acciones que la reclamante pudiera ejercer
contra MERCADONA para una posible reparación de daños.

. El nivel de daños y perjuicios sufrido por la reclamante interesados, en la
medida en que la supresión de las imágenes ha perjudicado su capacidad de
defensa, conforme a lo expresado en el apartado anterior.

Alega MERCADONA que no puede vincularse la denuncia de la reclamante con
una obligación legal de conservar las imágenes y que no es obligación de la
responsable guardar las imágenes de cada suceso ocurrido, sin que haya
solicitado la persona las imágenes, sólo para la eventualidad de que pudiera
solicitarlas. Sin embargo, no es este el caso presente, en el que la reclamante sí
había solicitado las imágenes con motivo del accidente ocurrido en un centro de la
citada entidad.

. Artículo 83.2.b) del RGPD: “b) la intencionalidad o negligencia en la infracción".

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

54/61

La negligencia apreciada en la comisión de la infracción, teniendo en cuenta que
MERCADONA suprimió las imágenes a pesar de conocer que la reclamante
denunció ante dicha entidad el accidente y los daños sufridos, y solicitó, con tal
motivo, el acceso a dichas imágenes.

Según la reclamada, no se puede afirmar lo anterior debido a que “la entidad no
era consciente de la solicitud de acceso realizada”. Una vez más, MERCADONA
plantea la cuestión como si la solicitud de acceso no hubiera existido, a pesar de
que no es controvertido que MERCADONA recibió dicha solicitud. El hecho de
que su tramitación no fuese la adecuada, al no haberse trasladado internamente
dicha solicitud a la persona o unidad encargada de gestionarla, no puede tratarse
como algo ajeno a la propia entidad responsable.

Para apreciar esta negligencia se tienen en cuenta, además, las circunstancias
señaladas al respecto en el apartado 1 anterior.

. Artículo 83.2.g) del RGPD: “g) las categorías de los datos de carácter personal
afectados por la infracción”.

Como ya se ha señalado, los datos personales a los que se refieren las
actuaciones (imagen de la reclamante) tiene una naturaleza especialmente
sensible.

. Artículo 76.2.b) de la LOPDGDD: “b) La vinculación de la actividad del infractor
con la realización de tratamientos de datos personales”.

La alta vinculación de la actividad del infractor con la realización de tratamientos
de datos personales, ya justificada en relación con la infracción anterior.

. Artículo 83.2.k) del RGPD: “k) cualquier otro factor agravante o atenuante
aplicable a las circunstancias del caso, como los beneficios financieros obtenidos
o las pérdidas evitadas, directa o indirectamente, a través de la infracción”.

. La condición de gran empresa y volumen de negocio de MERCADONA,
según los detalles ya expuestos.

Se considera, asimismo, que concurren como atenuantes las circunstancias
siguientes:

. Artículo 83.2.d) del RGPD: “d) el grado de responsabilidad del responsable o del
encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas
que hayan aplicado en virtud de los artículos 25 y 32”.

La infracción es una anomalía que afecta únicamente a la reclamada.

Considerando los factores expuestos en esta segunda parte, la valoración que alcanza
la multa por la infracción del artículo 6 del RGPD es de 100.000 euros (cien mil euros).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

55/61

MERCADONA no efectuó alegación alguna sobre los factores de graduación de las
sanciones en sus alegaciones a la apertura del procedimiento. No obstante, en su
escrito destacó que contactó con la reclamante, por medio de su representante, y llegó
a un acuerdo que repara los daños y perjuicios sufridos por el accidente y los
derivados de la no atención de su derecho de acceso a sus datos personales.

Además, manifiesta que se adoptaron a nivel interno medidas disciplinarias; así como
medias técnicas y organizativas, para evitar que pueda producirse en el futuro un error
similar y que aseguren el envío al DPD de las solicitudes que se formulen a través del
formulario web.

Estas medidas resultan insuficientes para “poner remedio a la infracción y mitigar los
posibles efectos adversos de la infracción”, según los términos del artículo 83.2.f) del
RGPD, o “para paliar los daños y perjuicios sufridos por los interesados” como
consecuencia de la infracción, según el apartado 2.c) del mismo artículo. Mitigar los
efectos adversos o paliar los daños y perjuicios causados de las infracciones implica
restablecer los derechos de los interesados, cosa que en este caso no es posible por
la supresión de las imágenes.

Tampoco puede entenderse como atenuante, en ningún caso, la cesación de la
conducta vulneradora del ordenamiento jurídico.

Por otra parte, no puede admitirse que un acuerdo extrajudicial entre la reclamante y la
reclamada pueda evitar la aplicación de la norma y la exigencia de las
responsabilidades que resultan de los hechos comprobados. Sería tanto como vaciar
de contenido la regulación de protección de datos personales.

Si a esto añadimos que las sanciones deberán ser “en cada caso individual” efectivas,
proporcionadas y disuasorias, conforme a lo previsto en el artículo 83.1 del RGPD, no
cabe admitir aquel acuerdo como una atenuante. Sería una rebaja artificial de la
sanción que puede llevar a entender que infringir la norma no producirá un efecto
negativo proporcional a la gravedad del hecho infractor.

Sobre esta cuestión de la reparación de los daños alegada por la reclamada, cabe
remitirse a lo indicado en el Fundamento de Derecho II.

Posteriormente, en las alegaciones a la propuesta de resolución, MERCADONA
cuestiona las agravantes consideradas y argumenta que esas mismas circunstancias
agravantes deben ser valoradas como atenuantes.

Así, alega que existe un único afectado y que no se trata de una infracción de carácter
estructural que dure en el tiempo, a pesar de que estos factores de graduación ya han
sido considerados por esta Agencia como atenuantes; e insiste en la “reparación” de
daños llevada a cabo y las medidas adoptadas, sobre lo que ya se ha pronunciado
esta Agencia, sin que MERCADONA aporte ningún argumento que desvirtúe lo
indicado en esta resolución al respecto.

Por otra parte, niega la negligencia apreciada y su profesionalidad en el tratamiento de
datos personales, pero tampoco a este respecto aporta argumentos de contrario
suficientes para salvar lo expresado anteriormente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

56/61

En relación con el grado de diligencia que debe exigirse a MERCADONA, dado su
nivel de profesionalidad y alta vinculación con el tratamiento de datos personales, cabe
destacar que la propia entidad en sus alegaciones a la apertura del procedimiento,
como argumento para justificar el alcance del error involuntario alegado, puso de
manifiesto la gran cantidad de datos personales que trata.

Por otra parte, ninguno de los factores de graduación considerados queda atenuado
por el hecho de que la entidad reclamada no haya sido objeto de un procedimiento
sancionador con anterioridad, circunstancia esta que ha sido alegada por la entidad
reclamada para que sea considerada como una atenuante.

A este respecto, la Sentencia de la AN, de 05/05/2021, rec. 1437/2020, indica:

“Considera, por otro lado, que debe apreciarse como atenuante la no comisión de una
infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que debe tenerse en cuenta
para la imposición de la multa administrativa, entre otras, la circunstancia "e) toda infracción
anterior cometida por el responsable o el encargado del tratamiento". Se trata de una
circunstancia agravante, el hecho de que no concurra el presupuesto para su aplicación
conlleva que no pueda ser tomada en consideración, pero no implica ni permite, como pretende
la actora, su aplicación como atenuante”.

Según el citado artículo 83.2 del RGPD, al decidir la imposición de una multa
administrativa y su cuantía de debe tener en cuenta “toda infracción anterior cometida
por el responsable”. Es una previsión normativa que no incluye la inexistencia de
infracciones precedentes como factor de graduación de la multa, el cual debe
entenderse como un criterio próximo a la reincidencia, aunque más amplio.

Asimismo, manifiesta la entidad reclamada que los datos personales relativos a las
imágenes no constituyen categorías especiales de datos, lo cual ya se considera en
este acto, pues de lo contrario los hechos probados darían serían constitutivos de una
infracción distinta a la imputada. Si bien ello no implica que se considere al graduar la
infracción que la imagen personal aumenta los riesgos sobre la privacidad.

IX

Las infracciones en la materia que nos ocupan pueden dar lugar a la imposición al
responsable de la obligación de adoptar medidas adecuadas para ajustar su actuación
a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado
artículo 58.2.d) del RGPD, según el cual cada autoridad de control podrá “ordenar al
responsable o encargado del tratamiento que las operaciones de tratamiento se
ajusten a las disposiciones del presente Reglamento, cuando proceda, de una
determinada manera y dentro de un plazo especificado…”.

En este caso, procede requerir a la entidad responsable para que, en el plazo que se
indica en la parte dispositiva, adecúe a la normativa de protección de datos personales
las operaciones de tratamiento que realiza y los mecanismos y procedimientos que
sigue para atender las solicitudes de ejercicio de derechos que le formulan los
interesados, con el alcance expresado en los Fundamentos de Derecho del presente
acuerdo. Así, deberá establecer mecanismos para asegurar que las solicitudes de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

57/61

ejercicio de derechos sean respondidas en todo caso y evitar, en caso de solicitudes
de acceso a las imágenes captadas por sus sistemas de videovigilancia, que las
imágenes a las que se refieran estas solicitudes sean borradas antes de la atención
del derecho y antes de que los órganos competentes puedan revisar, en su caso, las
decisiones que MERCADONA adopte al respecto.

Se advierte que no atender los requerimientos de este organismo puede ser
considerado como una infracción administrativa grave al “no cooperar con la Autoridad
de control” ante los requerimientos efectuados, pudiendo ser valorada tal conducta a la
hora de la apertura de un procedimiento administrativo sancionador con multa
pecuniaria.

X

MERCADONA, en su escrito de alegaciones a la propuesta de resolución, para el caso
de que se proceda al pago voluntario y al reconocimiento de responsabilidad en
cualquier momento antes de la resolución, solicita la aplicación de un descuento sobre
la sanción del 40%. No obstante, a esta fecha no consta que dicha entidad haya
procedido al pago voluntario ni ha tenido entrada en esta Agencia escrito alguno en el
que aquella entidad reconozca su responsabilidad por los hechos que han dado lugar
a las actuaciones.

En todo caso, esta Agencia no comparte la interpretación del artículo 85 de la Ley
39/2015 (LPACPA) que MERCADONA expone en su escrito de alegaciones, en
relación con el momento en que deberá reconocerse la responsabilidad para que
pueda aplicarse la reducción prevista.

A juicio de esta Agencia dicho reconocimiento, tal como se advertía en el acuerdo de
inicio, debe manifestarse iniciado el procedimiento, durante el plazo para formular
alegaciones a la apertura del procedimiento. Ello de conformidad con lo establecido en
el citado artículo 85 de la Ley 39/2015, según el cual el reconocimiento de la
responsabilidad debe producirse “iniciado el procedimiento” para que sea aplicable la
reducción prevista del 20% sobre la sanción, a diferencia de lo que se establece
expresamente en relación con el descuento por pago voluntario de la sanción, que
podrá aplicarse cuando dicho pago se produzca en cualquier momento anterior a la
resolución. Si el citado precepto ha distinguido las condiciones en los dos modos de
terminación voluntaria del procedimiento indicados, ninguna interpretación deberá
igualar estas condiciones como si no existieran diferencias en su regulación.

El artículo 85.2 de la LPACAP se refiere de manera expresa y única al pago voluntario,
y no al reconocimiento de la responsabilidad, determinando que dicho pago se podrá
producir en cualquier momento anterior a la resolución. Así, no cabe distinguir u
obligar donde la Ley no distingue u obliga. A mayor abundamiento, el artículo 85.3
indica que “En ambos casos, cuando la sanción tenga únicamente carácter pecuniario,
el órgano competente para resolver el procedimiento aplicará reducciones de, al
menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables
entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de
iniciación del procedimiento y su efectividad estará condicionada al desistimiento o
renuncia de cualquier acción o recurso en vía administrativa contra la sanción”, lo que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

58/61

supone que ambas deben estar en el acuerdo de inicio (remisión del artículo 85.1 al 64
de la LPACAP), de modo que no contempla que ambas reducciones estén en la
propuesta de resolución o que se puedan abonar acumulativamente en cualquier
momento anterior a la resolución.

Así lo entiende también la Audiencia Nacional, Sala de lo Contencioso-administrativo,
Sección 1ª, que en su Sentencia de 05/02/2021, Rec. 41/2019, indica que el pago
voluntario puede producirse en cualquier momento anterior a la resolución, mientras
que la reducción por reconocimiento de la responsabilidad está ligada al acuerdo de
inicio y a la previsión del artículo 64.2.d) de la Ley 39/2015:

“En cuanto a la infracción de lo previsto en los artículos 64 y 85 de la Ley 39/2015, que
contemplan la posibilidad de reconocer la responsabilidad en el momento de la notificación de
la resolución de inicio del procedimiento (art. 64.2.d) y acogerse a las reducciones previstas en
el artículo 85, en el acuerdo de inicio del procedimiento hay una expresa referencia a esos
artículos, indicando que no resultan de aplicación los apartados 2 y 3 del artículo 85; además,
en ningún momento el demandante ha mostrado su voluntad de reconocer la responsabilidad
por la infracción sancionada y acogerse a la posibilidad establecida en dichos artículos (el pago
voluntario puede hacerse en cualquier momento anterior a la resolución), por lo que procede
desestimar también esta alegación”.

También la finalidad es distinta para cada uno de aquellos modos de terminación del
procedimiento. En el caso del reconocimiento de la responsabilidad (artículo 85.1) se
persigue el logro de una mayor eficacia de la actuación administrativa con una
finalización rápida del procedimiento que lleva asociada, además, la renuncia al
recurso en vía administrativa. Esto implica un ahorro de tiempo, esfuerzo y, por tanto,
de costes que bonifican ese reconocimiento de responsabilidad con una rebaja del
20%. Con la posición defendida por MERCADONA no se consigue esa finalidad, por
cuanto el procedimiento se instruiría en su totalidad, y por eso no se obtiene esa
rebaja.

En el caso del pago voluntario (artículo 85.2) la finalidad es diferente, ya que en este
caso se habla de “en cualquier momento anterior a la resolución”.

Sobre esta cuestión, lo establecido en otros regímenes sancionadores, como los
señalados por MERCADONA en sus alegaciones, no condiciona la regulación
aplicable al presente procedimiento ni prevalece sobre la misma. Alguna de las
normas citadas por MERCADONA a este respecto, además, no establecen que el
reconocimiento de la responsabilidad conlleve la aplicación de un descuento, aunque
se produzca en un momento posterior a la propuesta de resolución y antes de la
resolución, como el caso de la Ley 16/1987, de 30 de Julio, de Ordenación del
Transporte Terrestre (LOTT), que en su artículo 146.3 solo se refiere al pago
voluntario:

“El pago de la sanción pecuniaria con anterioridad a que se dicte resolución sancionadora
implicará la conformidad con los hechos denunciados y la renuncia a formular alegaciones por
parte del interesado y la terminación del procedimiento debiendo, no obstante, dictarse
resolución expresa”.

El caso de la Ley 7/2014, de 23 de Julio, de Protección de las personas consumidoras
y usuarias de les Illes Balears, no es diferente cuando establece la aplicación de una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

59/61

reducción “si el presunto responsable presta su conformidad al contenido de la
resolución de inicio y justifica el ingreso del citado importe durante los quince días
siguientes a su notificación”; si bien contempla expresamente la aplicación de una
reducción inferior si la conformidad se presta en relación con el contenido de la
propuesta de resolución, cosa que la Ley 39/2015 no hace.

Entiende, asimismo, MERCADONA que su interpretación del citado precepto viene
avalada por los Tribunales, y cita tres sentencias. Dos de ellas, la STS 232/2021, de
18 de febrero, (recurso de casación 2201/2020), y la dictada por el Tribunal Superior
de Justicia de Madrid, Sala de lo Contencioso-administrativo, núm. 79/2020, de 6 de
febrero, no contienen el pronunciamiento expresado por la reclamada (la STS fija
como doctrina “la renuncia o el desistimiento que se exigen en el artículo 85 de la Ley
39/2015 para poder beneficiarse de la reducción en el importe de la sanción se
proyectan única y exclusivamente sobre las acciones o recursos contra la sanción a
ejercitar en la vía administrativa y no en la judicial”); y la tercera se refiere a un
supuesto en el que el recurrente reconoció su responsabilidad en el escrito de
alegaciones al acuerdo de inicio del expediente sancionador.

En otro orden, debe señalarse que el Informe del Gabinete Jurídico de la Junta de
Andalucía que se cita en las alegaciones a la propuesta de resolución se refiere al
pago voluntario de la sanción (artículo 85.2 de la Ley 39/2015) y no al reconocimiento
de la responsabilidad.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a la entidad MERCADONA, S.A., con NIF A46103834, por una
infracción del artículo 12, en relación con el artículo 15, ambos del RGPD, tipificada en
el artículo 83.5.b) y calificada como leve a efectos de prescripción en el artículo 74.c)
de la LOPDGDD, una multa de 70.000 euros (setenta mil euros).

SEGUNDO: IMPONER a la entidad MERCADONA, S.A., por una infracción del
Artículo 6 del RGPD, tipificada en el artículo 83.5.a) y calificada como muy grave a
efectos de prescripción en el artículo 72.1.b) de la LOPDGDD, una multa de 100.000
euros (cien mil euros).

TERCERO: REQUERIR a la entidad MERCADONA, S.A. para que, en el plazo de un
mes, contado desde la notificación de la presente resolución, adecúe su actuación a la
normativa de protección de datos personales, con el alcance expresado en el
Fundamento de Derecho IX, y justifique ante esta Agencia Española de Protección de
Datos la atención del presente requerimiento. En el texto de la resolución se
establecen cuáles han sido las infracciones cometidas y los hechos que han dado
lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con
claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de
procedimientos, mecanismos o instrumentos concretos para implementarlas
corresponda a la parte sancionada, pues es el responsable del tratamiento quien
conoce plenamente su organización y ha de decidir, en base a la responsabilidad
proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

60/61

CUARTO: NOTIFICAR la presente resolución a la entidad MERCADONA S.A.

QUINTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una
vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el
art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago
voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado
por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003,
de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número
de procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso
contrario, se procederá a su recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-100322
Mar España Martí
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

61/61

Directora de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es