Motivos:

  • -Vulneración del derecho de acceso (Infracción artículos 12 y 15 RGPD), sancionado con 70.000 euros
  • -Tratamiento sin base de legitimación (Infracción artículo 6 RGPD), sancionado con 100.000 euros

En este caso, la reclamante solicitó a Mercadona las grabaciones de videovigilancia porque había sufrido un accidente en las instalaciones. Para ello ejerció un derecho de acceso con los formularios disponibles en la web de Mercadona.

Pasado un mes sin respuesta (y por tanto sin obtener las grabaciones), la reclamante escribió al Delegado de Protección de Datos de Mercadona, el cual respondi’o que las imágenes ya habían sido borradas.

Cuando la reclamante acude a la AEPD, Mercadona alega que la reclamación iniciada vía canal de denuncias de la marca en su propia web no se podía entender como un ejercicio del derecho de acceso. La AEPD, sin embargo, entiende que sí se ejerció correctamente el derecho.

Mercadona, por su parte, alega que se alcanzó un acuerdo con la reclamante para indemnizarla por los daños sufridos en el accidente en las instalaciones y por el derecho de acceso no atendido. AEPD dice que el desistimiento no supone archivo del procedimiento sancionador.

También alega Mercadona que el problema deriva de un error no intencionado del gerente de Atención al Cliente, que motivó que no llegara la solicitud web al conocimiento del DPD pues, ojo, las reclamaciones en Departamento de At. a Cliente se transmiten «manualmente» al DPD y, en el caso que nos ocupa, no se hizo. Esta alegación no deja de ser, como mínimo, sorprendente.

A esto contesta la AEPD que tal error humano o incidencia ocurre en el ámbito de responsabilidad de Mercadona, que debe responder por ello. La AEPD dice que aplica el principio de culpabilidad dado que el error es una muestra de falta de diligencia.

Entiende la AEPD pues que se ejerció el derecho de acceso correctamente y que este no quedó atendido, por lo que impone a Mercadona una sanción de 70.000 euros.

¿Y la infracción del artículo 6?

La AEPD dice que puede considerarse en vigor el artículo 6 de la Instrucción 1/2006 sobre tratamiento de videovigilancia, relativo al plazo de conservación de las imágenes y además que «…Una interpretación acorde con el RGPD, que no contempla la cancelación sino la supresión de los datos personales, supone que ese plazo máximo de conservación de un mes no será de cancelación sino de supresión, salvo en aquellos supuestos en que se deban conservar para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones.»

La supresión de los datos es un tratamiento de los mismos. La AEPD entiende que había suficientes actos indicativos para que Mercadona conservara las imágenes solicitadas por la reclamante. Por tanto, el tratamiento de supresión se lleva a cabo sin base jurídica que lo legitime, imponiendo a Mercadona una segunda sanción por importe de 100.000 euros.