La Agencia Española de Protección de Datos (AEPD) ha sancionado a la entidad gestora de un aparcamiento por vulnerar los artículos 15 y 18 del Reglamento (UE) 2016/679 (RGPD) en relación con una solicitud de acceso a imágenes de videovigilancia y de conservación de las mismas.
El procedimiento tiene su origen en una reclamación presentada por el propietario de un vehículo que sufrió daños mientras permanecía estacionado en un parking. El 23 de febrero de 2024 solicitó al responsable del tratamiento el acceso a las imágenes captadas por el sistema de videovigilancia con la finalidad de identificar al vehículo responsable de los daños y poder ejercitar las acciones legales oportunas. En la misma comunicación solicitó expresamente que las grabaciones no fueran eliminadas y se conservaran cautelarmente por resultar necesarias como medio de prueba.
La entidad respondió el 4 de abril de 2024, una vez transcurrido el plazo de 1 mes previsto en el artículo 12.3 del RGPD, denegando el acceso y señalando que únicamente facilitaba las grabaciones previa denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado. Ese mismo día, el reclamante reiteró su solicitud, insistiendo en la obtención de una copia de las grabaciones y solicitando, con carácter cautelar, la conservación de las imágenes más allá del plazo ordinario de 30 días. Subsidiariamente, interesó que se le facilitara la matrícula del vehículo presuntamente responsable. La empresa contestó al día siguiente indicando que las grabaciones solo podían entregarse a la policía o a un juez y que, en cualquier caso, ya habían sido eliminadas.
Respecto del derecho de acceso, la AEPD considera acreditado que la entidad no respondió dentro del plazo legal y recuerda el criterio recogido en su Informe Jurídico 0278/2016, conforme al cual, cuando la finalidad es identificar al responsable de unos daños para el ejercicio de acciones judiciales, el interés del solicitante puede justificar la comunicación de la información imprescindible, limitándose a las imágenes directamente relacionadas con el incidente o a los datos estrictamente necesarios, como la matrícula del vehículo responsable.
En relación con la conservación de las grabaciones, la AEPD entiende que la solicitud presentada por el reclamante constituía un ejercicio del derecho a la limitación del tratamiento previsto en el artículo 18 del RGPD, al interesar expresamente que las imágenes no fueran suprimidas mientras resultaran necesarias para el ejercicio de acciones judiciales. La resolución destaca que dicha solicitud fue presentada antes de que las imágenes fueran eliminadas y que el responsable no adoptó medida alguna para garantizar su conservación. Asimismo, señala que la finalidad perseguida era disponer de un medio de prueba para reclamar los daños sufridos, circunstancia que conecta con el derecho a la tutela judicial efectiva reconocido en el artículo 24 de la Constitución Española.
La AEPD concluye que la entidad vulneró el artículo 15 del RGPD, al no atender en plazo ni adecuadamente el derecho de acceso, y el artículo 18 del RGPD, al no conservar las imágenes pese a la solicitud expresa formulada antes de su supresión. Ambas infracciones, fueron sancionadas inicialmente con 75.000 euros cada una, ascendiendo el importe total a 150.000 euros. No obstante, tras el reconocimiento de responsabilidad y el pago voluntario la cuantía definitiva de la sanción quedó reducida a 90.000 euros.