Uno de los artículos más leídos del blog es el dedicado a la regulación de la videovigilancia, que dejo enlazado aquí. Dado el interés que suscita, vamos a retomar el tema con un caso real:
Una cliente sufre un accidente en un establecimiento de MERCADONA. Denuncia el incidente por correo electrónico a la empresa, que responde por la misma vía, indicando que la denuncia ha sido remitida al Servicio de Atención al Cliente, al que deberá dirigir las futuras comunicaciones (se indica un teléfono de contacto y un enlace a la web de la entidad).
La reclamante ejerce su derecho de acceso a las imágenes de las cámaras de seguridad, utilizando el formulario disponible en la web de MERCADONA, en la pestaña «Atención al Cliente», acompañando su solitud y copia del DNI, recibiendo como respuesta: «¡Gracias!, tu comentario se ha enviado correctamente».
Días más tarde, la representante legal de la reclamante envía una comunicación a MERCADONA, indicando: «Me dirijo a usted para establecer una primera comunicación, con el fin de poner en su conocimiento la documentación de la que dispongo por el momento, en relación al siniestro… del que resultó lesionada mi representada… También con el fin de poner en su conocimiento nuestra voluntad de solicitar la indemnización que según el baremo corresponda».
Trascurrido un mes sin respuesta, la misma representante envía una nueva comunicación: «Hace más de un mes, mi clienta ejercitó su derecho de acceso a las imágenes de videovigilancia, por el canal establecido en su política de privacidad (a través del formulario de atención al cliente: https://info.mercadona.es/es/atencion-alcliente#destacadosFormulario), y aún no ha recibido respuesta. Ruego que le manden dichas imágenes ya que corresponden a (…)».
MERCADONA responde a la reclamante por correo electrónico con el asunto «Derecho de acceso» y el siguiente texto: «Tras contrastar internamente, informarle que no nos consta que se haya recibido ninguna petición de acceso a imágenes, ni de la documentación que según la normativa de protección de datos es necesaria para gestionar cualquier derecho de acceso, ni por parte de su cliente (la Sra…) ni por su parte. Debemos de añadir que ya no se dispone de ninguna de las imágenes de la fecha solicitada, todo ello de conformidad con el art. 6 de la Instrucción 1/2006, de 8 de noviembre, de la AEPD, que establece que «Los datos serán cancelados en el plazo máximo de un mes desde su captación»».
Los argumentos que empleo MERCADONA en su descargo fueron los siguientes:
- El envío de la solicitud de acceso a las grabaciones mediante el formulario web no genera acuse de recibo; simplemente muestra un mensaje de respuesta que dice: «Gracias, tu comentario se ha enviado correctamente».
- De la comunicación presentada a través del canal de denuncias no se desprendía que se trataba de una solicitud de ejercicio del derecho de acceso.
- La comunicación no llegó a manos del DPD por un error humano involuntario.
- Se adoptaron medidas técnicas, organizativas y disciplinarias para que evitar que se repita el error.
- La empresa no fue sancionada con anterioridad por la AEPD en materia de derechos de los interesados y no constaban reclamaciones por falta de respuesta o recepción de solicitudes.
- Se contactó con la reclamante y se llegó a un acuerdo que reparaba los daños derivados tanto del accidente como de la no atención de su derecho de acceso, de manera que el error en la atención del derecho no le ha ocasionado ningún daño y/o perjuicio.
Los argumentos de la empresa pueden parecer razonables, pero no a ojos de la AEPD, que sancionó a MERCADONA con dos multas, cuya suma asciende a 170.000 € por dos infracciones: 70.000 € por vulneración de los artículos 12 y 15 del RGPD, relativos a la transparencia de la información, la comunicación y las modalidades de ejercicio de los derechos del interesado, calificada como leve, y 100.000 € por incumplimiento del artículo 6 del RGPD, relacionada con la licitud del tratamiento de datos personales, calificada como muy grave.
Para la AEPD, el hecho de que un error humano impidiera al DPD conocer la existencia de la solicitud de acceso no justifica la falta de atención, especialmente cuando las imágenes podían servir como prueba en una reclamación por el accidente. Además, que la empresa llegara posteriormente a un acuerdo con la afectada para reparar los daños causados ni las medidas adoptadas a nivel interno bastan para remediar la infracción ni para mitigar los posibles efectos adversos.
Por último, la AEPD destacó que, al tratarse de una empresa que gestiona numerosos establecimientos con sistemas de videovigilancia, que captan la imagen de miles de personas, se exige un mayor grado de diligencia y responsabilidad en el tratamiento de los datos.
Haciendo clic aquí pueden consultar la resolución de la AEPD.
Actualización
MERCADONA ha sido multada con 2.520.000 € por la instalación, en varios de sus establecimientos, de un sistema de videovigilancia con reconocimiento facial. El fin era identificar a personas con sentencias firmes y órdenes de alejamiento vigentes contra MERCADONA o sus trabajadores. Haciendo clic aquí pueden consultar la resolución de la AEPD.
