Resoluciones Relevantes JUNIO 2026

A.A.A. presentó reclamación contra SEUR por haber depositado un paquete en un buzón de CITIBOX situado en su urbanización, en lugar de entregarlo en su domicilio, sin previo aviso ni consentimiento. Denunció que SEUR facilitó sus datos personales y de contacto a CITIBOX, empresa con la que no mantenía relación contractual, permitiendo que esta le remitiera un SMS para la recogida del envío. La reclamación se dirigió inicialmente a CITIBOX, que explicó que presta servicios de recepción y devolución de paquetería mediante buzones instalados en comunidades de propietarios y que mantiene un contrato con SEUR para la gestión de entregas. Según CITIBOX, cuando una empresa de mensajería deposita un paquete en sus taquillas, comunica el número de teléfono del destinatario para permitir el envío de instrucciones de recogida. Defendió que trataba los datos amparándose en su interés legítimo para cumplir las obligaciones asumidas frente a SEUR y sostuvo que ambas entidades actuaban como Responsables. Tras una primera inadmisión de la reclamación, la AEPD estimó el recurso de reposición interpuesto por A.A.A. y acordó la apertura de actuaciones previas de investigación. Durante estas actuaciones se constató que CITIBOX disponía, además del número de teléfono, del nombre, apellidos y dirección de la interesada, y que posteriormente atendió su derecho de oposición, suprimiendo los datos y conservándolos únicamente.

SEUR defendió que mantenía con CITIBOX una relación entre Responsables independientes y que la utilización de sus buzones formaba parte de un sistema de recepción de envíos compatible con la normativa postal. Alegó igualmente que la entrega quedaba perfeccionada con el depósito del paquete en la taquilla y que, a partir de ese momento, cualquier tratamiento ulterior correspondía exclusivamente a CITIBOX. Esta última sostuvo además que actuaba como depositaria de los paquetes y que los tratamientos realizados respondían tanto a sus obligaciones contractuales con SEUR como a los acuerdos suscritos con las comunidades de propietarios donde se encontraban instalados los buzones. La AEPD rechazó esta interpretación recordando que la calificación de las partes no depende de la denominación contractual sino de las funciones efectivamente desempeñadas. Consideró acreditado que la finalidad del tratamiento era la entrega del paquete cuya gestión correspondía a SEUR, que continuaba realizando operaciones de seguimiento del envío incluso después del depósito en la taquilla y que las actuaciones de CITIBOX carecían de autonomía funcional, integrándose en el proceso de entrega diseñado por SEUR. Por ello, entendió que SEUR actuaba como responsable del tratamiento y CITIBOX como encargado.

- Sobre el Encargo de tratamiento, La investigación puso de manifiesto que ambas empresas habían formalizado un contrato en el que se atribuían mutuamente la condición de Responsables, sin suscribir el correspondiente contrato de encargo exigido por el artículo 28 del RGPD; omisión que impedía delimitar adecuadamente las obligaciones y responsabilidades derivadas del tratamiento realizado por cuenta de SEUR.

- En cuanto a la confidencialidad de los datos, se acreditó que el repartidor de SEUR comunicó a CITIBOX el nombre y apellidos de A.A.A., pese a que, según las propias manifestaciones de ambas entidades, dichos datos no formaban parte de la información mínima necesaria para gestionar la entrega mediante las taquillas. La documentación aportada por CITIBOX evidenció que esos datos habían sido efectivamente facilitados por el repartidor, lo que supuso una revelación no justificada de información personal.

- Respecto a la falta de medidas de seguridad, por el contrario, dicha infracción fue archivada. La Agencia concluyó que no se había acreditado una pérdida de control de los datos personales por parte de SEUR, al haberse establecido posteriormente mecanismos específicos para canalizar la comunicación de datos a través de sus propias aplicaciones y procedimientos internos.

A.A.A. presentó reclamación contra SEUR por haber depositado un paquete en un buzón de CITIBOX situado en su urbanización, en lugar de entregarlo en su domicilio, sin previo aviso ni consentimiento. Denunció que SEUR facilitó sus datos personales y de contacto a CITIBOX, empresa con la que no mantenía relación contractual, permitiendo que esta le remitiera un SMS para la recogida del envío. La reclamación se dirigió inicialmente a CITIBOX, que explicó que presta servicios de recepción y devolución de paquetería mediante buzones instalados en comunidades de propietarios y que mantiene un contrato con SEUR para la gestión de entregas. Según CITIBOX, cuando una empresa de mensajería deposita un paquete en sus taquillas, comunica el número de teléfono del destinatario para permitir el envío de instrucciones de recogida. Defendió que trataba los datos amparándose en su interés legítimo para cumplir las obligaciones asumidas frente a SEUR y sostuvo que ambas entidades actuaban como Responsables. Tras una primera inadmisión de la reclamación, la AEPD estimó el recurso de reposición interpuesto por A.A.A. y acordó la apertura de actuaciones previas de investigación. Durante estas actuaciones se constató que CITIBOX disponía, además del número de teléfono, del nombre, apellidos y dirección de la interesada, y que posteriormente atendió su derecho de oposición.

- Sobre el deber de información del art. 14, la AEPD consideró que las operaciones realizadas por CITIBOX —recepción de datos, registro, envío de avisos y gestión de la recogida— carecían de autonomía propia y únicamente tenían sentido como parte del servicio de entrega contratado por SEUR. En consecuencia, CITIBOX actuaba como Encargada respecto de los datos comunicados para efectuar la entrega del paquete. Por ello, se descartó la infracción inicialmente atribuida a CITIBOX por el tratamiento del número de teléfono de la destinataria y archivó igualmente la imputación relativa al deber de información del artículo 14 RGPD, al considerar que el SMS se remitió actuando como Encargada y no como Responsable.

-Sobre la licitud del tratamiento, durante las actuaciones de investigación se reveló que CITIBOX había creado un tratamiento propio denominado “Usuarios bloqueados” o lista de exclusión. En dicha lista incorporaba los números de teléfono de personas que, sin ser clientes de CITIBOX, manifestaban su oposición a recibir futuros envíos mediante sus buzones. La finalidad consistía en impedir que empresas de mensajería depositaran en el futuro paquetes dirigidos a esas personas en instalaciones gestionadas por CITIBOX. Esta lista era única para todas las empresas de transporte con las que trabajaba CITIBOX, se consultaba sistemáticamente cada vez que iba a realizarse una entrega y mantenía los datos durante un plazo indefinido. Aunque CITIBOX alegó que el tratamiento se sustentaba en su interés legítimo y que posteriormente había seudonimizado los números de teléfono, la Agencia consideró que los datos utilizados procedían de SEUR y habían sido comunicados exclusivamente para posibilitar la entrega de un envío concreto. Al crear y gestionar una finalidad propia distinta de la encomendada por SEUR, CITIBOX dejó de actuar dentro de las instrucciones de SEUR, pasó a ser Responsable respecto de esa actividad específica. La AEPD entendió que la inclusión de los números de teléfono en la lista de exclusión constituía un tratamiento autónomo diseñado por CITIBOX, con medios y fines determinados por ella misma, incompatible con la finalidad original para la que los datos habían sido comunicados. Además, destacó el carácter permanente y sistemático del tratamiento, así como la contradicción existente entre la voluntad de los afectados de que sus datos no fueran tratados y la conservación continuada de los mismos para impedir futuras entregas, careciendo de una base jurídica válida para el tratamiento de los números de teléfono incluidos en la lista de exclusión.

Un particular presentó reclamación ante la AEPD por las deficiencias observadas en la web para adultos ***URL.1, a la que había accedido su hijo de 12 años. Aportó capturas de pantalla que evidenciaban la ausencia de garantías adecuadas en materia de protección de datos. Durante las actuaciones de investigación, la AEPD comprobó que la web ofrecía anuncios de prostitución. En una primera inspección, el acceso se limitaba a un aviso que preguntaba si el usuario era mayor de 18 años, permitiendo la entrada al contenido mediante la simple pulsación de un botón, sin verificación real de edad. Posteriormente se constató que incluso había desaparecido ese mecanismo, pudiéndose acceder libremente a los contenidos para adultos. La página permitía además el registro de usuarios como “visitante” o “anunciante”, requiriendo nombre, apellidos, teléfono y correo electrónico, junto con una mera declaración de mayoría de edad y un sistema reCAPTCHA, sin proporcionar información alguna sobre el tratamiento de los datos personales. La inspección verificó igualmente que el apartado “Aviso Legal” no identificaba al responsable de la web ni contenía información sobre finalidades, bases jurídicas, destinatarios, plazos de conservación o derechos de los interesados. Asimismo, se constató la utilización de cookies mediante dispositivos de almacenamiento y recuperación de datos. Las investigaciones sobre la titularidad del dominio permitieron obtener datos de contacto asociados a ***EMPRESA.1. Diversos requerimientos remitidos a las direcciones disponibles resultaron infructuosos. La consulta efectuada a la operadora de la línea telefónica vinculada al dominio permitió identificar como titular a A.A.A., sin que intentos posteriores de notificación y localización obtuvieran resultado. La AEPD inició procedimiento sancionador contra A.A.A. por presuntas infracciones de los artículos 13, 32, 6.1 y 9 del RGPD.

- Respecto al tratamiento de categorías especiales de datos, la Agencia constató que la web incorporaba un buscador de anuncios que permitía filtrar resultados según “preferencias sexuales”, dato comprendido entre las categorías especiales del artículo 9 del RGPD al referirse a la vida u orientación sexual de las personas, sin que se acreditara la concurrencia de alguna de las excepciones que permiten levantar la prohibición general de tratamiento de este tipo de datos.

- En relación con el deber de información, se comprobó que durante el registro de usuarios se recababan datos personales sin facilitar la información exigida por el artículo 13 del RGPD. Tampoco el aviso legal incluía referencia alguna a la identidad del responsable ni a las condiciones del tratamiento.

- Sobre las medidas de seguridad, la Agencia apreció que la web estaba dirigida exclusivamente a personas adultas, pero carecía de mecanismos eficaces para impedir el acceso de menores. Inicialmente solo existía una declaración de edad no verificable y posteriormente desapareció incluso esa advertencia para la navegación general. La ausencia de controles efectivos resultaba especialmente relevante por tratarse de contenidos destinados a adultos y por los riesgos específicos para menores.

- Finalmente, en cuanto a la licitud del tratamiento, la AEPD observó que la creación de cuentas de usuario implicaba el tratamiento de datos personales sin que se identificara ninguna base jurídica válida. La web no informaba sobre la identidad del responsable, los fines del tratamiento ni las condiciones aplicables. Tampoco podía considerarse existente un consentimiento válido, ya que no se proporcionaba información suficiente ni se recababa mediante una acción afirmativa específica e inequívoca, sin que concurrieran los requisitos necesarios para ampararse en la ejecución de un contrato u otra de las bases previstas en el artículo 6.1 del RGPD.

La AEPD tuvo conocimiento, a través de diversas informaciones publicadas en medios de comunicación, de la creación y difusión mediante inteligencia artificial de imágenes que correspondían a menores y que habían sido manipuladas para mostrar cuerpos desnudos. Según las noticias conocidas, las imágenes fueron difundidas por sus autores a través de redes sociales y también habrían sido publicadas en plataformas de internet, entre ellas OnlyFans y diversas páginas de contenido pornográfico, lo que motivó el inicio de oficio de las actuaciones de investigación de la AEPD. Durante dichas actuaciones recabó información de la Fiscalía en relación con el procedimiento penal seguido por los mismos hechos, lo que permitió identificar a varios acusados como integrantes del grupo investigado y conocer su presunta participación en la creación y difusión de las imágenes manipuladas. Como consecuencia, la Agencia acordó iniciar un procedimiento sancionador contra él.

Posteriormente, la AEPD pudo constatar a través de la información facilitada por la Fiscalía que se pudo identificar a los menores expedientados y conocer su posible participación en los hechos objeto de investigación. El expediente judicial finalizó mediante sentencia; después de que los menores expedientados expresaran su plena conformidad con los hechos y las penas impuestas, incluyendo la adopción de medidas tales como recibir formación afectivo sexual, sobre uso responsable de las tecnologías de la información y la comunicación, sensibilización en materia de igualdad y género. Por ello, al tener conocimiento del resultado anterior, la AEPD entiende que los hechos ya recibieron una respuesta en el ámbito penal, acordó el archivo de múltiples procedimientos sancionadores abiertos contra los distintos investigados. Asimismo, aquellos casos en los que se procedió al pago voluntario de la multa impuesta, la AEPD, tras tener conocimiento de la sentencia judicial, dictó nueva resolución revocando dichas resoluciones.

Saturnino, conductor de ARES CAPITAL, interpuso demanda de tutela de derechos fundamentales al considerar que la empresa había vulnerado su derecho a la protección de datos personales y a la intimidad mediante el uso de un sistema de geolocalización instalado en los vehículos corporativos. Asimismo, cuestionó los descuentos salariales practicados por la empresa, al entender que se basaban en datos obtenidos mediante un tratamiento ilícito. Constaba acreditado que el contrato de trabajo incorporaba cláusulas específicas sobre el uso de los medios de la empresa, incluyendo los vehículos y los sistemas tecnológicos asociados, así como información expresa sobre la existencia de dispositivos de geolocalización, sus finalidades y el tratamiento de los datos obtenidos. El trabajador también recibió el Manual del Conductor, que regulaba el uso profesional de los medios corporativos y advertía de la posibilidad de utilizarlos para verificar el correcto desempeño de las funciones laborales. Los vehículos, propiedad de la empresa, disponían de un sistema homologado de geolocalización que permitía conocer datos relativos a los trayectos y al uso del vehículo durante la prestación de servicios. Quedó acreditado que el sistema únicamente registraba información vinculada a la actividad laboral y no captaba datos personales o circunstancias privadas de los conductores. También se constató que no se habían celebrado reuniones con los trabajadores para debatir el uso de la aplicación como herramienta de control laboral.

El trabajador recurrió la sentencia de instancia alegando, entre otras cuestiones, que no estaba acreditada la entrega efectiva del Manual del Conductor, que el tratamiento de datos incumplía los requisitos del RGPD y de la LOPDGDD, que no habían participado los representantes de los trabajadores en la definición de los criterios de utilización de los dispositivos digitales y que la empresa había empleado los datos obtenidos para imponer descuentos salariales contrarios al Estatuto de los Trabajadores. El Tribunal Superior de Justicia rechazó la revisión de los hechos probados al considerar que la magistrada de instancia había fundamentado sus conclusiones en prueba documental y testifical suficiente, sin que el recurso aportara elementos que evidenciaran error manifiesto.

En cuanto al fondo, la Sala recordó la doctrina constitucional y jurisprudencial sobre protección de datos, intimidad y control empresarial mediante sistemas tecnológicos. Destacó que el trabajador había sido informado previamente de la existencia, finalidad y funcionamiento del sistema de geolocalización, así como de la posibilidad de utilizar los datos para verificar el cumplimiento de las obligaciones laborales. El dispositivo estaba instalado en vehículos de empresa destinados exclusivamente al trabajo y los datos obtenidos se limitaban a aspectos relacionados con la prestación del servicio, sin afectar a la esfera privada del trabajador. La Sala concluyó que no existían indicios suficientes de vulneración de derechos fundamentales. Incluso admitiendo hipotéticamente la necesidad de justificar el sistema de control, ARES CAPITAL acreditó su finalidad legítima, proporcionalidad y adecuación, al estar orientado a la organización del servicio, la seguridad de los vehículos y la supervisión del cumplimiento de las obligaciones laborales.

Respecto a la ausencia de participación de la representación de los trabajadores en la elaboración de criterios de utilización de los dispositivos digitales, el tribunal consideró que dicha circunstancia, por sí sola, no permitía apreciar una lesión del derecho fundamental invocado, dado que el sistema no captaba datos personales ajenos a la actividad laboral y el trabajador había sido debidamente informado, desestimando íntegramente el recurso de suplicación y confirmando la sentencia absolutoria dictada a favor de ARES CAPITAL.

La AEPD recibió una reclamación contra MODEL REYNA, C.B. por el envío de una comunicación comercial dirigida a numerosos clientes sin utilizar la opción de copia oculta, permitiendo que todos los destinatarios visualizaran las direcciones de correo electrónico del resto. La reclamante aportó copia del mensaje remitido desde una cuenta corporativa con el asunto relativo a la nueva página web de la empresa, en el que figuraban visibles más de un centenar de direcciones de correo electrónico, si bien las actuaciones acreditaron que el número de destinatarios afectados se aproximaba a quinientos.

La reclamación fue trasladada a MODEL REYNA para que informara sobre las medidas adoptadas para adecuar su actuación a la normativa de protección de datos. La entidad no atendió el requerimiento ni presentó alegaciones durante la tramitación del procedimiento, pese a haber sido notificada conforme a los cauces legalmente establecidos.

Durante las actuaciones de investigación se constató que MODEL REYNA trataba datos personales de sus clientes, entre ellos nombres, apellidos y direcciones de correo electrónico, actuando como responsable del tratamiento al determinar los fines y medios del mismo. Asimismo, quedó acreditado que el envío del correo electrónico permitió el acceso de cada destinatario a las direcciones de correo del resto, produciéndose una comunicación no autorizada de datos personales.

La AEPD recordó que el artículo 5.1.f) del RGPD impone a los responsables del tratamiento la obligación de garantizar la integridad y confidencialidad de los datos personales mediante la adopción de medidas técnicas y organizativas apropiadas que eviten accesos, comunicaciones o divulgaciones no autorizadas. Este principio exige preservar la confidencialidad de la información tratada y evitar que terceros accedan a datos que no les conciernen.

De la documentación obrante en el expediente resultó acreditada una pérdida de confidencialidad derivada del envío masivo del correo electrónico sin utilizar mecanismos adecuados de ocultación de destinatarios. La información expuesta consistió en las direcciones de correo electrónico de numerosos clientes, muchas de ellas identificativas de sus titulares al incluir nombre y apellidos. Los hechos fueron considerados constitutivos de una vulneración del principio de integridad y confidencialidad previsto en el artículo 5.1.f) del RGPD, al haberse producido una comunicación no autorizada de datos personales a una pluralidad de destinatarios.

A.A.A. presentó reclamación ante la AEPD tras contratar un sistema de energía solar en régimen de renting con ***EMPRESA.1, entidad que actuaba como proveedor de servicios operativos y administrativos para D.E.A., S.L., propietaria del sistema energético. Tras cancelarse la instalación de los paneles fotovoltaicos, A.A.A. intentó ejercer su derecho de supresión y retirar los consentimientos otorgados mediante el envío de un correo electrónico a la dirección facilitada en el contrato para el ejercicio de derechos de protección de datos. Las condiciones contractuales reconocían expresamente los derechos de acceso, rectificación, supresión, limitación, oposición y portabilidad, indicando una dirección de correo electrónico específica para su ejercicio y para la retirada del consentimiento. Sin embargo, al remitir la solicitud de supresión, A.A.A. recibió un mensaje automático informando de que la dirección no existía o no podía recibir correos electrónicos, lo que impidió la entrega de la solicitud.

La AEPD constató que la dirección de correo utilizada era la misma que figuraba en el contrato como canal habilitado para el ejercicio de derechos y que, pese a ello, resultaba inoperativa. Asimismo, no constó respuesta alguna por parte de D.E.A., S.L. durante la tramitación del procedimiento. La Agencia recordó que el derecho de supresión permite solicitar la eliminación de los datos personales cuando ya no son necesarios para los fines para los que fueron recabados y que el responsable del tratamiento debe facilitar mecanismos efectivos para el ejercicio de los derechos reconocidos en el RGPD, así como responder a las solicitudes en el plazo máximo de un mes o informar motivadamente de las razones que impidan atenderlas. Al haberse proporcionado contractualmente una dirección electrónica inexistente o inutilizable para el ejercicio de derechos, la AEPD consideró acreditado que D.E.A., S.L. había impedido de hecho el ejercicio del derecho de supresión solicitado por A.A.A., al no disponer de un canal válido para la recepción de estas solicitudes. Los hechos fueron calificados como una vulneración de las obligaciones derivadas del RGPD en materia de atención y facilitación del ejercicio de los derechos de los interesados. Asimismo, junto a la sanción impuesta, la Agencia requirió a D.E.A., S.L. para que atendiera la solicitud de supresión formulada por A.A.A. y habilitara una dirección de correo electrónico válida que permitiera a los interesados ejercer los derechos reconocidos en la normativa de protección de datos.

La AEPD había sancionado previamente a KAFFA KOFFEE ORGANISATION, S.L. y le ordenó adoptar, en el plazo de un mes desde la firmeza de la resolución, medidas técnicas y organizativas que evitaran el envío de correos electrónicos a múltiples destinatarios mostrando las direcciones de correo de todos ellos, debiendo acreditar su implantación ante la Agencia. La resolución fue notificada electrónicamente a KAFFA, considerándose rechazada al no acceder a su contenido dentro del plazo legal. Transcurrido el tiempo concedido sin recibir acreditación alguna sobre el cumplimiento de las medidas impuestas, la AEPD efectuó dos nuevos requerimientos para que justificara su adopción. El primero fue recibido por la entidad y el segundo se tuvo por rechazado al no ser atendido dentro del plazo de puesta a disposición. Pese a las reiteradas comunicaciones, KAFFA no remitió respuesta ni documentación que acreditara la ejecución de las medidas correctoras ordenadas. La resolución que imponía dichas obligaciones había adquirido firmeza, al no constar la interposición de recursos administrativos ni la existencia de recurso contencioso-administrativo con solicitud de suspensión cautelar. Ante la falta de cumplimiento, la AEPD inició un nuevo procedimiento sancionador por desatender una orden dictada en ejercicio de sus poderes correctivos. La Agencia consideró acreditado que KAFFA incumplió el mandato de adaptar sus operaciones de tratamiento para evitar la divulgación indebida de direcciones de correo electrónico entre múltiples destinatarios, incumpliendo así una resolución de la AEPD, infringiendo con ello el artículo 58.2 del RGPD.

EXPLOTACIÓN Y TENENCIA DE INMUEBLES HOTELEROS fue objeto de una reclamación remitida por la Guardia Civil tras denunciar una huésped que, dado que tenía una reserva de habitación con dicha entidad, al acceder a las instalaciones de dicha entidad, fue atendido en el bar del establecimiento, donde se realizó el registro de pasajeros, siendo tomada imagen de su documento de identidad por la persona que atendía el bar en el momento de su registro, lo que considera una práctica que pudiera vulnerar la normativa de protección de datos. La gerente del establecimiento manifestó a los agentes actuantes expresamente que “ya ha procedido a borrar las fotografías realizadas”. La AEPD trasladó la reclamación a EXPLOTACIÓN Y TENENCIA DE INMUEBLES HOTELEROS para que informara sobre las actuaciones realizadas, sin obtener respuesta a los distintos requerimientos efectuados por medios electrónicos y postales. Durante las actuaciones previas de investigación se constató la existencia de la denuncia y las manifestaciones recogidas por los agentes actuantes relativas a la supresión de las fotografías obtenidas.

La reclamación se refería a la toma de imágenes del documento identificativo de los huéspedes durante el registro, práctica susceptible de afectar a los principios de minimización de datos y seguridad del tratamiento previstos en el RGPD. No obstante, de la documentación obrante en el expediente resultaba que la entidad había eliminado las fotografías una vez advertida la incidencia.

La AEPD analizó el caso a la luz de la doctrina establecida por el Tribunal de Justicia de la Unión Europea sobre el margen de apreciación de las autoridades de control para decidir la adopción de medidas correctoras. Conforme a dicha doctrina, de forma excepcional puede prescindirse de medidas adicionales cuando la situación haya sido corregida y existan circunstancias que permitan considerar restablecido el cumplimiento de la normativa. A la vista de las circunstancias concurrentes, especialmente la eliminación de las imágenes cuya captura motivó la reclamación, la Agencia acordó el archivo de las actuaciones.

A.A.A. ejercitó el derecho de acceso frente a REPAGALIA, entidad con la que había suscrito un contrato para la gestión y negociación de sus deudas con distintos acreedores. La interesada sostenía que la empresa actuaba en su nombre utilizando sus datos personales y su firma para formalizar acuerdos con terceros, por lo que solicitó en diversas ocasiones copia de los acuerdos alcanzados, el detalle de las operaciones realizadas y la justificación de las cantidades cobradas y abonadas. Según expuso, REPAGALIA se negó a facilitar determinada documentación alegando que se trataba de información confidencial entre empresas. Entre la documentación aportada figuraban correos electrónicos intercambiados entre las partes, en los que la interesada solicitaba acceso a la documentación relacionada con las gestiones realizadas en su nombre, así como varios burofaxes reclamando información sobre comisiones, devoluciones de cantidades y estado de distintas actuaciones vinculadas a la gestión de sus deudas.

Durante la tramitación del procedimiento, REPAGALIA manifestó que no había recibido una solicitud formal de ejercicio de derechos a través de los canales habilitados específicamente para ello. No obstante, reconoció haber respondido a las comunicaciones remitidas por la interesada mediante distintos escritos y burofaxes. La entidad explicó las gestiones realizadas respecto de las deudas incluidas en el contrato, detalló importes adeudados, cantidades abonadas, devoluciones efectuadas y el destino de determinados fondos recibidos de acreedores. Asimismo, indicó que algunos acuerdos con entidades financieras se formalizaban mediante intercambio de ficheros y no mediante contratos escritos, por lo que determinados documentos solicitados no existían materialmente.

En el presente supuesto, la AEPD se centró en determinar si la información reclamada quedaba amparada por el derecho de acceso previsto en el artículo 15 del RGPD. Analizada la documentación obrante en el expediente, se constató que la interesada había delimitado expresamente el alcance de su solicitud a la obtención de información sobre las gestiones realizadas en su nombre, los importes gestionados y los acuerdos alcanzados con acreedores. A la luz de la doctrina del Tribunal de Justicia de la Unión Europea y de las Directrices 01/2022 sobre el derecho de acceso, se recordó que este derecho garantiza el acceso a los datos personales objeto de tratamiento y, cuando resulte necesario, la entrega de copias de documentos que contengan dichos datos. Sin embargo, no constituye un mecanismo general para obtener cualquier documentación relacionada con una relación contractual ni ampara el acceso a información que no contenga datos personales o que no resulte necesaria para comprender el tratamiento realizado.

REPAGALIA había requerido inicialmente documentación acreditativa de la representación de la interesada y posteriormente respondió a sus solicitudes proporcionando información relativa a las deudas gestionadas, los importes implicados, las cantidades abonadas, las devoluciones efectuadas y las actuaciones realizadas respecto de los distintos acreedores. La información facilitada se correspondía con los datos personales objeto de tratamiento vinculados a la gestión contratada, sin que constara la existencia de documentación adicional indispensable para garantizar el ejercicio efectivo del derecho de acceso.

Tras una reclamación admitida a trámite por la AEPD, se iniciaron actuaciones de investigación respecto de AECORP 005, S.L. en el marco del expediente EXP202407344. Durante la fase de investigación, la Agencia remitió diversos requerimientos de información a la entidad para recabar documentación y aclaraciones relacionadas con los hechos investigados. Aunque AECORP atendió algunos de ellos y presentó varias respuestas parciales, la información facilitada motivó la emisión de nuevos requerimientos complementarios. El último requerimiento fue notificado en dos ocasiones y recibido correctamente por AECORP, sin que la entidad aportara respuesta dentro de los plazos concedidos ni antes de la apertura del procedimiento sancionador. La falta de contestación impidió a la AEPD disponer de la información necesaria para el ejercicio de sus funciones de supervisión e investigación, motivando el inició procedimiento sancionador por vulneración del artículo 58.1 del RGPD, por la falta de atención a los requerimientos de información necesaria para el desempeño de sus funciones. Solo una vez se había iniciado el procedimiento, AECORP remitió finalmente la información solicitada y pidió el archivo del expediente. La Agencia incorporó dicha documentación al expediente de origen, si bien consideró que la respuesta tardía no eliminaba la infracción ya consumada, al haberse producido el incumplimiento cuando expiró el plazo otorgado para atender el requerimiento. En este procedimiento se tiene además en consideración que AECORP ya había sido sancionada previamente mediante resolución firme por otra infracción consistente igualmente en el incumplimiento de un requerimiento de información formulado por la AEPD al amparo del artículo 58.1 del RGPD, si bien como atenuante se valoró que AECORP terminara aportando la información durante la instrucción del procedimiento, evitando la necesidad de adoptar medidas correctivas adicionales.

La AEPD inició actuaciones de investigación respecto de SOPRA STERIA ESPAÑA, S.A. por la utilización de un sistema de control de accesos basado en reconocimiento biométrico mediante huella dactilar. Durante la investigación se constató que el sistema se encontraba implantado desde 2012 en distintos centros de trabajo y afectaba aproximadamente a 2.919 empleados, cerca del 70 % de la plantilla. Según manifestó la entidad, su finalidad era garantizar la seguridad de las instalaciones. Las actuaciones revelaron que el tratamiento de datos biométricos se había llevado a cabo sin haber realizado previamente una evaluación de impacto relativa a la protección de datos (EIPD), cuya elaboración no consta hasta 2024. Asimismo, se verificó que la entidad había diseñado un plan para la retirada progresiva del sistema biométrico y su sustitución por un mecanismo alternativo de control de accesos. Posteriormente, SOPRA confirmó a la Agencia que el sistema había sido eliminado de todos sus centros de trabajo y sustituido por otra solución no basada en datos biométricos.

Al analizar el caso, la AEPD tomó en consideración la doctrina establecida por el Tribunal de Justicia de la Unión Europea en su sentencia de 24 de septiembre de 2024 (asunto C-768/21), relativa al margen de apreciación de las autoridades de control para decidir si procede o no adoptar medidas correctivas cuando se ha constatado una infracción del RGPD. Dicha resolución señala que las autoridades de control disponen de facultades para valorar las circunstancias concretas de cada caso y que no existe una obligación automática de imponer medidas correctoras o sanciones cuando la situación infractora ha sido subsanada y se garantiza la adecuación futura del tratamiento a la normativa de protección de datos.

La Agencia destacó que el objetivo de las medidas previstas en el artículo 58 del RGPD es asegurar la conformidad de los tratamientos con la normativa aplicable y corregir situaciones de incumplimiento. En consecuencia, cuando la conducta ha cesado, se han adoptado medidas eficaces para evitar su reiteración y queda garantizado el cumplimiento futuro de las obligaciones derivadas del RGPD, puede resultar proporcionado abstenerse de ejercer los poderes correctivos. A la vista de las circunstancias concurrentes, especialmente la retirada completa del sistema biométrico y su sustitución por un sistema alternativo, la AEPD consideró que no procedía desplegar de forma excepcional los poderes correctivos previstos en el artículo 58 del RGPD, sin perjuicio de las actuaciones de investigación o control que pudieran realizarse en el futuro. Por ello, acordó el archivo de las actuaciones.

La AEPD recibió una reclamación contra TBO WORKING SEGURIDAD, S.L. por la instalación y utilización de un sistema de videovigilancia en un centro de coworking. La reclamante denunció la existencia de cámaras orientadas hacia la vía pública, zonas comunes del edificio, pasillos interiores y áreas próximas a los aseos. Indicó que había sido arrendataria de una oficina en dichas instalaciones y que, durante varios meses, el sistema captó numerosas imágenes de ella y de sus hijos menores de edad. Según expuso, esas grabaciones fueron posteriormente aportadas en un procedimiento judicial de divorcio para acreditar una supuesta actividad laboral. Junto a la reclamación aportó diversa documentación, entre ella resoluciones judiciales, imágenes obtenidas del sistema de videovigilancia, solicitudes de ejercicio de derechos de acceso y supresión, así como las respuestas facilitadas por la entidad. Durante la tramitación del expediente, TBO WORKING SEGURIDAD remitió un dossier relativo a su sistema CCTV y manifestó que las imágenes utilizadas en sede judicial formaban parte de un informe elaborado por detectives privados contratados para realizar un seguimiento de la reclamante. No obstante, la documentación aportada no permitió justificar adecuadamente la captación, conservación y utilización de las imágenes obtenidas por las cámaras instaladas en las instalaciones.

La AEPD recordó que los sistemas de videovigilancia tienen como finalidad principal la protección de personas, bienes e instalaciones y que las imágenes obtenidas únicamente pueden conservarse durante el plazo legalmente previsto, salvo que deban preservarse para acreditar hechos que afecten a la seguridad de personas, bienes o instalaciones y ponerse a disposición de la autoridad competente. Asimismo, destacó la aplicación del principio de minimización de datos, que exige que los tratamientos sean adecuados, pertinentes y limitados a lo necesario para la finalidad perseguida.

Del análisis de la documentación remitida por la entidad se observó la existencia de cámaras interiores cuya ubicación permitía captar imágenes de puestos de trabajo y, en particular, visualizar el monitor de una empleada. También se constató la presencia de una cámara orientada hacia una zona destinada al descanso o esparcimiento de los trabajadores, equipada con mobiliario utilizado para pausas y descanso. La Agencia recordó que la normativa laboral y de protección de datos reconoce el derecho de los trabajadores a la intimidad frente al uso de dispositivos de videovigilancia y prohíbe expresamente la instalación de cámaras en espacios destinados al descanso o esparcimiento, como vestuarios, aseos, comedores y zonas análogas.

Las actuaciones practicadas pusieron de manifiesto indicios de un tratamiento excesivo de datos personales mediante el sistema de videovigilancia, tanto por la captación de imágenes de áreas de trabajo que permitían controlar la actividad de los empleados más allá de lo necesario, como por la instalación de cámaras en espacios destinados al descanso de los trabajadores. Asimismo, no quedó suficientemente justificada la utilización y conservación de las imágenes de la reclamante y de sus familiares ni la finalidad que legitimaría dicho tratamiento más allá de los fines propios de seguridad de las instalaciones.