La Agencia Española de Protección de Datos ha estimado la reclamación presentada por un ciudadano frente a Mercadona, S.A. por falta de atención adecuada del derecho de acceso del artículo 15 del RGPD en relación con grabaciones de videovigilancia de un aparcamiento.
Los hechos
El reclamante solicitó en mayo de 2025 al Delegado de Protección de Datos de Mercadona el acceso a las grabaciones de la entrada de su vehículo en un establecimiento de Alicante. Aportó su documento de identidad y la documentación acreditativa de la titularidad del vehículo.
Mercadona respondió diez días después comunicándole únicamente que había procedido al bloqueo de las imágenes, sin facilitarle el acceso ni ofrecer explicación adicional.
Tras la presentación de reclamación ante la AEPD y el traslado a la empresa, Mercadona envió una segunda comunicación en octubre de 2025 en la que, además de reiterar el bloqueo, denegaba el acceso alegando la presencia de terceros en las grabaciones. Posteriormente, en febrero de 2026, remitió una tercera comunicación donde facilitaba la hora de entrada y salida del vehículo y afirmaba que las cámaras solo captan matrículas, sin producirse tratamiento de imágenes de personas físicas identificadas o identificables.
El reclamante alegó que había ofrecido expresamente su consentimiento al pixelado o enmascaramiento de datos de terceros y que Mercadona había omitido en sus escritos ante la AEPD los correos en los que él reiteraba el ejercicio del derecho e insistía en la entrega efectiva de las imágenes.
La resolución de la AEPD
La Agencia constata que ninguna de las tres respuestas ofrecidas por Mercadona constituye un cumplimiento adecuado del deber de contestación al derecho de acceso, ni formal ni materialmente, y señala varias cuestiones relevantes:
Sobre el bloqueo de datos y derecho de acceso, la resolución recuerda que el bloqueo previsto en el artículo 32 de la LOPDGDD es una medida de conservación que no elimina ni sustituye el derecho del interesado a acceder a sus datos. Cita en apoyo de esta interpretación la Sentencia de la Audiencia Nacional de 13 de febrero de 2025 (rec. 2255/2021), que confirma que el titular debe poder acceder a sus datos aunque se encuentren bloqueados.
Sobre la presencia de terceros como motivo de denegación, la AEPD subraya que la aparición de terceros en las grabaciones no es motivo suficiente para denegar el acceso. El responsable debe aplicar medidas técnicas como el pixelado o difuminado de los datos de terceros, o incluso permitir el visionado presencial sin facilitar copia si la edición no resulta técnicamente viable. Invoca a este respecto las Directrices 01/2022 del Comité Europeo de Protección de Datos sobre el derecho de acceso, que establecen un proceso de ponderación en tres fases: evaluar si la entrega afecta derechos de terceros, intentar conciliar los derechos en conflicto mediante medidas de mitigación, y solo en último término decidir cuál prevalece.
Sobre las contradicciones en la posición de Mercadona, la resolución pone de relieve la incongruencia entre afirmar, por un lado, que las cámaras solo captan matrículas sin tratar imágenes de personas físicas y, por otro, denegar el acceso invocando la presencia de terceros en las grabaciones. La AEPD añade que, incluso en el supuesto de que no existiera tratamiento de datos personales, una respuesta adecuada al derecho de acceso exigiría confirmar expresamente esta circunstancia al interesado, lo que tampoco se hizo de forma clara.
Sobre los componentes del derecho de acceso, la resolución recuerda que el artículo 15 del RGPD contempla tres componentes: la confirmación de si se tratan o no datos del solicitante, el acceso a dichos datos en caso afirmativo, y la información sobre el tratamiento conforme a los apartados 1 y 2 del precepto. Ninguno de estos elementos se encontraba presente de manera adecuada en las respuestas de Mercadona.
Fallo
La AEPD estima la reclamación por infracción del artículo 15 del RGPD e insta a Mercadona a remitir al reclamante, en el plazo de diez días hábiles, una certificación en la que atienda el derecho de acceso o lo deniegue motivadamente conforme a lo establecido en la resolución, debiendo comunicar las actuaciones realizadas a la Agencia en idéntico plazo. Se advierte de que el incumplimiento de la resolución podría constituir infracción del artículo 83.6 del RGPD, calificada como muy grave conforme al artículo 72.1.m) de la LOPDGDD.
La resolución, firmada por el Presidente de la AEPD pone fin a la vía administrativa y es susceptible de recurso potestativo de reposición o recurso contencioso-administrativo ante la Audiencia Nacional.