La Agencia Española de Protección de Datos (AEPD) ha publicado la resolución del procedimiento sancionador PS/00107/2025 contra LÁSER METALPRINT 3D, S.L. (METALPRINT), tras una reclamación presentada por un trabajador de la empresa sobre el sistema de videovigilancia instalado en sus instalaciones de Torrejón de la Calzada (Madrid)[1].

¿Qué ocurrió?

Un empleado denunció ante la AEPD la existencia de cámaras de videovigilancia que, según alegaba, podían captar sonido y estaban orientadas hacia zonas de descanso de los trabajadores y la vía pública, sin que se hubiera informado adecuadamente a los empleados sobre ello. METALPRINT aportó documentación sobre el sistema de videovigilancia, cartas informativas a los empleados y contratos relacionados con la prestación de servicios de seguridad, aunque no pudo acreditar que existiera un contrato de encargo de tratamiento conforme a lo exigido por el artículo 28 del Reglamento General de Protección de Datos (RGPD)[1].

¿Cuál fue la infracción detectada?

La AEPD determinó que METALPRINT, como responsable del tratamiento de los datos captados por las cámaras, no había formalizado un contrato de encargo de tratamiento con la empresa encargada de la gestión de la videovigilancia, tal y como exige el artículo 28 del RGPD. Este contrato es obligatorio y debe recoger, entre otros aspectos, las obligaciones y derechos de ambas partes, las medidas de seguridad, la finalidad y duración del tratamiento, y la confidencialidad de los datos[1].

La ausencia de este contrato supone una infracción grave, tipificada en el artículo 83.4 del RGPD y el artículo 73.k) de la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD), que puede conllevar sanciones administrativas de hasta 10 millones de euros o el 2% del volumen de negocio anual de la empresa[1].

Sanción y reducción por reconocimiento de responsabilidad

Inicialmente, la AEPD propuso una sanción de 10.000 euros. Sin embargo, METALPRINT reconoció su responsabilidad y realizó el pago voluntario de la sanción, acogiéndose a las reducciones previstas en la Ley 39/2015, de Procedimiento Administrativo Común. Gracias a esto, la sanción final se redujo a 6.000 euros[1].

Además de la multa, la AEPD ordenó a METALPRINT que, en el plazo de 30 días desde la firmeza de la resolución, acreditara la formalización del contrato de encargo de tratamiento conforme a lo dispuesto en el RGPD[1].

Claves de la resolución

• La imagen captada por cámaras es un dato personal: Su tratamiento está sujeto al RGPD.
• El contrato de encargo de tratamiento es obligatorio: Cuando una empresa contrata a otra para gestionar datos personales (por ejemplo, imágenes de videovigilancia), debe formalizarse un contrato específico que recoja las obligaciones de ambas partes.
• La falta de contrato supone una infracción grave: Puede acarrear sanciones económicas importantes y la obligación de adoptar medidas correctivas.
• Reconocimiento de responsabilidad y pago voluntario: Permite reducir la cuantía de la sanción, pero no exime de cumplir con las obligaciones legales pendientes.

La ausencia de un contrato adecuado no solo expone a las empresas a sanciones económicas, sino que también pone en riesgo los derechos y libertades de las personas cuyos datos son tratados

—[1] Resolución de la AEPD PS/00107/2025, publicada el 3 de mayo de 2025.