Manuel del Palacio Socio Director PerseveraGrupo, DPD de CEEES | 10.08.2026
Hoy hablamos del procedimiento sancionador PS-00304/2025 de la Agencia Española de Protección de Datos. https://www.aepd.es/documento/ps-00304-2025.pdf
Todo comenzó con una manguera. Un cliente tuvo un incidente en una estación de servicio y quiso acceder a las imágenes de videovigilancia. Al buscar cómo ejercer su derecho, encontró cámaras, pero también un cartel referido a normativa derogada, sin identificar al responsable del tratamiento y con un único número de teléfono que no le permitió contactar. El asunto terminó ante la Agencia Española de Protección de Datos (AEPD).
La empresa recibió el traslado de la reclamación, aunque no accedió a la notificación electrónica. En su primera respuesta negó que la estación y las cámaras fueran de su propiedad. Sin embargo, la Administración autonómica confirmó que la estación figuraba inscrita a su nombre. Meses después, la entidad reconoció que era responsable de un sistema compuesto por 16 cámaras y sustituyó los carteles.
La corrección llegó, pero llegó tarde. La AEPD consideró infringido el artículo 13 del Reglamento General de Protección de Datos por informar deficientemente sobre la videovigilancia. Propuso una multa de 2.000 euros. Tras reconocer la responsabilidad y realizar el pago voluntario, la empresa obtuvo las reducciones legales y abonó 1.200 euros.
¿Es una sanción pequeña? Puede parecerlo si solo miramos la transferencia bancaria. Pero hay que sumar el tiempo de gestión, la asistencia profesional, la investigación, la exposición pública de la resolución y el riesgo reputacional. Además, que esta multa sea moderada no significa que todas vayan a serlo: las infracciones relacionadas con los derechos de las personas se encuentran entre las que el RGPD sanciona con mayor severidad.
El expediente deja varias enseñanzas prácticas.
Primera: el cartel no es decoración. Debe estar visible antes de entrar en la zona vigilada e indicar, como mínimo, que existe videovigilancia, quién es el responsable y cómo pueden ejercerse los derechos. También debe permitir acceder fácilmente a la información completa, por ejemplo mediante un código QR, una dirección web o un documento disponible en el establecimiento.
Segunda: los canales deben funcionar. No basta con imprimir un correo, un teléfono o un QR. Alguien debe atenderlos, probarlos periódicamente y trasladar cualquier solicitud a quien corresponda. Un buzón que nadie revisa protege tanto como una cámara desconectada.
Tercera: ser o no propietario de la cámara no resuelve quién responde. Lo relevante es quién decide para qué se utilizan las imágenes, quién puede acceder a ellas y quién determina su conservación. En estaciones arrendadas, franquiciadas o gestionadas por distintas sociedades, estas responsabilidades deben estar claramente documentadas.
Cuarta: corregir después de la reclamación es necesario, pero no borra el incumplimiento anterior. La protección de datos no debe revisarse únicamente cuando se enciende el piloto rojo de la AEPD.
En una estación de servicio conviene comprobar los carteles de todos los accesos, los campos de visión, el borrado automático de las grabaciones, los contratos con empresas de seguridad y el procedimiento para atender derechos. Si ocurre un incidente, las imágenes relevantes deben localizarse y preservarse antes de su borrado, sin entregar indiscriminadamente imágenes de otras personas.
¿Sabemos qué empresa es responsable de las cámaras de cada estación? ¿Funcionan realmente el correo y el QR del cartel? ¿Sabría el personal qué hacer si hoy un cliente solicita una grabación? ¿Tenemos pruebas de que todo ello se revisa periódicamente?
Si alguna respuesta genera dudas, es el momento de comprobarlo. Incluso cuando el cumplimiento no se vea por convicción, debe verse por obligación. Y, casi siempre, resulta mucho más barato contar a tiempo con un buen asesoramiento profesional que pagar después una mala sanción.
