AEPD sanciona con 150.000 € a un parking por borrar cámaras

Un cliente pide expresamente que no borren unas imágenes. La empresa las borra igual. Ese gesto, aparentemente menor, le acaba de costar 150.000 euros a un aparcamiento de Madrid — y le ha costado al propio cliente la única prueba que tenía para reclamar por los daños de su coche.

La Agencia Española de Protección de Datos ha resuelto un expediente sancionador contra ACVIL Aparcamientos S.L.U., gestora de un aparcamiento en Madrid, por vulnerar simultáneamente el derecho de acceso del artículo 15 RGPD y el derecho a la limitación del tratamiento del artículo 18 RGPD. La resolución, fechada el 15 de julio de 2026, es la sanción más elevada impuesta hasta ahora por la AEPD en materia de videovigilancia y derechos de los interesados, y sienta una doctrina que cualquier responsable de un sistema de cámaras —desde un parking hasta un centro comercial— debería leer con atención antes de que le suceda lo mismo.

Índice

1. Un correo, un silencio de más de un mes y unas imágenes que ya no existían
2. El derecho de acceso no admite condiciones que la ley no puso
3. Pedir que no borren algo también es ejercer un derecho
4. La presencia de terceros en la grabación no es un salvoconducto
5. El esfuerzo desproporcionado hay que demostrarlo, no enunciarlo
6. De 10.000 a 150.000 euros: la escalada sancionadora de la AEPD
7. Qué debe cambiar ya en cualquier parking, centro comercial o entidad con cámaras
8. Lo que la resolución no resuelve
9. Lo que un jurista debería llevarse de este caso
10. Bibliografía

Un correo, un silencio de más de un mes y unas imágenes que ya no existían

Los hechos, según se desprende de la resolución y de la información publicada por Confilegal, empiezan de forma banal. Un cliente estacionó su vehículo en las instalaciones de ACVIL durante varios días. Al recogerlo, encontró daños relevantes: un rayado en el lateral y desperfectos en un faro trasero, sin que nadie del establecimiento le hubiera avisado.

El 23 de febrero de 2024 remitió un correo electrónico al parking solicitando dos cosas al mismo tiempo: acceso a las imágenes de las cámaras de seguridad durante el periodo en que su coche estuvo estacionado, y que esas grabaciones se conservaran de forma cautelar para poder usarlas como prueba en un procedimiento judicial. Ni siquiera pedía la grabación completa: si la privacidad de terceros lo impedía, se conformaba con la matrícula del vehículo que le había golpeado.

La respuesta de ACVIL no llegó hasta el 4 de abril de 2024 —más de un mes después, sin que la empresa hubiera comunicado ninguna ampliación de plazo—, y consistió en exigir que el afectado presentara antes una denuncia policial. Al día siguiente, ante la insistencia del cliente, la empresa fue más lejos: no entregaba grabaciones salvo a la policía o a un juez y, en cualquier caso, las imágenes ya habían caducado y habían sido eliminadas. Dos negativas en 24 horas, una de ellas irreversible.

La AEPD calificó ambas conductas como infracciones graves del artículo 83.5 RGPD e impuso dos sanciones independientes de 75.000 euros cada una —una por cada derecho vulnerado—, lo que arrojaba un total de 150.000 euros. Al acogerse ACVIL a las dos reducciones del 20 % previstas en el artículo 85 LOPDGDD —reconocimiento de responsabilidad y pago voluntario anticipado—, la cuantía final quedó en 90.000 euros. Según Confilegal, la Agencia impuso además a la empresa un plazo de tres meses para implementar nuevas medidas internas que impidan que la situación se repita.

El derecho de acceso no admite condiciones que la ley no puso

El artículo 15 RGPD permite a cualquier persona confirmar si un responsable trata datos que le conciernen y, en tal caso, obtener acceso a ellos. En videovigilancia esto se traduce en algo muy concreto: si las cámaras han grabado a alguien, esa persona tiene derecho a ver esas imágenes, sin que el responsable pueda inventar requisitos adicionales.

Eso es precisamente lo que hizo ACVIL. Su argumento —"no damos grabaciones salvo a la policía o a un juez"— no tiene respaldo alguno en el RGPD ni en la LOPDGDD. La AEPD lo desestimó apoyándose en un principio muy asentado en la doctrina europea: las Directrices 01/2022 sobre los derechos de los interesados, adoptadas por el Comité Europeo de Protección de Datos (EDPB) en su versión final el 28 de marzo de 2023, son claras al señalar que el interesado no está obligado a justificar los motivos de su solicitud de acceso. Mientras se cumplan los requisitos del artículo 15, el propósito que mueve a la persona a pedir sus datos es irrelevante para el responsable del tratamiento.

Aplicado al caso ACVIL, esto significa que da igual que el cliente quisiera las imágenes para un juicio, para reclamar un seguro o por simple curiosidad: el derecho de acceso no es un derecho instrumental supeditado a otros fines, sino un derecho autónomo con contenido propio. Exigir una denuncia previa como condición para entregarlo es, sencillamente, imponer un requisito que la norma no contempla —y que, en este caso concreto, tuvo el efecto añadido de dar tiempo a que las imágenes desaparecieran mientras la empresa planteaba condiciones ilegítimas.

Tampoco ayudó a ACVIL el plazo. El artículo 12.3 RGPD fija un mes para responder a una solicitud de acceso, ampliable dos meses más si la complejidad lo justifica, pero solo si el responsable informa al interesado de esa ampliación dentro del primer mes. ACVIL no hizo ni una cosa ni la otra: respondió tarde y sin explicar por qué.

Pedir que no borren algo también es ejercer un derecho

La segunda pata de la resolución es, para muchos responsables de videovigilancia, menos conocida que la primera: el derecho a la limitación del tratamiento del artículo 18 RGPD. Este derecho permite al interesado pedir que ciertas operaciones —en particular, la supresión de sus datos— se suspendan cuando concurren determinadas causas legales.

La que aquí interesa es la del artículo 18.1.c): procede la limitación cuando el responsable ya no necesita los datos para su propia finalidad, pero el interesado sí los necesita para establecer, ejercer o defender reclamaciones. Es exactamente lo que pidió el cliente de ACVIL el 23 de febrero de 2024: no que se le diera acceso urgente, sino que las imágenes no se destruyeran, porque las iba a necesitar como prueba frente a quien había dañado su coche.

La AEPD entendió que esa petición, por sí sola, activaba el mecanismo del artículo 18.1.c) RGPD, con independencia de que se resolviera antes o después la solicitud de acceso. Y aquí conviene distinguir tres figuras que suelen confundirse en la práctica: el bloqueo (medida de seguridad del artículo 32 RGPD que impide el acceso a los datos, no su conservación), la conservación separada —que es la que materializa el artículo 18: aislar los datos del resto de tratamientos activos sin suprimirlos— y la supresión, que es su eliminación definitiva conforme al artículo 17 RGPD.

ACVIL debió proceder a la conservación separada en cuanto recibió la petición cautelar. En su lugar, dejó que su sistema de borrado automático siguiera su curso. La AEPD fue explícita en un punto que tiene alcance general para cualquier responsable con sistemas de supresión automática: contar con un borrado programado no es incompatible con el RGPD, pero el responsable tiene que disponer de un mecanismo para suspenderlo cuando reciba una solicitud de limitación. No tenerlo no es una casualidad técnica; es, por sí mismo, un incumplimiento del artículo 18.

A esto se suma otro matiz que la resolución también recoge: el artículo 18.3 RGPD obliga al responsable a informar al interesado antes de levantar la limitación. ACVIL no solo no informó de que iba a levantarla —es que ni siquiera reconoció que existiera una solicitud de limitación— y directamente eliminó las imágenes. Ese silencio total agravó la infracción, porque privó al afectado de cualquier oportunidad de acudir, por ejemplo, a la vía judicial para pedir una medida cautelar de conservación de pruebas antes de que fuera demasiado tarde.

La presencia de terceros en la grabación no es un salvoconducto

Uno de los argumentos más repetidos por quienes gestionan sistemas de videovigilancia para negar el acceso es que en las imágenes también aparecen otras personas. ACVIL lo utilizó: alegó que las grabaciones incluían "información de otros muchos usuarios", apoyándose en una lectura extensiva del artículo 15.4 RGPD, que impide que el acceso afecte negativamente a los derechos de terceros.

La AEPD rechazó de forma frontal que esa presencia de terceros justifique, por sí sola, una denegación automática. Y no es la primera vez que lo dice: en la Resolución PD-00042-2023, de 4 de septiembre de 2023, la Agencia ya había estimado la reclamación de un usuario de otro aparcamiento al que se le había negado el acceso con el mismo argumento, señalando que el responsable podía haber protegido a los terceros sin negar el derecho por completo. Y en la Resolución PD-00039-2025 recordó, además, que cualquier limitación al derecho de acceso exige, conforme al artículo 23 RGPD, una medida legislativa expresa que la ampare —algo que en absoluto sucede aquí.

La solución que propone la AEPD no es teórica: técnicas de pixelado, difuminado o enmascaramiento de rostros de terceros, selección de los fotogramas relevantes en lugar de entregar la grabación íntegra, o visualización de las imágenes en las instalaciones del responsable bajo condiciones de confidencialidad. ACVIL no exploró ninguna de estas alternativas. Su negativa fue total, sin ofrecer al cliente ni siquiera la posibilidad de ver las imágenes in situ —lo que la Agencia valoró como un agravante, porque evidenciaba que la empresa no había hecho el más mínimo esfuerzo por conciliar ambos derechos.

Cabe además una precisión que a menudo se pasa por alto: la matrícula del propio vehículo del solicitante es, en sí misma, un dato personal conforme al artículo 4.1 RGPD. La presencia de otras matrículas en la grabación no cambia esa realidad ni justifica negar el acceso a la matrícula de quien la pide.

El "esfuerzo desproporcionado" hay que demostrarlo, no enunciarlo

Durante el procedimiento sancionador, ACVIL introdujo un tercer argumento, más sofisticado que los dos anteriores: atender la solicitud suponía un esfuerzo desproporcionado. El coche había permanecido siete días aparcado, el parking contaba con 16 cámaras, lo que suponía revisar 192 horas de grabación por cámara y un total de 3.072 horas de imágenes con, según la empresa, numerosos vehículos y terceras personas de por medio.

La AEPD rechazó el argumento sin contemplaciones, y el razonamiento merece leerse con detalle porque es aplicable a cualquier empresa que invoque un volumen de datos como excusa. El RGPD no define qué es "esfuerzo desproporcionado", aunque la expresión aparece en el artículo 12.5 como límite a determinadas obligaciones del responsable frente a solicitudes "manifiestamente infundadas o excesivas". La Agencia distinguió con claridad ese concepto del de "esfuerzo desproporcionado" del propio artículo 12: mencionar horas de grabación o número de cámaras no basta. El responsable tiene que acreditar, con elementos objetivos y verificables, que no dispone de herramientas técnicas —búsqueda por matrícula, geolocalización temporal, selección por franjas horarias, funciones que los sistemas de videovigilancia modernos suelen incorporar de serie— capaces de reducir ese esfuerzo a algo razonable.

Y aquí está el matiz que probablemente más pesó en la resolución: nadie le pedía a ACVIL que revisara 3.072 horas. El cliente pedía las imágenes de la zona y el periodo concretos en que estuvo aparcado su coche. Que el sistema tuviera más cámaras de las necesarias, o que la empresa no hubiera implementado herramientas de búsqueda eficientes, no convierte una petición razonable en una carga desproporcionada; es, en todo caso, un problema de diseño organizativo que corresponde al responsable resolver, no una excusa que pueda trasladarle al interesado.

La AEPD fijó además un criterio de calado práctico: la carga de la prueba del esfuerzo desproporcionado recae sobre el responsable, no sobre el afectado. Es el responsable quien tiene que demostrar, con datos concretos, que atender la solicitud excede lo razonable —doctrina que se alinea con las propias Directrices 01/2022 del EDPB, que reclaman una interpretación restrictiva de esta excepción y exigen un análisis concreto de las circunstancias del caso, no una invocación genérica. ACVIL ni siquiera intentó segmentar las grabaciones por fechas o franjas horarias, ni ofreció al cliente colaborar en concretar su petición. Se limitó a una negativa global sin ningún soporte técnico.

Conviene distinguir, por último, el "esfuerzo desproporcionado" —que mira a la carga que soporta el responsable— de la "solicitud excesiva" del artículo 12.5, que atiende a las características de la propia petición del interesado: su carácter repetitivo, su extensión desmedida, su frecuencia abusiva. Nada de eso concurría aquí: una única solicitud, un periodo de tiempo acotado, una finalidad legítima y perfectamente identificable.

De 10.000 a 150.000 euros: la escalada sancionadora de la AEPD

La cuantía de 75.000 euros por infracción no surge de la nada. El artículo 83.2 RGPD obliga a la autoridad de control a graduar la sanción atendiendo a factores como la naturaleza y duración de la infracción, el carácter intencionado o negligente de la conducta, las medidas adoptadas para atenuar el daño o el grado de responsabilidad del infractor. En el caso ACVIL, la AEPD apreció negligencia manifiesta —la empresa no solo dejó pasar el plazo, sino que además destruyó las grabaciones pese a la solicitud expresa de conservación—, una duración de la infracción superior a un mes, y la ausencia total de medidas correctoras o alternativas ofrecidas al afectado durante todo el procedimiento.

El contraste con el precedente más directamente comparable resulta revelador. En febrero de 2023, la AEPD resolvió el expediente de Heron City Valencia Management S.L. (Resolución PS-00368-2022, de 21 de febrero de 2023), en el que un usuario de un centro comercial había solicitado el acceso a las grabaciones de su parking en junio de 2022 y recibió la misma respuesta que después daría ACVIL: acceso reservado a la policía o a personal autorizado con denuncia previa, con el añadido de que las imágenes se autodestruían a los quince días. La AEPD apreció entonces una vulneración del artículo 15 RGPD e impuso una sanción de 10.000 euros.

Quince veces menos que en el caso ACVIL. La diferencia no es solo de escala, es de composición: en Heron City la infracción se limitó al derecho de acceso; en ACVIL concurrieron dos infracciones autónomas —acceso y limitación del tratamiento— porque, además de negar el acceso, la empresa destruyó las pruebas pese a la petición cautelar expresa, algo que en el caso valenciano no llegó a plantearse formalmente. El plazo de respuesta también fue más gravoso en ACVIL. Todo apunta a una progresión sancionadora ascendente de la AEPD en materia de videovigilancia, especialmente cuando concurren agravantes como la destrucción deliberada de evidencia.

Qué debe cambiar ya en cualquier parking, centro comercial o entidad con cámaras

La resolución no se queda en la anécdota de un aparcamiento madrileño. Tiene implicaciones directas para cualquier sector que opere con videovigilancia —centros comerciales, entidades bancarias, instalaciones deportivas, transporte público, edificios de oficinas— y apunta a carencias estructurales que probablemente comparten muchas empresas que hoy no han sido inspeccionadas.

La primera es la ausencia de protocolos internos escritos para gestionar solicitudes de acceso: un canal claro y conocido por los usuarios —incluido en la propia señalización de las cámaras, como recomienda la Guía sobre el uso de videocámaras para seguridad y otras finalidades que la AEPD actualizó en febrero de 2025—, un procedimiento de verificación de identidad que no se convierta en una carga desproporcionada, plazos de respuesta que respeten el mes legal del artículo 12.3, criterios claros para decidir entre anonimización parcial, selección de fotogramas o visualización presencial cuando aparezcan terceros, y un registro de las solicitudes recibidas y las respuestas dadas.

La segunda carencia, más técnica, es la ausencia de mecanismos para suspender el borrado automático cuando llega una solicitud de limitación. Es una práctica extendida establecer plazos fijos de conservación —treinta días es habitual— sin prever qué hacer cuando alguien ejerce su derecho del artículo 18. La propia Guía de Videovigilancia de la AEPD reconoce que la conservación puede prolongarse cuando resulte necesaria para el establecimiento, ejercicio o defensa de reclamaciones, lo que exige diseñar los sistemas de forma que la supresión pueda pausarse: identificar las grabaciones afectadas en el momento en que llega la solicitud, suspender su borrado hasta resolver o hasta que el interesado pueda usarlas, e informar antes de levantar la limitación.

La tercera es, quizá, la más humana: formación del personal que atiende al público. La negativa de ACVIL no fue una decisión meditada de un departamento jurídico; fue la respuesta reflexiva de un empleado sin criterio jurídico claro. Aunque la resolución no se pronuncia expresamente sobre la formación del personal de ACVIL, el propio razonamiento de la Agencia —que califica la conducta como negligente— permite inferir que la falta de procedimientos y de formación operó como agravante en la graduación de la sanción. Cualquier empleado que atienda a un cliente con una cámara detrás debería saber, como mínimo, que la presencia de terceros no autoriza una denegación automática y que una solicitud de conservación cautelar obliga a frenar el borrado, sea cual sea su cargo.

Lo que la resolución no resuelve

Pese a la claridad con la que la AEPD fija estos criterios, el expediente ACVIL deja abiertas varias cuestiones que previsiblemente reaparecerán en futuros pronunciamientos, ya sea de la propia Agencia o del Tribunal de Justicia de la Unión Europea.

La determinación del esfuerzo desproporcionado sigue siendo casuística: la resolución sitúa la carga de la prueba en el responsable, pero no ofrece un baremo objetivo de cuándo un esfuerzo deja de ser razonable. Tampoco hay claridad normativa sobre el nivel de anonimización exigido —¿basta con difuminar un rostro, o hace falta algo más?— ni sobre cuánto tiempo debe mantenerse una grabación en conservación separada una vez recibida una solicitud de limitación: el artículo 18.3 RGPD obliga a informar antes de levantarla, pero no fija un plazo máximo, lo que deja a los responsables sin una referencia clara de hasta cuándo conservar. Y la resolución se centra en la conducta del responsable, sin entrar en el reparto de responsabilidades cuando el sistema de videovigilancia lo gestiona un encargado del tratamiento externo —una situación cada vez más habitual en el sector.

Lo que un jurista debería llevarse de este caso

• El derecho de acceso del artículo 15 RGPD no puede condicionarse a requisitos que la norma no contempla; exigir una denuncia previa es, sin más, una vulneración.
• Pedir que no se borren unas imágenes es, por sí solo, ejercicio del derecho a la limitación del artículo 18.1.c) RGPD, y activa la obligación de conservación separada al margen de cómo se resuelva la solicitud de acceso.
• La presencia de datos de terceros en una grabación obliga a explorar anonimización o visualización presencial; nunca justifica, por sí sola, una negativa total.
• El "esfuerzo desproporcionado" hay que probarlo con datos técnicos concretos, no invocarlo mencionando horas de grabación o número de cámaras. La carga de la prueba es del responsable.
• Contar con un sistema de borrado automático no exime de tener un mecanismo para suspenderlo cuando llega una solicitud de limitación; no tenerlo es, en sí mismo, un incumplimiento del artículo 18.
• La progresión sancionadora de la AEPD en videovigilancia es ascendente: de los 10.000 euros de Heron City en 2023 a los 150.000 de ACVIL en 2026 hay un salto que refleja un endurecimiento de criterio, especialmente cuando se combina la negación del acceso con la destrucción de la prueba.

El caso ACVIL no cierra el debate sobre los límites de la videovigilancia empresarial; lo reabre con una cuantía que, esta vez, sí ha conseguido que el sector le preste atención.

Bibliografía

Normativa

1. Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD). DOUE L 119, de 4.5.2016, pp. 1-88.
2. Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD). BOE núm. 294, de 6 de diciembre de 2018, pp. 119788-119857.
3. Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de videovigilancia.

Jurisprudencia y resoluciones administrativas

4. Agencia Española de Protección de Datos, resolución sancionadora contra ACVIL Aparcamientos S.L.U., de 15 de julio de 2026 (expediente identificado por fuentes periodísticas como EXP202500616/PS-00159-2025). Nota de transparencia editorial: por la fecha tan reciente de la resolución, este número de expediente no ha podido confirmarse de forma independiente contra el buscador público de la AEPD, que aún no lo tiene indexado. Los hechos y cuantías de este artículo se fundamentan en la cobertura periodística citada en el apartado de doctrina y prensa, no en una lectura directa del documento.
5. Agencia Española de Protección de Datos, Resolución PS-00368-2022, relativa a Heron City Valencia Management S.L., de 21 de febrero de 2023.
6. Agencia Española de Protección de Datos, Resolución PD-00042-2023, de 4 de septiembre de 2023.
7. Agencia Española de Protección de Datos, Resolución PD-00039-2025, de 9 de julio de 2025, relativa a VLC Parkings.

Documentos institucionales

8. European Data Protection Board (EDPB), Guidelines 01/2022 on data subject rights – Right of access, versión 2.0, adoptadas el 28 de marzo de 2023.
9. Agencia Española de Protección de Datos, Guía sobre el uso de videocámaras para seguridad y otras finalidades, febrero de 2025.

Doctrina y prensa especializada

10. Hermida, B., "Un parking, sancionado con 150.000€ por negarse a dar las imágenes a un cliente después que le rayaran el coche", Confilegal, 19 de julio de 2026.
11. "Menudo viaje: la AEPD sanciona con 150.000 euros por borrar las cámaras de un parking cuando un coche resultó dañado", Merca2, 19 de julio de 2026.
12. "¿Se puede exigir a un parking las imágenes si dañan tu coche? La multa de 150.000 euros en Madrid que sienta precedente", Gacetín Madrid, 15 de julio de 2026.
13. "La AEPD sanciona a un parking por no facilitar imágenes solicitadas por un cliente", Adara Legal, 17 de julio de 2026.
14. Illán Paños, J., "La AEPD ha sancionado a un parking con 150.000 euros por negar el acceso a las imágenes del sistema de videovigilancia del aparcamiento a un cliente que encontró su vehículo dañado", 17 de julio de 2026.
15. "Protección de Datos multa con 10.000 euros a Heron City de Valencia por negar el acceso a imágenes captadas en un parking", Confilegal, 28 de febrero de 2023.