| Resolución | PS-00441-2024 |
| Firmado | 2026-02-16T00:00:00Z |
| Enlace | 📋 |
**Resumen de la decisión:**
**Denuncia o reclamo:**
La Agencia inició un procedimiento sancionador contra *Unicaja Banco, S.A.U.* por una posible vulneración del **artículo 32 del RGPD** (seguridad del tratamiento), relativo a la gestión del sistema de videovigilancia. Se imputó una falta de medidas técnicas y organizativas adecuadas para garantizar la seguridad de los datos personales (imágenes de clientes, empleados, proveedores) capturados y gestionados a través de una **Central Receptora de Alarmas (CRA)** externalizada a *Grupo Control*, entidad vinculada al grupo *Unicaja*. La denuncia detallaba que el sistema de videovigilancia presentaba graves deficiencias de seguridad, como:
– **Uso de un único usuario genérico** (no nominativo) para acceder a las grabaciones, utilizado por 11 empleados de *Grupo Control*, lo que imposibilitaba la trazabilidad individual de accesos.
– **Ausencia de segmentación de perfiles** y de registros individualizados de quién accedió a las imágenes, cuándo y con qué fines (solo se registraba la IP del equipo).
– **Incumplimiento de lo pactado contractualmente**: los acuerdos entre *Unicaja* y *Grupo Control* exigían usuarios nominativos, confidencialidad y obligaciones de auditoría, pero no se verificó su aplicación real.
– **Riesgo para derechos y libertades**: la videovigilancia bancaria masiva (8.885 cámaras conectadas) implicaba un tratamiento de datos de alto riesgo, donde la falta de controles adecuados (trazabilidad, autenticación, segmentación) facilitaba accesos no autorizados, filtraciones o usos indebidos.
—
**Sanción impuesta y su justificación:**
La autoridad de control consideró que *Unicaja* (como responsable del tratamiento) **no adoptó medidas técnicas y organizativas apropiadas al riesgo**, violando así el **artículo 32 del RGPD**. La sanción se fundamentó en:
1. **Gravedad de la infracción**:
– Afectaba a datos sensibles (imágenes de clientes, empleados, terceros) y a un sistema de videovigilancia masivo en una entidad financiera.
– El estándar de diligencia exigido