Imagen generada con IA.
Once trabajadores, un único usuario y una única contraseña para acceder a las cámaras de seguridad de las oficinas de Unicaja. Así de simple ha sido el fallo que le ha costado a la entidad financiera una sanción de 400.000 euros de la Agencia Española de Protección de Datos (AEPD). El caso no habla de un ciberataque sofisticado ni de un fallo técnico exótico: habla de algo que decenas de empresas en España hacen cada día sin pensarlo dos veces, compartir credenciales de acceso entre varios empleados para ahorrar tiempo, licencias o gestiones.
El caso: acceso a cámaras de oficinas con un usuario compartido, sin trazabilidad
Unicaja contrató en enero de 2023 a Grupo Control Empresa de Seguridad para gestionar su Central Receptora de Alarmas (CRA) y sus funciones de seguridad, entre ellas el tratamiento y la custodia de las grabaciones de videovigilancia de sus oficinas y edificios. Once trabajadores de esa empresa externa quedaron integrados en la operativa de Unicaja para desempeñar estas tareas.
El problema apareció en el detalle: los once accedían al sistema de videovigilancia con el mismo nombre de usuario y la misma contraseña genéricos, en lugar de credenciales individuales. En la práctica, esto hacía imposible determinar, en un momento dado, cuál de los once trabajadores había accedido realmente a una grabación concreta, ni cuándo ni para qué.
La sanción inicial ascendió a 500.000 euros, rebajada a 400.000 euros tras el pago voluntario y el reconocimiento de responsabilidad por parte de la entidad, un mecanismo habitual en los expedientes de la AEPD que premia la colaboración temprana.
Por qué el artículo 32 del RGPD exige logs individuales, no genéricos
La AEPD fundamentó la infracción en el artículo 32 del RGPD, el que regula la seguridad del tratamiento. Esta norma no se limita a exigir que los datos estén «protegidos» en abstracto: obliga al responsable a aplicar medidas técnicas y organizativas adecuadas al riesgo, y entre esas medidas básicas figura la capacidad de saber, en todo momento, quién ha accedido a un dato concreto. Cuando se trata de imágenes de videovigilancia, esa exigencia se vuelve especialmente sensible: cada grabación puede mostrar a empleados, clientes o terceros en situaciones que forman parte de su esfera privada.
La resolución es tajante al respecto: «la falta de trazabilidad intrínseca al usuario genérico es, per se, una medida inadecuada al riesgo, contraviniendo directamente el artículo 32 del RGPD». No hizo falta que se acreditara un uso indebido de las imágenes ni una filtración real: el simple hecho de no poder identificar individualmente a quien accede ya constituye, por sí solo, una medida de seguridad insuficiente.
Un segundo elemento agravó el caso: la externalización del servicio no exime de responsabilidad al responsable del tratamiento. Unicaja seguía siendo la entidad obligada a verificar que las medidas de seguridad se aplicaban realmente, no solo a confiar en que su proveedor lo hiciera. La AEPD constató que existían protocolos sobre el papel, pero que no se seguían en la práctica, y que los trabajadores carecían de instrucciones concretas sobre cómo gestionar las solicitudes de acceso a las imágenes.
El riesgo de los «usuarios genéricos» en cualquier sistema con datos personales
La lógica de este caso no se limita a la videovigilancia bancaria. El mismo problema aparece en cualquier sistema que maneje datos personales y al que accedan varias personas con una sola cuenta: un CRM compartido, un buzón de correo genérico, una carpeta en la nube con una única contraseña, un programa de gestión de pacientes en una clínica o el propio sistema de un TPV. Cuando algo falla —una filtración, un acceso indebido, un dato borrado o alterado por error— no hay forma de atribuir esa acción a una persona concreta.
Compartir credenciales es una práctica muy extendida entre pequeñas empresas y autónomos, casi siempre por ahorrar en licencias («total, somos tres, para qué vamos a pagar tres accesos»). El caso de Unicaja demuestra que, desde el punto de vista del RGPD, ese ahorro puede convertirse en una exposición legal muy superior al coste de dar de alta un usuario individual por cada persona con acceso.
Cómo auditar quién accede realmente a tus sistemas de videovigilancia
Para cualquier negocio con cámaras de seguridad —o con cualquier sistema que trate datos de clientes, pacientes o empleados— conviene hacer una revisión con unos pasos sencillos:
- Comprobar que cada persona con acceso tiene su propio usuario, tanto en el sistema de videovigilancia como en cualquier otra aplicación con datos personales, y eliminar las cuentas genéricas o compartidas que puedan existir.
- Revisar los contratos con proveedores externos de seguridad (que actúan como encargados del tratamiento) para asegurarse de que exigen trazabilidad individual de accesos, no solo la instalación técnica del sistema.
- Solicitar y revisar periódicamente los registros de acceso (logs), no solo tenerlos disponibles en teoría por si algún día se piden.
- Formar al personal sobre para qué se pueden usar las grabaciones y qué está prohibido hacer con ellas, dejando constancia por escrito de esas instrucciones.
- Documentar en el Registro de Actividades de Tratamiento (RAT) quién tiene acceso al sistema de videovigilancia y con qué base legal.
Conclusión
El caso de Unicaja deja una lección aplicable a cualquier empresa, tenga el tamaño que tenga: no basta con tener cámaras bien instaladas y un proveedor de seguridad con contrato en regla. Si varias personas comparten un mismo usuario para acceder a datos personales, la empresa está incumpliendo el RGPD aunque nunca llegue a producirse un mal uso real de esa información. La trazabilidad individual no es un lujo de grandes corporaciones: es una medida de seguridad básica exigible a cualquier tratamiento de datos, por pequeño que sea.
En Dataibérica ayudamos a pymes y autónomos a revisar sus sistemas de videovigilancia y el control de accesos a cualquier herramienta con datos personales, para que la seguridad no se quede solo en el papel. Contacta con nosotros si tu negocio tiene cámaras de seguridad o sistemas con acceso compartido y quieres asegurarte de que cumples el RGPD.
Fuente principal: Confilegal — 400.000 euros de sanción a Unicaja por usar un único usuario genérico para acceder a cámaras de seguridad (05/05/2026).
