¿El derecho de acceso debe incluir información sobre los consultantes?
Dar una respuesta adecuada y conforme a la norma a las solicitudes de ejercicio de derechos es una cuestión que preocupa a todos los responsables del tratamiento ya que, no responder o hacerlo de manera incompleta, puede tener graves consecuencias.
Quizás el derecho que resulta más complicado tramitar de manera correcta sea el de acceso ya que, según indica el RGPD, “el interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales”. El RGPD no nos da más “pistas” sobre lo que se debe incluir en la respuesta al interesado. El Comité Europeo de Protección de Datos adoptó las Directrices 1/2022, publicadas el 28 de marzo de 2023, que, sin duda, sirven de gran apoyo cuando nos encontramos ante este tipo de solicitudes. No obstante, siempre surgen dudas a la hora de preparar la información a aportar en la respuesta por lo que cualquier dictamen, recomendación, sentencia, informe jurídico, etc… siempre es bienvenido.
Hablemos pues de la sentencia del TJUE, de fecha de 22 de junio de 2023, (asunto C‑579/21). Esta sentencia ha sido dictada en el contexto de un procedimiento iniciado para solicitar la anulación de la decisión del Supervisor Adjunto de Protección de Datos de Finlandia por la que se denegaba la solicitud de un interesado de ordenar a una entidad bancaria que le comunique información relativa a operaciones de consulta de sus datos personales. Es decir, el interesado solicitaba saber que personas habían consultado sus datos personales dentro del banco. Esta sentencia viene a decir que el interesado tiene derecho a conocer la fecha y los fines de la consulta de sus datos personales si ello resulta necesario para ejercer debidamente su derecho de acceso.
En concreto, “si el interesado cree que la información facilitada por el responsable del tratamiento es insuficiente para permitirle disipar las dudas que alberga en cuanto a la licitud del tratamiento de que han sido objeto sus datos personales puede reclamar ante la autoridad de control, quien tendrá la facultad de solicitar al responsable del tratamiento que le facilite cualquier información que requiera para examinar la reclamación del interesado”.
Y en el caso concreto que se analiza, “la información relativa a operaciones de consulta de datos personales de una persona, relativas a las fechas y a los fines de estas operaciones, constituye información que esa persona tiene derecho a obtener del responsable del tratamiento (…)” No obstante, la sentencia matiza que no será proporcionado facilitar la información relativa a la identidad de los empleados que realizaron las operaciones de tratamiento, a menos que ello sea indispensable para permitir al interesado el correcto ejercicio de sus derechos.
Natalia Antón Carabias
Consultor de Helas Consultores
