Imagen generada con IA.
La Agencia Española de Protección de Datos (AEPD) ha dejado claro, en dos resoluciones recientes, que el derecho de acceso del artículo 15 del RGPD no se satisface con cualquier respuesta. Ni el silencio, ni la entrega de expedientes genéricos, ni el envío de datos en bruto e ininteligibles bastan para cumplir con la obligación legal. Dos casos distintos —uno frente a la Administración, otro frente a un operador de telecomunicaciones— ilustran hasta dónde llega ahora el criterio de la Agencia.
Caso 1: la TGSS sancionada por no responder adecuadamente a una solicitud de acceso
El primero de los casos lo protagoniza la Tesorería General de la Seguridad Social (TGSS). Un ciudadano solicitó el 19 de mayo acceso a todos sus datos personales relacionados con sus deudas, los recursos de alzada presentados y la documentación de los pagos afectados por el embargo de cuentas, salarios y saldos. La TGSS respondió que buena parte de lo pedido debía tramitarse por la Ley 39/2015, como acceso al expediente administrativo, y no como derecho de acceso del RGPD.
Ante esta negativa, el ciudadano reclamó ante la AEPD la falta de acción del organismo. La Agencia recuerda que, como responsable del tratamiento, la TGSS tenía la obligación de contestar aunque la petición fuera excesiva, faltara información o existieran dudas sobre su alcance. Y aunque acepta parcialmente que ciertas cuestiones debían tramitarse por el procedimiento administrativo común, eso no eximía de responder: si la solicitud se canalizó expresamente como derecho de acceso a datos personales, el organismo tenía que resolverla conforme al RGPD.
Para reforzar su resolución, la AEPD cita dos sentencias del Tribunal de Justicia de la Unión Europea (asuntos C-487/21 y C-579/21), que confirman una interpretación intensiva del derecho de acceso en Europa: el derecho a obtener una copia implica recibir una reproducción auténtica e inteligible de los datos, y en ciertos casos puede incluir extractos o documentos completos si es necesario para que el interesado ejerza efectivamente sus derechos. La Agencia estima la reclamación y obliga a la TGSS a completar su respuesta en diez días hábiles, advirtiendo de que el incumplimiento «podría constituir una infracción muy grave del RGPD».
Caso 2: un operador de telefonía sancionado por entregar solo códigos de celda ininteligibles
El segundo caso, con una sanción mucho más severa, afecta a un operador de telecomunicaciones al que la AEPD ha impuesto una multa de 100.000 euros tras desestimar sus tres recursos consecutivos. Todo comenzó cuando un usuario denunció que la compañía no le facilitaba el acceso a los datos de geolocalización de su móvil. En enero de 2024 se resolvió que la empresa, en diez días hábiles, debía atender la petición o denegarla de forma motivada, ya que la solicitud «no era excesiva ni infundada».
La compañía interpuso un primer recurso de reposición, que fue desestimado. Iván Vega, consultor senior y delegado de protección de datos en Dataibérica, fue consultado sobre el caso por Aranzadi LA LEY y explicó que «como usuarios asumimos con total normalidad que las corporaciones sepan dónde vivimos, dónde trabajamos… y sabemos que esa información se usa para vender. Pero cuando el ciudadano levanta la mano, los sistemas se cierran en banda, algo que no consiente la AEPD».
Tras la desestimación, el operador respondió al usuario, pero le entregó únicamente los códigos identificadores de las celdas a las que se había conectado su línea, sin ubicación, fecha ni hora. La Agencia consideró esa información insuficiente e ininteligible. Según Vega, «aquí hay que atenerse al artículo 15 en relación con el artículo 12 del RGPD, donde se dicta que el acceso no consiste en el volcado de datos en bruto, como hicieron ellos: dieron códigos, pero no se decía qué antena era ni su ubicación, ni el día ni la hora».
El operador presentó un segundo y después un tercer recurso, insistiendo en que no disponía de la localización de las celdas al no ser operador con red propia, y llegó a alegar que facilitar esa información podía vulnerar la seguridad nacional. La AEPD desmontó el argumento: la compañía había admitido previamente que, como operador móvil virtual, trata los datos de geolocalización de las líneas a las que presta servicio, por lo que «es una premisa errónea considerar que cualquier tipo de respuesta satisface el derecho de acceso». Puede consultarse el análisis completo del caso, con las declaraciones íntegras de Iván Vega, en el artículo publicado por Aranzadi LA LEY.
Qué debe entregar realmente una empresa cuando le piden acceso a los datos
Ambos casos dejan la misma lección de fondo: el derecho de acceso no se satisface con cualquier documento. Ni remitir a una política de privacidad, ni volcar códigos técnicos sin contexto, ni redirigir al interesado a otro procedimiento sirve para cumplir el artículo 15 del RGPD. La respuesta debe ser individualizada, completa y comprensible: el interesado tiene que poder entender qué datos se tratan, con qué finalidad y durante cuánto tiempo, sin necesidad de descifrar códigos internos ni de acudir a otra vía administrativa para completar la información.
La coordinación entre responsable y encargado del tratamiento al responder
El caso del operador de telefonía introduce además un matiz relevante para cualquier empresa que subcontrate parte de su tratamiento de datos: no disponer directamente de la información no exime de responder. La AEPD recuerda que, si el responsable no tiene acceso a determinados datos porque los gestiona un encargado —en este caso, el operador con red propia—, tiene la obligación de solicitárselos, y el encargado la de facilitárselos, conforme a la relación que debe regular el artículo 28 del RGPD. Como resume Iván Vega, «el artículo 28 del RGPD deja esto bien claro». Y añade una reflexión sobre el fondo del derecho ejercido: «la potestad de reclamar la geolocalización empodera al ciudadano, quien, a su vez, no tiene que revelar las causas de su petición. No obstante, pensemos que detrás puede haber una razón importante, como un asunto penal, laboral o de custodia de los hijos, y en ese sentido la geolocalización tiene valor probatorio».
Consecuencias de dar una respuesta vaga, incompleta o silenciar la solicitud
Las consecuencias de no ajustarse a este criterio son cada vez más tangibles. En el caso de la TGSS, la AEPD ha optado por una resolución correctiva que obliga a completar la respuesta en plazo, con la advertencia de que la reincidencia podría calificarse como infracción muy grave. En el del operador de telefonía, la reiteración de una respuesta insuficiente a lo largo de tres recursos consecutivos ha derivado en una multa de 100.000 euros, que la propia Agencia ha calificado de ejemplar. El mensaje que se desprende de ambas resoluciones es claro: entregar «algo» no equivale a cumplir con el derecho de acceso, y cuanto más se prolongue la resistencia a dar una respuesta completa, mayor es el riesgo sancionador. Para cualquier organización, la recomendación es revisar los protocolos internos de atención a los derechos ARSULI antes de que sea la AEPD quien los revise por ellos.
En Dataibérica ayudamos a empresas a diseñar protocolos de respuesta al derecho de acceso que cumplan con el RGPD desde el primer día. Si quieres revisar cómo responde tu empresa a estas solicitudes, contacta con nosotros.
