En este caso, analizamos el derecho de acceso que tienen los interesados a solicitar información relativa a aspectos relacionados con el tratamiento de sus datos.
Concretamente, analizaremos la problemática planteada a partir de la redacción del artículo del RGPD que regula el derecho de acceso a información por parte del interesado, sobre la información relativa a la identidad de los destinatarios o la categoría de destinatarios de sus datos personales.
¿SE DEBE LIMITAR EL ACCESO A LA INFORMACIÓN RELATIVA A LOS DESTINATARIOS DE LOS DATOS?
El pasado 9 de junio de 2022, se presentaron las conclusiones del Abogado General del Tribunal de Justicia de la Unión Europea (TJUE) sobre esta cuestión prejudicial planteada por el Tribunal Supremo de lo Civil y Penal de Austria.
Para analizar esto, resulta necesario partir de lo establecido en el artículo 15.c) del Reglamento General de Protección de Datos (RGPD), en el que se establece que, entre otros aspectos, el ejercitante tiene el derecho de acceder/conocer “los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros u organizaciones internacionales”.
En este contexto, para analizar la cuestión planteada respecto al acceso a información de terceros (identidad de los destinatarios o categoría de los destinatarios), partimos de lo establecido en el RGPD y de la diferenciación planteada por el órgano judicial austriaco.
¿EN QUÉ CONSISTE ESTA DIFERENCIACIÓN?
- Cuando se trate de comunicaciones ya efectuadas.
- Cuando se trata de comunicaciones no efectuadas o en las que todavía no han sido definidos los destinatarios.
- Cuando se trate de comunicaciones ya efectuadas.
En este primer caso que nos ocupa, vamos a comenzar diferenciando a quien corresponde la respuesta sobre si el acceso debe ser a la identidad concreta del destinatario o bien, a la categoría de destinatarios. Entendiendo los órganos jurisdiccionales de primera instancia y apelación austríacos que, corresponde al responsable del tratamiento decidir sobre el tipo de acceso a esta información.
Ante esta consideración, el Abogado General del TJUE, incide en la importancia de tener en cuenta en todo momento el contexto y los objetivos de la norma, considerando que, en este caso concreto, no solo hay que examinar lo establecido en el RGPD, sino el derecho de toda persona a acceder a los datos que le conciernen (artículo 8.2. Carta de los Derechos Fundamentales).
Asimismo, el Abogado General, entiende que el alcance de la información corresponde en todo caso al interesado y no al responsable del tratamiento. No siendo posible que la decisión de facilitar dicha información corresponda al responsable del tratamiento, si tenemos en cuenta lo establecido en el considerando 63 del RGPD: Los interesados deben tener derecho a acceder a los datos personales recogidos que le conciernan y a ejercer dicho derecho con facilidad y a intervalos razonables, con el fin de conocer y verificar la licitud del tratamiento…”
Partiendo de la verificación de la licitud, el Abogado General entiende que el hecho de conocer únicamente la categoría de destinatarios imposibilitaría verificar correctamente la licitud de las comunicaciones de datos ya efectuadas.
Así las cosas, otro de los motivos que expone el Abogado General sobre el alcance de facilitar al interesado la información correspondiente a los destinatarios sería lo establecido en el artículo 19 RGPD, que impone a los responsables del tratamiento la obligación de comunicar a los destinatarios de datos personales los ejercicios de derechos, con el fin de eximir a los interesados de que tengan que ser ellos los que ejerciten los derechos ante cada destinatario que haya podido acceder a sus datos personales.
Si seguimos lo comentado con anterioridad, se llega a la conclusión de que cuando sea posible, el interesado debe tener la posibilidad de verificar que se ha llevado a cabo su solicitud de ejercicio de derechos y para ello, resulta necesario verificar la identidad de los destinatarios.
Cuando se trata de comunicaciones no efectuadas o los destinatarios no están definidos.
Partiendo del análisis anterior, en este caso, el Abogado General del TJUE no se extiende en sus argumentaciones, simplemente establece dos excepciones en la obligación de informar sobre la identidad concreta de los destinatarios:
- Cuando la solicitud del interesado en conocer la identidad concreta de los interesados resulte “infundada o excesiva”, es decir, cuando resulte contraria a los principios de equidad y proporcionalidad, y el hecho de conocer la identidad de cada interesado sea contraria a lo establecido en los principios de la normativa de Protección de Datos.
- Por otro lado, cuando sea materialmente imposible o resulte de gran dificultad informar sobre la identidad de los destinatarios de los datos, por ejemplo, en aquellos casos en los que todavía no se haya efectuado la comunicación a los destinatarios y por ende, no se puedan identificar de manera concreta.
CONCLUSIONES
Tras analizar la sentencia, llegamos a la conclusión de que, si un interesado ejercita su derecho de acceso, el responsable tiene la obligación de darle la facilidad de conocer la identidad concreta de los destinatarios a los que se han comunicado sus datos (siempre que dicha comunicación se haya producido). Además, en el caso de que el interesado solicite de manera expresa acceder a la identidad de los destinatarios, el responsable no podrá negarse a facilitar esa información, salvo en las excepciones previstas en el apartado anterior y salvo que la comunicación a los destinatarios todavía no se haya efectuado y como consecuencia, no sea posible conocer la identidad de los destinatarios. En este último caso, el interesado únicamente tendrá derecho a conocer, de manera general, la categoría de interesados a los que se pretende comunicar sus datos.
Desde Legitec, ofrecemos a nuestros clientes asesoramiento jurídico en materia de Protección de Datos, así como información relativa a los diferentes ejercicios de derechos que como interesado puede iniciar, para favorecer el correcto tratamiento de sus datos personales, así como información relativa a los mismos.
