Esta materia (protección de datos) obliga a estar atentos a los pronunciamiento del Tribunal de Justicia de la Unión Europea (TJUE).
Recientemente, el referido tribunal se ha pronunciado sobre el derecho de acceso en la sentencia que resuelve el asunto C-579/21 para aclararnos que toda persona tiene derecho a conocer en qué fecha y por qué motivo se han consultado sus datos personales, si bien caben matices:
- En los términos del considerando 63 y del artículo 15.1 del RGPD, los interesados tienen derecho a que se le comuniquen, en particular, los fines para los que se tratan sus datos personales, sus destinatarios, el plazo de conservación y la lógica implícita en el tratamiento.
- En los términos del artículo 15.3 del RGPD, el responsable del tratamiento «facilitará una copia de los datos personales objeto de tratamiento». A este respecto, el TJUE ya ha declarado que el concepto de «copia» implica «la reproducción o transcripción íntegra y auténtica de un original». Una descripción general de los datos objeto de tratamiento o una remisión a las categorías de datos personales no se correspondería con esta definición. La copia deberá contener todos los datos personales objeto de tratamiento y presentará todas las características que permitan al interesado ejercer efectivamente sus derechos y, por consiguiente, reproducirá de forma íntegra y auténtica esos datos (STJUE 04/05/2023, asunto C‑487/21).
Para garantizar que la información sea fácil de entender, como exige el artículo 12.1 del RGPD, la reproducción de extractos de documentos, o incluso de documentos enteros, o de extractos de bases de datos, que contengan, entre otros, los datos personales objeto de tratamiento puede resultar necesaria para garantizar su inteligibilidad (STJUE 04/05/2023, asunto C‑487/21).
-
Los archivos del responsable del tratamiento pueden contener información sobre la identidad de aquellas personas que llevaron a cabo las operaciones de consulta, generalmente empleados sujetos al régimen de subordinación.
El artículo 15.1.c) del RGPD dispone que el interesado tiene derecho a obtener del responsable del tratamiento la información relativa a los destinatarios o a las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, pues bien, los empleados del responsable del tratamiento no se consideran «destinatarios».
- Respecto a la obligación de informar sobre la identidad de los empleados que accedieron a la información del interesado, por orden del responsable del tratamiento, decir que no hay tal obligación, salvo que esa información sea indispensable para permitir al interesado ejercer efectivamente los derechos que le confiere el RGPD y no se vulneren los derechos y libertades de los empleados.
Conclusión
Siempre que se ejercita por un interesado el derecho de acceso surge el temor a quedarse cortos en la información facilitada o a excederse y perjudicar a terceros. Esta sentencia viene a aclarar muchas de esas dudas.
Más información
