El Tribunal de Justicia de la Unión Europea (TJUE) ha dictaminado que toda persona tiene derecho a saber a quién se han comunicado sus datos personales.
Señala que el responsable del tratamiento podrá limitarse a indicar las categorías de destinatarios si no resulta posible identificarlos o si la solicitud es manifiestamente infundada o excesiva.
El TJUE se ha pronunciado así en una sentencia dictada hoy del asunto C-154/21.
Un ciudadano solicitó a Österreichische Post, el principal operador de servicios postales y logísticos de Austria, que le facilitara la identidad de los destinatarios a los que había comunicado sus datos personales.
Para ello se basó en el Reglamento General de Protección de Datos de la Unión Europea (RGPD). Dicho Reglamento establece que el interesado tiene derecho a obtener del responsable del tratamiento información sobre los destinatarios o las categorías de destinatarios a los que hayan sido o vayan a ser comunicados sus datos personales.
En respuesta a esta solicitud, Österreichische Post se limitó a señalar que utilizaba los datos, dentro de los límites legales, en el ejercicio de su actividad como editorial de guías telefónicas y que ofrecía estos datos personales a clientes comerciales con fines de marketing.
El ciudadano demandó entonces a Österreichische Post ante los tribunales austriacos.
Durante el procedimiento judicial, Österreichische Post informó, además, al ciudadano de que sus datos personales habían sido transmitidos a clientes, entre los que se encontraban anunciantes del sector de la venta por correspondencia y del comercio físico, empresas informáticas, editores de directorios y asociaciones como organizaciones caritativas, organizaciones no gubernamentales (ONG) o partidos políticos.
El Tribunal Supremo de lo Civil y Penal de Austria (‘Oberster Gerichtshof’), que conoce del asunto en última instancia, planteó una cuestión prejudicial para que el TJUE aclarara si el RGPD concede al responsable del tratamiento la libertad de elegir si comunica la identidad concreta de los destinatarios o solo las categorías de destinatarios, o si ofrece al interesado el derecho a conocer su identidad concreta.
«¿Debe interpretarse el artículo 15, apartado 1, letra c), del Reglamento (UE) 2016/679 en el sentido de que, en el caso de comunicaciones previstas respecto a las que aún no se hayan determinado los destinatarios concretos, el derecho de acceso se limita a la información sobre las categorías de destinatarios, mientras que, en el caso de que los datos ya hayan sido comunicados, el derecho de acceso debe extenderse necesariamente también a la información sobre los destinatarios de esas comunicaciones?», planteó.
En su sentencia, el TJUE responde que, en el supuesto de que esos datos hayan sido o vayan a ser comunicados a destinatarios, el responsable del tratamiento está obligado a facilitar al interesado, cuando lo solicite, la identidad de esos destinatarios.
Declara que solo cuando no sea posible identificar a esos destinatarios, puede aquel limitarse a indicar únicamente las categorías de destinatarios de que se trate.
Lo mismo sucede, añade, cuando el responsable demuestre que la solicitud es manifiestamente infundada o excesiva.
El TJUE subraya que este derecho de acceso del interesado es necesario para permitirle ejercer otros derechos reconocidos por el RGDP, esto es, el derecho de rectificación, el derecho de supresión («derecho al olvido»), el derecho a la limitación del tratamiento, el derecho de oposición al tratamiento, así como el derecho a recurrir por los daños sufridos.
