El Tribunal de Justicia de la Unión Europea (TJUE) ha dictaminado que toda persona tiene derecho a conocer en qué fecha y por qué motivo se han consultado sus datos personales.
Y destaca que el hecho de que el responsable del tratamiento desarrolle una actividad bancaria no influye en el alcance de ese derecho.
El TJUE se ha pronunciado así en una reciente sentencia sobre el asunto C-579/21, en el que el Tribunal de lo Contencioso-Administrativo de Finlandia Oriental -‘Itä-Suomen hallinto-oikeus’- le había planteado una cuestión prejudicial sobre la interpretación del artículo 15, apartado 1, del Reglamento General de Protección de Datos (RGPD), respecto al tratamiento de datos personales y a la libre circulación de estos datos.
La sentencia, dictada ayer por la Sala Primera, la firman los jueces Alexander Arabadjiev (presidente de la Sala), Peter George Xuereb, Thomas von Danwitz, Andreas Kumin e Ineta Ziemele.
Puede acceder a la resolución pinchando aquí.
EL CASO
A lo largo de 2014, un empleado y, a la vez, cliente de la entidad bancaria finlandesa Pankki S tuvo conocimiento de que sus datos personales habían sido consultados en varias ocasiones por otros miembros del personal del banco, entre el 1 de noviembre y el 31 de diciembre de 2013.
Al albergar dudas sobre la licitud de esas consultas, ese empleado, que entretanto despedido de su puesto en el banco, solicitó a éste en mayo de 2018 que le comunicara la identidad de las personas que habían consultado sus datos, las fechas exactas de las consultas y los fines del tratamiento de dichos datos.
El banco le contestó a finales de agosto, pero se negó a comunicarle la identidad de los trabajadores que habían llevado a cabo las operaciones de consulta, por considerar que esa información constituía datos personales de esos trabajadores.
En cambio, detalló las operaciones de consulta efectuadas por su servicio de auditoría interna, indicando que un cliente del banco del que el solicitante era asesor era acreedor de una persona que tenía el mismo apellido que él.
El banco quiso, por tanto, aclarar si el solicitante y el deudor en cuestión eran la misma persona, y si podía haber existido una relación de conflicto de intereses indebida.
Añadió que la respuesta a esa cuestión exigió el tratamiento de los datos de los que se trataba, precisando que cada miembro del personal del banco que había tratado esos datos había presentado al servicio de auditoría interna una declaración sobre los motivos del tratamiento de datos.
Además, el banco declaró que esas consultas habían permitido descartar cualquier sospecha de conflicto de intereses respecto al solicitante.
Entonces, el afectado acudió a la oficina del supervisor de Protección de Datos de Finlandia para que se ordenara a la entidad bancaria que le transmitiera la información solicitada.
Al ser denegada su solicitud, interpuso un recurso ante el Tribunal de lo Contencioso-Administrativo de Finlandia Oriental.
EL RAZONAMIENTO DEL TJUE
El TJUE aclara que el RGPD debe interpretarse en el sentido de que la información relativa a operaciones de consulta de datos personales de una persona, relativas a las fechas y a los fines de estas operaciones, constituye información que esa persona tiene derecho a obtener del responsable del tratamiento.
En cambio, señala que el RGPD no consagra ese derecho en lo que respecta a la información relativa a la identidad de los empleados que llevaron a cabo esas operaciones de conformidad con las instrucciones del responsable del tratamiento, a menos que esa información sea indispensable para permitir al interesado ejercer los derechos que le confiere ese Reglamento y siempre bajo la condición de que se tengan en cuenta los derechos y libertades de esos empleados.
El TJUE declara que en caso de conflicto entre, por un lado, el ejercicio del derecho de acceso que garantice la eficacia de los derechos reconocidos por el RGPD al interesado y, por otro, los derechos o libertades de otros, debe hacerse una ponderación entre los derechos y libertades en cuestión. Añade que siempre que sea posible, ha de optarse por modalidades que no vulneren esos derechos o esas libertades.
Por último, aclara que el hecho de que el responsable del tratamiento desarrolle una actividad bancaria en el marco de una actividad reglada, y de que la persona cuyos datos personales fueron tratados en su condición de cliente del responsable del tratamiento también fuera empleada de ese responsable no influye, en principio, en el alcance del derecho del que goza esa persona.
