La Agencia Española de Protección de Datos (AEPD) ha dado un nuevo tirón de orejas a la Tesorería General de la Seguridad Social (TGSS) por incumplir el derecho de acceso de un ciudadano, recordando que entregar expedientes y remitir al Registro de Actividades de Tratamiento no basta para satisfacer el artículo 15 del Reglamento General de Protección de Datos.
La resolución refuerza la doctrina europea que exige una respuesta individualizada, completa y en plazo sobre el tratamiento de los datos personales.
El origen de los hechos
Un ciudadano solicitó el 19 de mayo a la TGSS el acceso a todos sus datos personales relativos a sus deudas, los recursos de alzada y documentación de los pagos afectados mediante embargo de cuentas, salarios y saldos.
Sin embargo, este organismo defendió que buena parte de lo solicitado debía tramitarse por la Ley 39/2015, sobre el procedimiento administrativo común, como acceso al expediente administrativo y no como derecho de acceso al RGPD.
Ante este negativa, el ciudadano reclamó ante la AEPD la falta de acción del organismo, que impedía que pudiese disfrutar de su derecho de acceso a la información.
Según el artículo 58.2 del RGPD, la AEPD será la encargada de aplicar una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye «ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del RGPD».
El reproche de la AEPD
En este caso, la AEPD subraya que como responsable del tratamiento tiene la obligación de contestar aunque la petición esa excesiva, falte información o existan dudas del alcance de la solicitud.
Y aunque la Agencia acepta parcialmente que ciertas cuestiones debían ser tramitadas por el procedimiento administrativo común, ello no le exime de responder. Además, insiste en que si la solicitud se canalizó expresamente como derecho de acceso a datos personales, el organismo tenía que resolverla formalmente conforme al RGPD pues es el responsable del tratamiento.
Sobre el argumento de que su petición se debía tratar a través de la Ley 39/2015, la autoridad acepta parcialmente esa defensa, pero introduce un matiz importante: si se hubiese tramitado por la Administración, esta tendría que haber respondido informando de todos los datos personales solicitados.
Igualmente, considera que si la solicitud se canalizó expresamente como «derecho de acceso a datos personales», el organismo tenía que resolverla conforme al RGPD.
Por último, para dotar de más fuerza su resolución, la AEPD cita dos sentencias muy relevante del Tribunal de Justicia de la Unión Europea (TJUE): asunto C-487/21 y asunto C-579/21 porque ambas resoluciones son la expresión de la interpretación intensiva que está teniendo el derecho de acceso en Europa.
Según el tribunal de Estrasburgo, el derecho a a obtener una copia implica recibir una reproducción auténtica e inteligible de los datos personales. Además, en cierto casos puede incluir extractos de documentos o incluso documentos completos si es necesario para que el interesado pueda ejercer efectivamente sus derechos.
Por todo ello, la AEPD estima así la reclamación y obliga a la TGSS a completar, en el plazo de diez días hábiles, la respuesta ofrecida al ciudadano, advirtiendo de que el incumplimiento de la resolución podría constituir una infracción muy grave del RGPD.
La resolución deja una reflexión especialmente relevante para las Administraciones: cumplir con el derecho de acceso no consiste simplemente en poner documentos a disposición del ciudadano ni en remitirle a una política de privacidad o a un Registro de Actividades de Tratamiento.
El artículo del RGPD exige una respuesta individualizada, completa e incomprensible sobre qué datos se tratan y cómo se tratan.
