PD-00011-2026

1/13  Expediente N.º: EXP202519426 (PD/00011/2026) RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 22 de septiembre de 2025 ante esta Agencia Española de Protección de Datos, (en lo sucesivo, AEPD) y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: A.A.A. (en lo sucesivo, la parte reclamante) ejerció el derecho de acceso frente a MEDIA MARKT SATURN, S.A., con CIF A82037292 (en lo sucesivo, MediaMarkt o la parte reclamada). La parte reclamante manifiesta en su reclamación que dirigió diversas comunicaciones a la parte reclamada solicitando el acceso a los datos personales relativos al concepto de la compra, la identificación del artículo o artículos adquiridos y el extracto o detalle del movimiento asociado, correspondientes a una operación de fecha ***FECHA.1, por importe de (…) €, realizada en el establecimiento identificado como “MEDIAMARKT (…)” y manifiesta haber aportado la documentación que le fue requerida para la verificación de su identidad. Indica que, en respuesta a dichas solicitudes, la parte reclamada comunicó que la información había sido trasladada al departamento de fraudes de la entidad financiera, indicando que no facilitaría el tipo de información solicitada y que la misma únicamente se proporcionaría a las autoridades policiales o judiciales a requerimiento formal, sugiriendo a la parte reclamante la interposición de la correspondiente denuncia. Junto al escrito de reclamación se aporta la siguiente documentación: - Documento fechado el ***FECHA.1: extracto emitido por ***ENTIDAD.1, relativo a la tarjeta MediaMarkt Visa, número de contrato (…), correspondiente al periodo de liquidación del 21/06/2025 al 20/07/2025, en el que consta una operación de compra realizada el ***FECHA.1 en el establecimiento identificado como “MEDIAMARKT (…)”, por importe de (…) €. En el extracto figura la parte reclamante como titular de la tarjeta y de la cuenta de cargo. - Documento fechado el 03/09/2025: correo electrónico remitido por Atención al Cliente de la parte reclamada a la parte reclamante, mediante el cual se comunica la apertura de la incidencia (…), bajo el asunto “Fraude > Phishing”, indicándose que la consulta ha sido recibida y que se está trabajando para ofrecer una respuesta. En dicho correo, la parte reclamada solicita expresamente a la parte reclamante la aportación de determinada documentación para la tramitación de la consulta, en los siguientes términos: “… Por favor adjuntar imágenes de los cobros generados, DNI, Nombre y Apellidos del titular, cuenta donde se emite el cobro, si es una compra Online o de Tienda…”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/13 - Documento fechado el 04/09/2025: correo electrónico remitido por la parte reclamante a la parte reclamada, con el asunto “Reclamación de compra no reconocida y solicitud de información a Media Markt”, en el que la parte reclamante manifiesta: “… Les ruego que me proporcionen la información completa de dicha compra para poder verificarla...”. - Documento fechado el 08/09/2025 (15:00): correo electrónico remitido por la parte reclamante en el que reitera su solicitud de acceso al concepto de la compra, indicando que, pese a haber facilitado la documentación solicitada, no ha recibido la información requerida. - Documento fechado el 08/09/2025 (15:15): correo electrónico de respuesta remitido por la parte reclamada a la parte reclamante, en el que manifiesta que no facilitará la información solicitada y vincula el acceso a dicha información a la intervención de autoridades policiales o judiciales: “Te informamos que se ha trasladado toda la información al departamento de fraudes de ***ENTIDAD.1, el cual te contactará si fuera necesario. Mientras tanto, recordarte que deberás interponer denuncia ante las autoridades policiales correspondientes, facilitándoles un extracto bancario en el que aparezca el cargo fraudulento, así como una reclamación a tu banco por dichos importes…”. - Documento fechado el 08/09/2025 (15:45): correo electrónico remitido por la parte reclamante a la parte reclamada (Departamento de Servicio al Cliente / Responsable de Tratamiento de Datos Personales), en el que reitera de forma expresa el objeto de su solicitud de acceso: “… un extracto detallado de los movimientos de mi tarjeta con ustedes para verificar un cargo que no reconozco. Que me proporcionen mi propio extracto, que contiene mis datos personales y movimientos. Les reitero mi solicitud de que me proporcionen el concepto exacto de la compra realizada. Les insto a que me faciliten el extracto completo y el concepto de la compra solicitada en un plazo máximo de diez días hábiles”. - Documento fechado el 09/09/2025: correo electrónico remitido por la parte reclamante a la parte reclamada, con copia a la entidad financiera, en el que mantiene el mismo objeto de solicitud: “Mediante este escrito, les informo que no procederé a interponer una denuncia formal en relación con la compra realizada en su establecimiento, hasta que me faciliten el concepto y el extracto de los movimientos de dicha transacción…” - Documento fechado el 10/09/2025: correo electrónico remitido por la parte reclamante a la parte reclamada, con copia a ***ENTIDAD.1, en el que insiste C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/13 nuevamente en el acceso al artículo o concepto del cargo, manifestando que la falta de dicho dato impide conciliar sus gastos. - Documento fechado el 12/09/2025: correo electrónico remitido por la parte reclamada a la parte reclamante, en el que reitera su negativa a facilitar la información solicitada: “…Lamentablemente no podemos dar información de ninguna transacción que no sea el titular de la misma. Le sugerimos que ponga este hecho en conocimiento de las autoridades policiales y/o judiciales correspondientes. A través de los correspondientes oficios o citaciones daremos información de cualquier información que nos requieran…” - Documento fechado el 19/09/2025: correo electrónico remitido por la parte reclamada en el que comunica que no facilitará información adicional distinta de la ya proporcionada, reiterando la recomendación de acudir a las autoridades policiales o judiciales. En el mismo expediente constan comunicaciones de la parte reclamante, de esa misma fecha, en las que mantiene inalterado el objeto de su solicitud, insistiendo en el acceso al concepto detallado de la compra. SEGUNDO: En fecha 13 de noviembre de 2025 de conformidad con el artículo 65.4 de la LOPDGDD, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. TERCERO: En fecha 10 de diciembre de 2025 la entidad reclamada remite a esta Agencia escrito de respuesta a la solicitud de información manifestando en el mismo, en síntesis, lo siguiente: - Sostiene que el derecho de acceso fue atendido en tiempo y forma, destacando su compromiso con el cumplimiento de la normativa de protección de datos y con la salvaguarda de los derechos de los interesados. Afirma que dicho compromiso se tradujo en una actuación diligente y en la aplicación de medidas organizativas y técnicas orientadas a minimizar los riesgos derivados del tratamiento de datos personales. - Expone que la solicitud fue efectivamente tramitada, si bien el resultado de dicha tramitación no pudo consistir en la entrega de la información solicitada por existir un impedimento legal. A tal efecto, indica que se aporta como Documento n.º 1 el extracto de las comunicaciones mantenidas, en el que se reflejaría la atención de la solicitud, si bien se denegó el acceso a determinados datos del pedido (concepto, dirección u otros) por afectar a la esfera personal de un tercero. - Explica las limitaciones técnicas y operativas concurrentes, señalando que sus sistemas de gestión permiten localizar operaciones únicamente a partir de datos del usuario registrado o del número de pedido, pero no admiten búsquedas inversas mediante el número de tarjeta de pago. Añade que MEDIA C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/13 MARKT no trata internamente la información financiera de las tarjetas y que la reclamante no figura como titular del usuario bajo el que se registró la compra, por lo que resulta imposible vincular su DNI con la operación cuestionada. - Que, tras revisar sus sistemas con los datos facilitados por la reclamante (nombre y DNI), no consta ninguna compra asociada a dichos datos por el importe reclamado, lo que permitiría concluir que la operación fue registrada a nombre de un tercero distinto de la solicitante. Por ello, sostiene que carece de legitimación para facilitar datos de una venta correspondiente a un tercero basándose únicamente en la tenencia de un número de tarjeta. - Que la reclamante fue informada de que el contrato de financiación se formalizó a través de ***ENTIDAD.1, recomendándole dirigirse a dicha entidad y, en su caso, interponer denuncia policial si consideraba que podía haberse producido una suplantación de identidad, actuación que considera ajustada a los cauces legalmente previstos. - Fundamenta su negativa a facilitar el detalle del “concepto” o los datos del pedido en la excepción prevista en el artículo 15.4 del RGPD, en relación con el considerando 63, así como en las Directrices 01/2022 del Comité Europeo de Protección de Datos, relativas a la limitación del derecho de acceso cuando su ejercicio pueda afectar a los derechos y libertades de terceros. - Afirma que el responsable del tratamiento debe realizar una ponderación concreta para evitar que el cumplimiento de una solicitud de acceso suponga la revelación de datos personales de terceros y que, en el caso analizado, no se aportó denuncia ni requerimiento oficial alguno que acreditara una posible suplantación de identidad. Añade que, de considerarlo necesario, las autoridades competentes podrían requerir la información pertinente mediante los canales legalmente establecidos. - Sostiene asimismo que los datos generados por la transacción —cuenta de usuario registrada, domicilio de entrega, dirección IP o historial de navegación — no constituyen datos personales de la reclamante, sino que pertenecen a la esfera privada de la persona que realizó efectivamente la compra, por lo que su comunicación sin mandato judicial previo supondría una vulneración del deber de confidencialidad. Junto al escrito de contestación, se presenta la siguiente documentación: - Doc. n.º 1: comunicaciones fechadas entre el 8 y el 19 de septiembre de 2025, que recogen la secuencia de intercambios entre MediaMarkt y la reclamante indicada en el apartado anterior. - Doc. n.º 2: procedimiento interno de ejercicio y atención de derechos en materia de protección de datos (febrero de 2023, versión 5.0). CUARTO: En fecha 22 de diciembre de 2025, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/13 QUINTO: En fecha 12 de enero de 2026 se concedió a la parte reclamada trámite de audiencia, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes. SEXTO: En fecha 28 de enero de 2026 la parte reclamada presenta escrito de alegaciones en el que manifiesta, en síntesis, lo siguiente: - Sostiene que el derecho de acceso fue atendido de forma expresa, motivada y dentro del plazo legalmente establecido, contrariamente a lo afirmado por la reclamante. Afirma que dio respuesta a la solicitud formulada, comunicando dicha respuesta de manera efectiva a la interesada, extremo que, según indica, quedó acreditado ante la Agencia mediante el escrito de contestación al requerimiento previo presentado el 10 de diciembre de 2025. Añade que el hecho de que la respuesta tuviera un sentido denegatorio no equivale a una falta de atención, sino a una resolución fundada en la imposibilidad legal de satisfacer una pretensión que habría afectado a la confidencialidad de datos de terceros, descartando cualquier supuesto de silencio, inactividad o desatención. - Alega la inexistencia de condición de interesada de la reclamante respecto de la operación controvertida, sosteniendo que el derecho de acceso reconocido en el artículo 15 del RGPD es un derecho personalísimo que únicamente ampara el acceso a datos personales propios. Señala que, tras una investigación técnica exhaustiva, se constató que la reclamante no figura como titular de la operación cuestionada. Indica que se procedió a verificar el DNI y el correo electrónico facilitados por la reclamante en los sistemas y gestores centrales de compras de MEDIA MARKT, sin que conste registro alguno asociado a dichos identificadores, lo que evidenciaría una disociación entre la identidad de la reclamante y los datos de la operación cuya información solicita. - Invoca una imposibilidad técnica objetiva derivada del principio de privacidad desde el diseño, recogido en el artículo 25 del RGPD. Expone que la arquitectura de los sistemas de gestión de MEDIA MARKT ha sido diseñada con limitaciones técnicas orientadas a garantizar la seguridad e integridad de la información, permitiendo únicamente la localización de operaciones mediante identificadores legales como el DNI/NIE o el número de pedido, y prohibiendo las búsquedas inversas por numeración de tarjetas bancarias. Sostiene que permitir este tipo de búsquedas generaría una grave vulnerabilidad de seguridad, al posibilitar el acceso indiscriminado al historial de consumo de terceros. - Que, pese a dichas limitaciones, MEDIA MARKT actuó con la máxima diligencia, agotando todas las vías de localización disponibles mediante búsquedas por el DNI y el correo electrónico facilitados por la reclamante, con resultado negativo en ambos casos. Precisa igualmente que los datos del medio de pago son gestionados externamente por la pasarela bancaria, sin que MEDIA MARKT almacene la numeración de la tarjeta de forma indexada en su base de datos de clientes, y que cualquier vinculación manual basada en coincidencias parciales de datos supondría un riesgo inasumible de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/13 comunicación ilícita de datos y una vulneración del principio de exactitud del artículo 5.1.

1. d)del RGPD. - Sostiene la improcedencia de utilizar el derecho de acceso como instrumento para la investigación de un presunto fraude, recordando que el artículo 15 del RGPD no constituye el cauce adecuado para investigar fraudes bancarios o ilícitos penales. - Indica que el ordenamiento jurídico prevé mecanismos específicos para tales supuestos, como la interposición de denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado o la reclamación ante la entidad financiera emisora del medio de pago, y que cualquier acceso a información adicional que afecte a terceros solo puede producirse mediante el oportuno requerimiento judicial o administrativo. - Recuerda que no consta acreditada la interposición de denuncia alguna por parte de esta ante su entidad financiera, circunstancia que, a su juicio, refuerza la improcedencia de pretender trasladar al responsable del tratamiento una carga investigadora que no le corresponde asumir en ausencia de mandato de autoridad competente. Junto al escrito de alegaciones se presenta la siguiente documentación: - Anexo I – Resultados de búsqueda en los sistemas centrales de MediaMarkt, con capturas de los sistemas BO (ventas en tienda física) y FOM (ventas online), en las que se refleja que las búsquedas realizadas con el DNI y correo electrónico de la reclamante arrojan resultados negativos, no constando operaciones asociadas a dichos identificadores. SÉPTIMO: En fecha 29 de enero de 2026 se concedió a la parte reclamante trámite de audiencia, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes. La notificación del trámite de audiencia se practicó conforme a las normas establecidas en la LPACAP, mediante notificación electrónica el 29/01/2026, como consta en el justificante de recibo que figura en el expediente. No consta la presentación de alegaciones por la parte reclamante a dicha notificación. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, (en adelante, RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/13 Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, siguiendo el trámite previsto en el artículo 65.4 de la LOPDGDD, con carácter previo a la admisión a trámite de la reclamación de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, que da lugar al presente procedimiento, se dio traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida. El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 22 de diciembre de 2025, a los efectos previstos en su artículo 64.1 y 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. Dicha admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/13 de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del RGPD. III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y ss. del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. IV Derecho de acceso Establece el artículo 15 del RGPD, sobre el derecho de acceso, lo siguiente: “1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
2. a)los fines del tratamiento;
3. b)las categorías de datos personales de que se trate;
4. c)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales;
5. d)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
6. e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
7. f)el derecho a presentar una reclamación ante una autoridad de control; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/13
8. g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
9. h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros. Por su parte, el artículo 13 de la LOPDGDD, sobre el derecho de acceso, establece: “1. El derecho de acceso del afectado se ejercitará de acuerdo con lo establecido en el artículo 15 del Reglamento (UE) 2016/679. Cuando el responsable trate una gran cantidad de datos relativos al afectado y este ejercite su derecho de acceso sin especificar si se refiere a todos o a una parte de los datos, el responsable podrá solicitarle, antes de facilitar la información, que el afectado especifique los datos o actividades de tratamiento a los que se refiere la solicitud. El derecho de acceso se entenderá otorgado si el responsable del tratamiento facilitara al afectado un sistema de acceso remoto, directo y seguro a los datos personales que garantice, de modo permanente, el acceso a su totalidad. A tales efectos, la comunicación por el responsable al afectado del modo en que este podrá acceder a dicho sistema bastará para tener por atendida la solicitud de ejercicio del derecho. No obstante, el interesado podrá solicitar del responsable la información referida a los extremos previstos en el artículo 15.1 del Reglamento (UE) 2016/679 que no se incluyese en el sistema de acceso remoto. A los efectos establecidos en el artículo 12.5 del Reglamento (UE) 2016/679 se podrá considerar repetitivo el ejercicio del derecho de acceso en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima. Cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, la solicitud será considerada excesiva, por lo que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/13 dicho afectado asumirá el exceso de costes que su elección comporte. En este caso, solo será exigible al responsable del tratamiento la satisfacción del derecho de acceso sin dilaciones indebidas”. Conforme a lo establecido en el artículo 15 del RGPD y en el artículo 13 de la LOPDGDD, el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a dichos datos personales. En particular, el artículo 15 del RGPD reconoce al interesado el derecho a acceder tanto a los propios datos personales objeto de tratamiento como a la información relativa al mismo —entre otros extremos, los fines del tratamiento, las categorías de datos personales, los destinatarios o categorías de destinatarios, el plazo previsto de conservación o los criterios utilizados para determinarlo, la información disponible sobre el origen de los datos cuando no se hayan obtenido del interesado y los demás extremos previstos en la norma—, así como a obtener una copia de los datos personales objeto de tratamiento (artículo 15.3 RGPD), sin perjuicio de los límites relativos a los derechos y libertades de terceros previstos en el artículo 15.4 del citado Reglamento. En el plano interno, el artículo 13 de la LOPDGDD concreta determinados aspectos instrumentales del ejercicio del derecho de acceso, como la posibilidad de solicitar al afectado que especifique los datos o actividades de tratamiento cuando se trate de una gran cantidad de datos, la posibilidad de atender el derecho mediante sistemas de acceso remoto o las reglas aplicables a solicitudes repetitivas o excesivas. No obstante, dichas previsiones no alteran el contenido esencial del derecho reconocido en el artículo 15 del RGPD, que exige una respuesta materialmente apta para permitir al interesado conocer los datos tratados y las características del tratamiento. Por su parte, las Directrices 01/2022 del Comité Europeo de Protección de Datos (CEPD) resultan relevantes para interpretar el alcance del artículo 15 del RGPD. En su apartado 2.1 (“Objetivo del derecho de acceso”), el CEPD señala que el objetivo esencial del derecho de acceso es permitir al interesado conocer y verificar la licitud del tratamiento de sus datos personales, así como comprender cómo y con qué consecuencias se están tratando dichos datos. Desde esta perspectiva, el derecho de acceso no puede entenderse satisfecho por la mera emisión de una contestación formal, sino únicamente cuando el interesado obtiene efectivamente los datos y la información necesaria para ejercer ese control. El CEPD precisa, además, que el derecho de acceso se compone necesariamente de tres elementos que deben concurrir conjuntamente: (
10. i)la confirmación de si se están tratando o no datos personales del interesado; (
11. ii)el acceso a los propios datos personales tratados; y (iii) el acceso a la información relativa al tratamiento. En consecuencia, una contestación que omite la entrega de los datos personales o la información exigida por el artículo 15.1 del RGPD no puede considerarse una respuesta válida, aunque exista un escrito formal. Asimismo, dichas Directrices subrayan que el acceso debe referirse a los datos personales concretos que se estén tratando, y no puede sustituirse por descripciones generales o referencias abstractas a categorías de datos. En particular, el apartado 4.2 de las Directrices advierte que el concepto de “datos personales que le conciernen” no debe interpretarse de forma restrictiva por parte del responsable del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/13 En este sentido, el apartado 107 de las Directrices 01/2022 contempla expresamente los supuestos de usurpación o suplantación de identidad, señalando que “existen situaciones en las que el vínculo entre los datos y varias personas puede parecer difuso para el responsable del tratamiento, como en el caso de la usurpación de identidad. En caso de usurpación de identidad, una persona actúa fraudulentamente en nombre de otra persona. En este contexto, es importante recordar que debe facilitarse a la víctima información sobre todos los datos personales que el responsable del tratamiento almacene en relación con su identidad, incluidos los que se hayan recopilado sobre la base de las acciones del defraudador. En otras palabras, incluso después de que el responsable del tratamiento tuviera conocimiento de la usurpación de identidad, los datos personales asociados o relacionados con la identidad de la víctima constituyen datos personales del interesado.” De acuerdo con esta interpretación, el hecho de que determinados datos hayan sido generados por la actuación de un tercero no excluye automáticamente su consideración como datos personales del interesado cuando dichos datos se encuentren asociados a su identidad o vinculados a una operación atribuida a la misma, debiendo el responsable del tratamiento ponderar, en su caso, los derechos y libertades de terceros conforme a lo previsto en el artículo 15.4 del RGPD, pero sin interpretar de forma restrictiva el alcance del derecho de acceso. V Conclusión La presente reclamación tiene su origen en el ejercicio del derecho de acceso formulado por la parte reclamante frente a MEDIA MARKT SATURN, S.A., en relación con una operación de compra realizada el ***FECHA.1 reflejada en el extracto de su tarjeta MediaMarkt Visa emitida por ***ENTIDAD.1, asociada al establecimiento identificado como “MEDIAMARKT (…)”. De los hechos resulta que la parte reclamante dirigió diversas comunicaciones a la parte reclamada solicitando información sobre dicha operación, en particular el concepto de la compra, la identificación del artículo o artículos adquiridos y el detalle del movimiento correspondiente, manifestando que no recordaba haber realizado dicha transacción. Asimismo, consta que la parte reclamante aportó la documentación requerida por la entidad para la verificación de su identidad. En respuesta a tales solicitudes, la parte reclamada indicó a la parte reclamante que la incidencia había sido trasladada al departamento de fraudes de la entidad financiera emisora de la tarjeta y que la información solicitada únicamente sería facilitada a requerimiento de autoridades policiales o judiciales, recomendándole la interposición de una denuncia. Posteriormente, en el marco del presente procedimiento, la parte reclamada manifestó que no podía facilitar la información solicitada por la posible afectación a datos personales de terceros y por la concurrencia de limitaciones técnicas para localizar la operación a partir de los datos aportados por la reclamante. Asimismo, la parte reclamada aportó documentación acreditativa de las consultas realizadas en sus sistemas centrales, concretamente en los sistemas BO (ventas en tienda física) y FOM (ventas online), indicando que las búsquedas efectuadas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/13 mediante el DNI y el correo electrónico de la parte reclamante arrojaron resultados negativos, no constando operaciones asociadas a dichos identificadores. No obstante lo anterior, conforme a lo expuesto en el apartado IV de la presente resolución, el derecho de acceso reconocido en el artículo 15 del RGPD comprende, con carácter previo, el derecho del interesado a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en su caso, a acceder a dichos datos y a la información relativa al tratamiento. Tal derecho tiene por finalidad permitir al interesado conocer y verificar la licitud del tratamiento de sus datos personales, lo que exige una respuesta materialmente apta para proporcionarle dicha información. En este sentido, incluso en aquellos supuestos en los que los datos hayan podido ser generados por la actuación de un tercero o en contextos en los que el vínculo entre los datos y la identidad del interesado pueda resultar incierto para el responsable del tratamiento, los datos asociados a una operación vinculada a la identidad del interesado deben ser analizados desde la perspectiva del derecho de acceso reconocido en el artículo 15 del RGPD, sin que la mera invocación de una posible afectación a datos de terceros permita excluir automáticamente la aplicación de dicho derecho. A la vista de la documentación obrante en el expediente, si bien la parte reclamada manifestó ante esta Agencia que no constaban en sus sistemas datos personales asociados a los identificadores de la parte reclamante en relación con la operación referida, no consta acreditado que dicha circunstancia haya sido comunicada de forma expresa y clara a la parte reclamante como respuesta al ejercicio de acceso. En particular, las comunicaciones remitidas a la parte reclamante se limitaron a indicar la imposibilidad de facilitar información por motivos relacionados con la investigación de un posible fraude o por la eventual afectación a datos personales de terceros, remitiendo al interesado a la interposición de una denuncia ante las autoridades competentes. Sin embargo, tales comunicaciones no contienen una confirmación expresa acerca de si la entidad estaba tratando o no datos personales vinculados a la identidad de la reclamante en relación con la operación objeto de controversia, ni proporcionan el acceso a los datos personales correspondientes o, en su caso, una respuesta negativa fundada en la inexistencia de dichos datos. En consecuencia, debe concluirse que la respuesta ofrecida por la parte reclamada no satisface plenamente las exigencias derivadas del artículo 15 del RGPD, en la medida en que no consta que haya proporcionado a la parte reclamante una respuesta completa y adecuada al ejercicio de su derecho de acceso, en los términos exigidos por la normativa de protección de datos personales. Por todo ello, procede considerar que el derecho de acceso ejercitado por la parte reclamante no ha sido debidamente atendido, al no haberse facilitado al interesado una respuesta que confirme de forma expresa si se están tratando o no datos personales que le conciernen en relación con la operación consultada ni, en su caso, el acceso a dichos datos, en los términos previstos en el artículo 15 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/13 Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por A.A.A. frente a MEDIA MARKT SATURN, S.A., con CIF A82037292 al considerar que no ha quedado debidamente atendido el derecho de acceso previsto en el artículo 15 del RGPD e instar a la entidad MEDIA MARKT SATURN, S.A. para que, en el plazo de diez días hábiles desde que la presente resolución sea firme y ejecutiva, remita a la parte reclamante certificación por la que se atienda el derecho de acceso ejercido o se deniegue motivadamente, indicando expresamente si se tratan o no datos personales que conciernen a la reclamante en relación con la operación indicada, de conformidad con lo establecido en el cuerpo de la presente resolución. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de una infracción del artículo 83.6 del RGPD, calificada como muy grave a los efectos de prescripción en el artículo 72.1.
12. m)de la LOPDGDD, que se sancionará, de acuerdo con el art. 58.2 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a MEDIA MARKT SATURN, S.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución sea comunicada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es