PD-00021-2024

1/7  Expediente N.º: EXP202310053 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 2 de junio de 2023, ante esta Agencia y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) ejerció el derecho de Acceso frente a CAIXABANK, S.A. (en adelante, la parte reclamada) sin que su solicitud haya recibido la contestación legalmente establecida. La parte reclamante expone que, con fecha 25 de enero de 2023, solicitó a la parte reclamada que le facilitase el certificado de posiciones, estado actual de posiciones y movimientos del último año anterior al fallecimiento de su padre, así como los datos de la oficina bancaria en la que tenía cuenta el fallecido, sin que haya recibido contestación dentro del plazo legalmente establecido. En fecha 31 de mayo de 2023, se dirigió al Delegado de Protección de Datos de la parte reclamada reiterando su solicitud, quien responde indicando que lo solicitado no se corresponde con asunto de privacidad y protección de datos. SEGUNDO: Con fecha 11 de septiembre de 2023, esta Agencia resuelve respecto a la reclamación presentada por el reclamante y su solicitud de acceso no atendida. Y, concluye archivando la reclamación de la siguiente manera: “…En este caso, teniendo en cuenta que la reclamación se presentó en esta Agencia en fecha 2 de junio de 2023, a tenor de lo dispuesto en el apartado 5 del artículo 65 de la LOPDGDD, procede su tramitación con arreglo a lo dispuesto en el Título VIII de la citada norma, sin perjuicio de la facultad de la Agencia de archivar posteriormente y de forma expresa la reclamación. No obstante, una vez analizadas las razones expuestas por la parte reclamada, que obran en el expediente, se considera que la desestimación de la solicitud formulada es ajustada a la normativa de protección de datos personales, sin que sea necesario instar la adopción de medidas adicionales al haber cumplido con el deber de responder previsto en el artículo 12.4 de la LOPDGDD, por lo que, a la vista de las actuaciones realizadas procede el archivo de la reclamación formulada. Todo ello, sin perjuicio de las posibles actuaciones relativas al tratamiento de datos referido en la reclamación que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Por todo lo expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de la reclamación…” TERCERO: La parte reclamante en total desacuerdo con la resolución, presenta recurso de reposición que es resuelto con fecha 24 de enero de 2023, de forma estimatoria, y que da lugar a la actual reclamación con los siguientes argumentos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 “…En el presente caso, la parte reclamada manifestó que denegó el derecho de acceso a los datos relacionados con su padre fallecido por no haber quedado acreditada su condición de heredera. (…) Pues bien, de la documentación aportada en la reclamación se observa que se facilitó a la parte reclamada el Acta de requerimiento para declaración de herederos de don B.B.B. firmada ante Notario en fecha 1 de julio de 2022. (… En consecuencia, la parte recurrente acreditó debidamente su condición de heredera y, por lo tanto, se debería haber facilitado la información solicitada. Por tanto, procede la estimación del recurso interpuesto…” CUARTO: A la vista de lo acontecido con fecha 26 de enero de 2024, se da traslado a la parte reclamada de la reclamación original, de nuevo, del recurso de reposición presentado por la parte reclamante y de la resolución de dicho recurso para que en el plazo de quince días hábiles presentase las alegaciones que estimara convenientes. La parte reclamada presenta alegaciones en las que afirma haber atendido lo solicitado. TERCERO: Examinado el escrito presentado por la parte reclamada, se traslada a la parte reclamante, para que, en el plazo de quince días hábiles formule las alegaciones que considere oportunas. La parte reclamante dice que le falta uno de los documentos solicitados. A saber: “…Sin embargo, faltaría el certificado de posiciones de la cuenta ***CUENTA.1 a fecha de la defunción del 27.01.21, documento requerido para la presentación del impuesto…” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento. III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. IV Derecho de acceso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 Conforme a lo establecido en el artículo 15 del RGPD y artículo 13 de la LOPDGDD, "el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales". Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los "datos o actividades de tratamiento a los que se refiere la solicitud". El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo 15 del RGPD). El ejercicio de este derecho se podrá considerar repetitivo si se ejerce en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos personales de que se trate, los destinatarios o categorías de destinatarios a los que podrán comunicarse los datos, el plazo previsto o criterios de conservación, la posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la autoridad de control, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular), la existencia de decisiones automatizadas, incluida la elaboración de perfiles, e información sobre transferencias de datos personales a un tercer país o a una organización internacional. La posibilidad de obtener copia de los datos personales objeto de tratamiento no afectará negativamente a los derechos y libertades de otros. V Acceso a datos de personas fallecidas Sobre este particular se ha de partir de lo dispuesto en el considerando 27 del RGPD, según el cual “El presente Reglamento no se aplica a la protección de datos personales de personas fallecidas. Los Estados miembros son competentes para establecer normas relativas al tratamiento de los datos personales de estas.” En este orden de ideas, el art. 2.2.

1. b)de la LOPDGDD reitera que quedan excluidos del ámbito de aplicación de la Ley Orgánica: “(…) los tratamientos de datos de personas fallecidas, sin perjuicio de lo establecido en el artículo 3” El referido artículo 3 de la LOPDGDD, bajo la rúbrica “Datos de las personas fallecidas”, dispone lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 “1. Las personas vinculadas al fallecido por razones familiares o de hecho, así como sus herederos podrán dirigirse al responsable o encargado del tratamiento al objeto de solicitar el acceso a los datos personales de aquella y, en su caso, su rectificación o supresión. Como excepción, las personas a las que se refiere el párrafo anterior no podrán acceder a los datos del causante, ni solicitar su rectificación o supresión, cuando la persona fallecida lo hubiese prohibido expresamente o así lo establezca una ley. Dicha prohibición no afectará al derecho de los herederos a acceder a los datos de carácter patrimonial del causante. 2. Las personas o instituciones a las que el fallecido hubiese designado expresamente para ello podrán también solicitar, con arreglo a las instrucciones recibidas, el acceso a los datos personales de este y, en su caso su rectificación o supresión. Mediante real decreto se establecerán los requisitos y condiciones para acreditar la validez y vigencia de estos mandatos e instrucciones y, en su caso, el registro de los mismos. 3. En caso de fallecimiento de menores, estas facultades podrán ejercerse también por sus representantes legales o, en el marco de sus competencias, por el Ministerio Fiscal, que podrá actuar de oficio o a instancia de cualquier persona física o jurídica interesada. En caso de fallecimiento de personas con discapacidad, estas facultades también podrán ejercerse, además de por quienes señala el párrafo anterior, por quienes hubiesen sido designados para el ejercicio de funciones de apoyo, si tales facultades se entendieran comprendidas en las medidas de apoyo prestadas por el designado.” El Tribunal Supremo, en su sentencia de 04/03/2024 (R. 7418/2022), interpreta esta normativa considerando que “En virtud de lo dispuesto en el Considerando 27 RGPD, las normas del Reglamento se aplican a la protección de datos personales de las personas vivas, pero un Estado de la UE puede dictar normas sobre el tratamiento de datos de las personas fallecidas, y ese tratamiento puede quedar sometido a las mismas reglas que se aplican a las personas vivas, entre las que se encuentra el RGPD.” Añade la citada sentencia que “el art. 2.2 LOPDGGD viene a reiterar la regla contenida en el Considerando 27, negando la aplicación de la Ley al tratamiento de datos de personas fallecidas, "sin perjuicio de lo establecido en el artículo 3". Por su parte, el art. 3.1 LOPD faculta al heredero para que pueda dirigirse al responsable o encargado del tratamiento y solicitar "el acceso a los datos personales del fallecido" y "en su caso, su rectificación o supresión" En virtud de esa remisión a las leyes de los Estados miembros es perfectamente posible que las normas del RGPD se apliquen al tratamiento de datos de las personas fallecidas, pues el Considerando 27 no lo prohíbe. Dicho de otro modo, en virtud de lo dispuesto en el Considerando 27 RGPD, las normas del Reglamento se aplican a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 protección de datos personales de las personas vivas, pero un Estado de la UE puede dictar normas sobre el tratamiento de datos de las personas fallecidas, y ese tratamiento puede quedar sometido a las mismas reglas que se aplican a las personas vivas, entre las que se encuentra el RGPD. Avanzando en esta línea, hemos visto que el art. 2.2 LOPDGGD viene a reiterar la regla contenida en el Considerando 27, negando la aplicación de la Ley al tratamiento de datos de personas fallecidas, "sin perjuicio de lo establecido en el artículo 3". Siguiendo esta línea jurisprudencial cabe concluir que el régimen aplicable al derecho de acceso mencionado en el art. 3.1 LOPDGGD es el mismo que con carácter general se contiene para los datos de las personas físicas en la mencionada ley. Por tanto, el artículo 3 de la LOPDGDD legitima a las personas vinculadas al fallecido por razones familiares o de hecho y de sus herederos para solicitar al responsable del tratamiento el acceso a los datos personales del fallecido, en los términos previstos en los artículos 13 de la LOPDGDD y 15 del RGPD y, en consecuencia, con la amplitud y límites que pueden oponerse al ejercicio de este derecho. VI Conclusión En el supuesto aquí analizado, la parte reclamante ejercitó su derecho de Acceso y transcurrido el plazo establecido en las normas antes señaladas, su solicitud obtuvo una respuesta que esta Agencia consideró adecuada y se procedió al archivo de la reclamación. Mas tarde, la parte reclamante presenta recurso de reposición que una vez analizado se estima y da lugar a la actual reclamación. Ahora, analizada toda la documentación aportada por ambas partes comprobamos que, el motivo de discrepancia es un certificado de posiciones de una cuenta del padre fallecido de la reclamante que dice no haber recibido y, que la parte reclamada aporta en las alegaciones, según hemos comprobado. Sin embargo, a pesar de aportar dicho documento no se acredita el envío y la recepción a la parte reclamante. Por lo que, ante la afirmación de la parte reclamante de no haberlo recibido y la falta de acreditación de la recepción, tenemos que estimar esta reclamación por derecho de acceso incompleto. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por A.A.A. al considerar que se ha infringido lo dispuesto en el Artículo 15 del RGPD e instar a CAIXABANK, S.A. con NIF A08663619, para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita a la parte reclamante certificación en la que se atienda el derecho solicitado o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. Las actuaciones realizadas como consecuencia de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de una infracción del art. 83.6 del RGPD, calificada como muy grave a los efectos de prescripción en el artículo 72.1.
2. m)de la LOPDGDD, que se sancionará de acuerdo con el art. 58.2 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a CAIXABANK, S.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1381-090823 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es