1/19 Expediente N.º: EXP202513543 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 17 de julio de 2025 ante esta Agencia y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: Con fecha 17 de julio de 2025 tuvo entrada en esta Agencia reclamación presentada por A.A.A. (en adelante, la parte reclamante) contra MAQUINARIA TALLERES NÚÑEZ, S.L. (en adelante, la parte reclamada) por no haber sido debidamente atendido el derecho de acceso a los datos de su padre fallecido. La parte reclamante señala que, el 18 de mayo de 2025, ejerció derecho de acceso a los datos personales de su padre fallecido, dirigiéndose individualmente a dos empresas, una de ellas, la parte reclamada, con las que el finado mantuvo una relación societaria. La parte reclamante explica que al no disponer ninguna de las dos empresas de un canal específico o accesible públicamente para el ejercicio de derechos en protección de datos, envió un burofax electrónico individual, a través de NOTIFICAD@S, con acuse de recibo y certificación de contenido notarial. La parte reclamante expresa que, en cada burofax remitió documentación acreditativa de su legitimación para ejercer el mencionado derecho: copia del DNI de la solicitante, certificado de defunción del causante, Libro de Familia y testamento, incorporados y sellados notarialmente en el certificado de contenido. El citado burofax fue correctamente entregado a la parte reclamada el 20 de mayo de 2025 y que no ha recibido ninguna contestación. La parte reclamante informa que la parte reclamada dispone de una página web operativa, www.maquinariatn.es, que no incluye aviso legal ni política de privacidad. Aporta: - escrito de la solicitud de acceso a la empresa reclamada, con fecha de 15 de mayo de 2025; certificado notarial de contenido del burofax electrónico enviado a la parte reclamada que incluye: solicitud, copia del DNI, certificado de defunción, Libro de Familia, testamento y justificante de envío y entrega, con fecha de 22 de mayo de 2025; SEGUNDO: De conformidad con el artículo 65.4 de la LOPDGDD, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/19 a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 25 de septiembre de 2025 se recibió en esta Agencia escrito de respuesta de la parte reclamada en el que no realiza alegaciones, únicamente señala que aporta la respuesta al derecho de acceso de fecha 24 de septiembre de 2025 junto con la acreditación de su envío por burofax el día 25 de septiembre de 2025. La parte reclamada en este escrito de respuesta informa a la parte reclamante de lo siguiente: "Respecto a la solicitud de copia de los siguientes documentos, le informamos que: • Contratos laborales: Al ser su padre socio y administrador de la empresa, no se dispone de contratos laborales tradicionales como los solicitados. Los documentos relacionados con su rol societario están disponibles, pero no en forma de contrato laboral. • Nóminas y certificados de retenciones: Debido a su condición de socio y administrador, no se emitieron nóminas ni certificados de retenciones en los términos habituales. Sin embargo, se pueden proporcionar otros documentos relacionados con la gestión administrativa de su actividad como socio, así como retenciones practicadas por la obtención de dividendos y otros conceptos. • Actas, libros, acuerdos, informes o comunicaciones internas: Disponemos de documentos societarios correspondientes tanto en fecha de nombramiento de su padre como socio-administrador como de cese de dicha condición. • Otros documentos de identidad y participación profesional: Se han mantenido los documentos relevantes a su participación como socio y administrador, que se proporcionarán en la medida que no afecten a los derechos de otros involucrados en la sociedad" TERCERO: Con fecha 31 de octubre de 2025 tuvo entrada en esta Agencia un nuevo escrito presentado por la parte reclamante por el que amplía su reclamación, pues manifiesta que el acceso ha sido incompleto (se ha omitido información personal y copias esenciales relativas a su padre, no se ha motivado las exclusiones de información y no se ha facilitado información sobre la política de conservación de los datos). CUARTO: Con fecha 17 de octubre de 2025, en aplicación de lo previsto en el art. 65.5 de la LOPDGDD, se produjo la admisión a trámite de la reclamación presentada. Mediante acuerdo de la Presidencia de la Agencia Española de Protección de Datos de fecha 5 de febrero de 2026, se concedió a la parte reclamada trámite de audiencia, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes. La parte reclamada presentó un escrito ante esta Agencia con fecha 11 de febrero de 2026 en el que, en síntesis, y por lo que al presente procedimiento interesa, indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/19 “(…) Es preciso señalar que la reclamación original, interpuesta con fecha 17 de julio de 2025, se fundamentaba exclusivamente en la presunta desatención de la solicitud de derecho de acceso presentada por la interesada. No obstante, una vez que esta parte tuvo conocimiento del traslado de dicha reclamación, procedió de manera proactiva a subsanar la omisión enviando la respuesta íntegra y la documentación disponible mediante burofax con fecha 15 de septiembre de 2025. (…) Se acompaña copia de burofax de respuesta enviado a la reclamante (DOCUMENTO N° 1). y certificación de contenido y acuse de recibo de dicho burofax (DOCUMENTO N° 2). Dado que la pretensión inicial de la reclamante era obtener una respuesta que ya ha sido efectivamente facilitada, entendemos que se ha producido una pérdida de objeto del procedimiento, habiendo demostrado Maquinaria Talleres Núñez, S.L. su total voluntad de cumplimiento. SEGUNDO. Sobre la supuesta falta de integridad del acceso y la necesidad de concreción por la reclamante. En relación con la ampliación de la reclamación registrada el 31 de octubre de 2025, en la que se califica el acceso de "incompleto", esta parte manifiesta su más absoluta indefensión. Maquinaria Talleres Núñez, S.L. ha facilitado toda la información personal y societaria que obra en su poder respecto al fallecido. Sin embargo, la reclamante utiliza términos genéricos como "copias esenciales" u "omisión de información" sin especificar a qué documentos concretos se refiere. Por ello, solicitamos a esta Agencia que inste a la reclamante a concretar qué información considera omitida, pues esta parte desconoce la existencia de cualquier otro dato personal del causante que no haya sido ya entregado. TERCERO. Sobre la naturaleza societaria de la relación y la inexistencia de documentos laborales. La reclamante insiste en la entrega de contratos laborales y nóminas, sin embargo, ya se le manifestó en su momento que no existe contrato de trabajo escrito. El padre de la solicitante inició una relación mercantil en los años 80 mediante la constitución de una comunidad de bienes integrada por el padre de la reclamante y otros dos socios, que posteriormente convirtieron en la actual sociedad. Nunca se llegó a documentar por escrito el contenido de la relación laboral. El padre de la demandada, por su condición de socio titular del (…)% del capital y administrador solidario societario, cotizaba como trabajador autónomo. La mercantil que represento solo confeccionaba los recibos de las retribuciones que percibía y que ya le fueron aportados a la demandante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/19 CUARTO. Clarificación sobre la medida de seguridad interna aplicada a los datos. Deseamos precisar que el término "bloqueo" utilizado en comunicaciones previas no debe interpretarse conforme al sentido legal estricto del artículo 32 de la LOPDGDD. Se trató de una medida de seguridad técnica y operativa adoptada internamente para "congelar" la información y evitar alteraciones accidentales durante el proceso de validación jurídica tras el fallecimiento del interesado. Una vez acreditada la legitimación de la heredera, dicha medida fue levantada para facilitar el acceso que hoy nos ocupa. QUINTO. Motivación de las limitaciones de acceso por derechos de terceros y política de conservación. Respecto a las comunicaciones internas y actas societarias, esta parte ha actuado conforme al artículo 15.4 del RGPD, que establece que el derecho a obtener copia no afectará negativamente a los derechos y libertades de otros. Los documentos internos no facilitados, contienen datos fiscales y decisiones de otros socios y empleados que no pueden ser revelados sin vulnerar su privacidad. Asimismo, en cuanto a la conservación, se informa que la empresa aplica el plazo de 6 años previsto en el artículo 30 del Código de Comercio. Por este motivo, salvo alguna excepción por causas legales (facturas para amortizaciones etc.), la documentación anterior al año 2020 ha sido legalmente destruida en el marco de la limpieza ordinaria de archivos por cumplimiento de los plazos legales, al expirar la obligación de custodia, facilitándose únicamente los registros de los años 2020 a 2022, periodo en el que el causante aún mantenía relación con la sociedad. (…)” QUINTO: Examinado el escrito presentado por la parte reclamada, se trasladó a la parte reclamante, para que, en el plazo de diez días hábiles formulase las alegaciones que considerase oportunas. La parte reclamante contestó a esta Agencia con fecha 25 de febrero de 2026 indicando, en síntesis, y por lo que al presente procedimiento interesa, que: “(…) 3. Tras el impulso del expediente por parte de esta Agencia, la entidad reclamada remitió una primera contestación el 25/09/2025, acompañando un dossier documental de 46 páginas que constituye, según la propia reclamada, el único conjunto documental que dice obrar en su poder. 4. Ante la insuficiencia de la respuesta, remití un segundo escrito reiterando el derecho de acceso, concretando de manera expresa alguna documentación faltante y solicitando aclaración respecto de incongruencias documentales, especialmente la relativa al acta de 30/06/2022, donde el causante figura y firma como administrador solidario pese a constar su cese previo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/19 5. La sociedad respondió nuevamente (20/10/2025) limitándose a afirmar, de forma genérica, que ya había facilitado lo disponible; sin identificar qué solicitudes considera improcedentes ni motivar la denegación parcial conforme al art. 12.4 RGPD, e introduciendo además una advertencia sobre la posibilidad de cobrar un canon en futuras solicitudes, pese a que la solicitud no era reiterativa ni manifiestamente excesiva, sino un ejercicio legítimo de un derecho que se venía incumpliendo. (…) La parte reclamante manifiesta que “(…) la solicitud de acceso identificó categorías de datos y tipologías documentales en las que necesariamente constan datos personales del causante (relación y retribuciones, nóminas/retenciones, comunicaciones y documentación societaria con intervención del causante, justificantes de pagos, etc.). Además, el escrito de reiteración posterior acotó aún más periodos y tipos, solicitando expresamente el testado cuando existan datos de terceros. (…) procede que se requiera a la reclamada una respuesta estructurada y verificable, con índice de lo entregado, identificación de lo no entregado y motivación de cada exclusión, sin perjuicio de la responsabilidad proactiva que le incumbe.” “(…) La reclamada sostiene que no dispone de más documentación y que el dossier aportado constituye “todo lo existente”. Sin embargo, esa afirmación no es verificable y queda contradicha por elementos objetivos obrantes en el expediente y por documentación de origen empresarial aportada por esta parte. En particular: (
- a)La reclamante dispone de documentos emitidos por la propia empresa dentro de los periodos respecto de los cuales la reclamada afirma conservar documentación (nóminas/recibos mensuales de agosto y noviembre de 2020, así como extracto bancario con abonos “nómina”), que no han sido aportados por la reclamada a la AEPD pese a haber sostenido que ya entregó “todo”. (
- b)La reclamada invoca destrucción/inexistencia de documentación anterior a 2020, pero simultáneamente aporta en su dossier documentación mercantil/societaria de 2019, lo que evidencia que conserva materiales de ese ejercicio y obliga, como mínimo, a acreditar de forma concreta y trazable qué documentación se habría destruido, cuándo y por qué. (
- c)La versión de ausencia de relación laboral o de inexistencia de documentación laboral resulta incompatible con datos objetivos de Seguridad Social (vida laboral TGSS del causante con alta en Régimen General vinculada a la reclamada hasta ***FECHA.1), lo que implica necesariamente tratamiento de datos y existencia (o previa existencia) de soportes documentales relacionados con altas/bajas/cotizaciones y retribuciones de dicho periodo. Estas contradicciones objetivas evidencian que la respuesta ha sido convenientemente selectiva y que, en el estado actual, el derecho de acceso no ha sido atendido de forma completa ni motivada, por lo que procede que la AEPD no archive el procedimiento y requiera una respuesta completa, estructurada y verificable, con identificación expresa de lo omitido y motivación individualizada de cada exclusión.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/19 La parte reclamante añade que sólo se le han proporcionado 3 nóminas (un recibo anual de 2020, otro anual de 2021 y un recibo parcial de 2022). Sin embargo, la reclamante dispone de nóminas/recibos mensuales específicos de agosto de 2020 y noviembre de 2020, emitidos por la propia empresa La parte reclamante manifiesta que el extracto bancario de su padre fallecido refleja múltiples abonos en concepto de nómina, no todos coincidentes con los líquidos reflejados en los recibos aportados, “(…) lo que refuerza que existen (o han existido) justificantes de pago, regularizaciones, anticipos u otros soportes contables/bancarios vinculados que no se han facilitado ni se ha motivado su exclusión.” “(…) En consecuencia, procede requerir a la reclamada, conforme al art. 15 RGPD y al principio de responsabilidad proactiva (art. 5.2 RGPD), la entrega completa de la documentación retributiva y justificantes asociados por meses y ejercicios (incluyendo los recibos mensuales emitidos), o, subsidiariamente, una declaración expresa y verificable de inexistencia/destrucción por periodos, indicando sistemas consultados y actuaciones de búsqueda realizadas.” La parte reclamante aporta informe de la vida laboral de su padre fallecido en el que figura en situación de alta en el Régimen General vinculada a MAQUINARIA TALLERES NÚÑEZ, S.L. hasta el ***FECHA.1 (además de periodos previos) por lo que “(…) la entidad ha debido tratar datos personales del causante relativos, al menos, a afiliación/encuadramiento, altas y bajas, bases y cotizaciones, y retribuciones/retenciones asociadas a dicho periodo. (…) Sin perjuicio de que esta Agencia no deba pronunciarse sobre la naturaleza laboral o mercantil del vínculo, lo relevante a efectos del derecho de acceso es que, existiendo ese encuadramiento en Seguridad Social, la entidad ha debido tratar datos personales del causante relativos, al menos, a afiliación/encuadramiento, altas y bajas, bases y cotizaciones, y retribuciones/retenciones asociadas a dicho periodo. En consecuencia, resulta incompatible una negativa genérica basada en que “no hubo relación laboral” o en que “no existiría documentación laboral”, sin detallar de forma verificable qué documentación existe, cuál se entrega y cuál se deniega o declara inexistente.” (…) 3.4. Entrega defectuosa: documentos sin contenido útil (en blanco/incompletos) y copias con calidad insuficiente. El dossier aportado incluye anexos sin contenido materialmente útil (p. ej., un “Modelo 600” sin datos consignados) y folios de copias notariales sin texto (folios de continuación). A efectos del derecho de acceso, no puede considerarse atendida una solicitud cuando se aportan documentos en blanco o en condiciones que impiden su lectura y comprobación: una “copia” ilegible o carente de contenido útil equivale, en la práctica, a no facilitar copia de los datos/documentos solicitados. En consecuencia, procede requerir a la reclamada la reexpedición íntegra y legible de toda la documentación aportada, y, cuando se hayan aportado meros folios de continuación o formularios sin datos, que identifique y aporte el documento sustantivo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/19 al que dichos folios se refieren, acompañando además un índice de documentos efectivamente entregados para permitir su verificación. (…) 3.6. Burofax 08/10/2025 sobre “saldo pendiente/regularización”: reconocimiento de datos omitidos. Se acompaña burofax de 08/10/2025 remitido por la propia reclamada, en el que afirma que en su contabilidad constaba un saldo a favor del causante (…) derivado de un alegado error en la emisión de nóminas durante un periodo de baja, así como que estaría pendiente determinar un eventual exceso cobrado por importes percibidos de mutua/organismo y la correspondiente regularización. Estas manifestaciones presuponen necesariamente la existencia de soportes documentales con datos personales del causante: asientos contables, cálculos de regularización, comunicaciones con la mutua/organismo y justificantes de pagos o compensaciones. Sin embargo, no se ha aportado documentación acreditativa alguna de dichos extremos, pese a su directa conexión con el alcance del acceso (retribuciones, bajas/mutua, justificantes y regularizaciones), ni se ha motivado su omisión de forma individualizada. En consecuencia, ello evidencia nuevamente que la entrega realizada es incompleta y selectiva, por lo que procede requerir la aportación de los soportes indicados o, subsidiariamente, una declaración verificable de inexistencia y fundamento de la negativa. 4) Derechos de terceros: el art. 15.4 RGPD opera como límite, no como excusa genérica La reclamada invoca el art. 15.4 RGPD para negar documentación por contener datos de terceros. Sin embargo, dicho precepto no habilita una exclusión automática o genérica, sino que establece un límite: la entrega de copia no debe afectar negativamente a los derechos y libertades de otras personas. (…)” La parte reclamante señala, en síntesis, que se debe requerir a la parte reclamada “(…) que emita una respuesta completa, motivada y verificable, facilitando copia íntegra o testada y legible de los documentos en los que consten datos personales del causante, incluyendo, al menos: ()i todos los recibos/nóminas mensuales emitidos (incluyendo agosto y noviembre 2020), y el resto que existan en el periodo solicitado; ()ii certificados de retenciones y soportes fiscales asociados; ()iii documentación de altas/bajas y cotizaciones vinculadas al causante (y, en su caso, RLC/RNT u otros soportes equivalentes disponibles); ()iv documentación relativa a bajas/mutua; ()v Aclaración sobre el acta con fecha de 30/06/2022; y ()vi justificantes de pago/transferencias y regularizaciones vinculadas. Subsidiariamente, si sostiene inexistencia respecto de algún bloque o periodo, que lo indique de forma expresa por ejercicios y meses, con indicación de los sistemas consultados.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/19 SEXTO: Otorgada audiencia a la parte reclamada, ésta presentó un escrito ante esta Agencia con fecha 26 de febrero de 2026, indicando, en síntesis, y por lo que al presente procedimiento interesa, que: “(…) Es necesario reiterar que Maquinaria Talleres Núñez, S.L. procedió a dar respuesta formal al ejercicio del derecho de acceso mediante el envío de un burofax (localizador: …) con fecha 15 de septiembre de 2025. Dicha comunicación fue el resultado de una búsqueda minuciosa en los registros de la entidad. Esta parte desea enfatizar ante esta Agencia que se facilitó toda la información y soporte documental de los que dispone efectivamente esta empresa respecto al causante, B.B.B.. (…). SEGUNDO. Sobre la inexistencia de documentación anterior al ejercicio 2020 y plazos legales de conservación. Respecto a las alegaciones de la reclamante sobre datos de 2019 o anteriores, esta parte aclara que no se dispone de documentación de naturaleza laboral o fiscal previa al año 2020. Si bien en el dossier inicial se aportó documentación mercantil o societaria de 2019, ello responde a que dichos documentos (actas o escrituras) tienen plazos de conservación y registros públicos distintos. Por el contrario, la documentación relativa a nóminas, retenciones y certificados ha sido objeto de expurgo legal tras cumplirse el plazo de 6 años establecido en el artículo 30 del Código de Comercio. Resulta, por tanto, materialmente imposible facilitar una información de carácter salarial que ya no obra en poder del responsable. TERCERO. Sobre la naturaleza societaria de la relación y la inexistencia de contratos laborales. Reiteramos que la relación del causante con la empresa era de carácter societario (socio-administrador), lo que explica la inexistencia de contratos laborales de naturaleza tradicional. Toda la documentación que acredita su rol en la sociedad y su posterior cese ha sido debidamente aportada en la medida en que no afecta a derechos de terceros intervinientes. (…) QUINTO. Sobre la integridad del acceso y la suficiencia de los datos económicos facilitados. En cuanto a la supuesta omisión de recibos mensuales de 2020, esta parte manifiesta que los resúmenes anuales y certificados de retenciones aportados en septiembre de 2025 contienen la integridad de los datos económicos y conceptos retributivos del fallecido. El hecho de que la reclamante pueda disponer de algún recibo mensual específico no invalida que la información consolidada facilitada por la empresa sea la que consta actualmente en su archivo activo. Asimismo, el saldo de ***CANTIDAD.1 € ha sido debidamente explicado como una regularización contable por errores en los abonos durante periodos de baja, no existiendo más soportes documentales que deban ser facilitados al respecto. (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/19 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, siguiendo el trámite previsto en el artículo 65.4 de la LOPDGDD, con carácter previo a la admisión a trámite de la reclamación de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, que da lugar al presente procedimiento, se dio traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida. El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 17 de octubre de 2025, a los efectos previstos en su artículo 64.1 y 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. Dicha admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/19 “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento.” III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/19 IV Derecho de acceso Conforme a lo establecido en el artículo 15 del RGPD y artículo 13 de la LOPDGDD, "el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales". Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los "datos o actividades de tratamiento a los que se refiere la solicitud". El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo 15 del RGPD). El ejercicio de este derecho se podrá considerar repetitivo si se ejerce en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos personales de que se trate, los destinatarios o categorías de destinatarios a los que podrán comunicarse los datos, el plazo previsto o criterios de conservación, la posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la autoridad de control, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular), la existencia de decisiones automatizadas, incluida la elaboración de perfiles, e información sobre transferencias de datos personales a un tercer país o a una organización internacional. La posibilidad de obtener copia de los datos personales objeto de tratamiento no afectará negativamente a los derechos y libertades de otros. V Conclusión El procedimiento de derechos se instruye como consecuencia de la falta de atención de alguno de los derechos regulados en la normativa de protección de datos. Por ello, en el presente caso sólo se analizarán y valorarán los hechos relativos al ejercicio de estos derechos, quedando fuera el resto de cuestiones planteadas por las partes. Hay que señalar que esta Agencia no es competente para el análisis de si se han cumplido los plazos de conservación de los diferentes documentos conforme a la normativa del sector, así como de la trazabilidad de esos documentos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/19 En el presente supuesto, ha quedado acreditado que la parte reclamante solicitó a la parte reclamada el acceso a los datos de su padre fallecido, y “(…) En virtud del artículo 15.3 del RGPD, una copia de aquellos documentos que contengan datos personales del fallecido, entre ellos: Contrato o contratos laborales firmados con su entidad. Nóminas y certificados de retenciones. Actas, libros, acuerdos, informes o comunicaciones internas en las que haya intervenido directamente y hayan producido efectos jurídicos sobre él o hayan afectado significativamente de modo similar. Cualquier otro documento en el que conste su identidad y participación personal y profesional siempre que no afecte negativamente a los derechos y libertades de terceras personas.” La LOPDGDD establece en su artículo 12.2. que “2. Esta ley orgánica no será de aplicación:
- a)(…).
- b)A los tratamientos de datos de personas fallecidas, sin perjuicio de lo establecido en el artículo 3. (…)” Y el artículo 3 del mismo texto legal regula que “1. Las personas vinculadas al fallecido por razones familiares o de hecho así como sus herederos podrán dirigirse al responsable o encargado del tratamiento al objeto de solicitar el acceso a los datos personales de aquella y, en su caso, su rectificación o supresión. Como excepción, las personas a las que se refiere el párrafo anterior no podrán acceder a los datos del causante, ni solicitar su rectificación o supresión, cuando la persona fallecida lo hubiese prohibido expresamente o así lo establezca una ley. Dicha prohibición no afectará al derecho de los herederos a acceder a los datos de carácter patrimonial del causante. (…)” El Tribunal Supremo, en su sentencia de 04/03/2024 (Rec. 7418/2022), interpreta esta normativa considerando que “el art. 2.2 LOPDGGD viene a reiterar la regla contenida en el Considerando 27, negando la aplicación de la Ley al tratamiento de datos de personas fallecidas, "sin perjuicio de lo establecido en el artículo 3". Por su parte, el art. 3.1 LOPD faculta al heredero para que pueda dirigirse al responsable o encargado del tratamiento y solicitar "el acceso a los datos personales del fallecido" y "en su caso, su rectificación o supresión". En virtud de esa remisión a las leyes de los Estados miembros es perfectamente posible que las normas del RGPD se apliquen al tratamiento de datos de las personas fallecidas, pues el Considerando 27 no lo prohíbe. Dicho de otro modo, en virtud de lo dispuesto en el Considerando 27 RGPD, las normas del Reglamento se aplican a la protección de datos personales de las personas vivas, pero un Estado de la UE puede dictar normas sobre el tratamiento de datos de las personas fallecidas, y ese tratamiento puede quedar sometido a las mismas reglas que se aplican a las personas vivas, entre las que se encuentra el RGPD. Avanzando en esta línea, hemos visto que el art. 2.2 LOPDGGD viene a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/19 reiterar la regla contenida en el Considerando 27, negando la aplicación de la Ley al tratamiento de datos de personas fallecidas, "sin perjuicio de lo establecido en el artículo 3". Siguiendo esta línea jurisprudencial cabe concluir que el régimen aplicable al derecho de acceso mencionado en el artículo 3.1 LOPDGGD es el mismo que con carácter general se contiene para los datos de las personas físicas en la mencionada ley. Por tanto, el artículo 3 de la LOPDGDD legitima a las personas vinculadas al fallecido por razones familiares o de hecho y de sus herederos para solicitar al responsable del tratamiento el acceso a los datos personales del fallecido, en los términos previstos en los artículos 13 de la LOPDGDD y 15 del RGPD y, en consecuencia, con la amplitud y límites que pueden oponerse al ejercicio de este derecho. Por lo tanto, la parte reclamante está legitimada para solicitar los datos de su padre fallecido. Las Directrices 1/2022 el Consejo Europeo de Protección de Datos (en adelante, CEPD) adoptadas el 28 de marzo de 2023, por la que se aprueba la Guía de aplicación del artículo 15 del RGPD, sobre el Derecho de Acceso del Interesado, indica que: “d). ¿Entra la solicitud en el ámbito de aplicación del artículo 15? 50. Cabe señalar que el RGPD no introduce ningún requisito formal para las personas que solicitan acceso a los datos. Para presentar la solicitud de acceso, basta con que las personas solicitantes especifiquen que desean saber qué datos personales que les conciernen trata el responsable del tratamiento. Por lo tanto, el responsable del tratamiento no puede negarse a facilitar los datos haciendo referencia a la falta de indicación de la base jurídica de la solicitud, especialmente a la falta de una referencia específica al derecho de acceso o al RGPD. Por ejemplo, para presentar una solicitud, bastaría con que el solicitante indicara: • • • que desea acceder a los datos personales que le conciernen; que está ejerciendo su derecho de acceso; o que desea conocer la información que le concierne que trata el responsable del tratamiento. Hay que tener en cuenta que los solicitantes pueden no estar familiarizados con los entresijos del RGPD y que es aconsejable no ser muy estrictos con las personas que ejercen su derecho de acceso, en particular cuando lo ejercen menores de edad. Como se ha indicado anteriormente, en caso de duda, se recomienda que el responsable del tratamiento pida al interesado que lo solicite que especifique el objeto de la solicitud.
- e)¿Desean los interesados acceder a la totalidad o a parte de la información tratada sobre ellos? C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/19 51. Además, el responsable del tratamiento debe evaluar si las solicitudes presentadas por la persona solicitante se refieren a la totalidad o a parte de la información tratada sobre ellas. Toda limitación del alcance de una solicitud a una disposición específica del artículo 15 del RGPD, realizada por los interesados, debe ser clara e inequívoca. Por ejemplo, si los interesados requieren literalmente «información sobre los datos tratados en relación con ellos», el responsable del tratamiento debe suponer que los interesados tienen la intención de ejercer plenamente su derecho en virtud del artículo 15, apartados 1 y 2, del RGPD. Dicha solicitud no debe interpretarse en el sentido de que los interesados deseen recibir únicamente las categorías de datos personales que se están tratando y renunciar a su derecho a recibir la información enumerada en el artículo 15, apartado 1, letras
- a)a h). Esto sería diferente, por ejemplo, cuando los interesados deseen, con respecto a los datos que especifiquen, tener acceso a la fuente u origen de los datos personales o al plazo de conservación especificado. En tal caso, el responsable del tratamiento podrá limitar su respuesta a la información específica solicitada”. Las precitadas Directrices 1/2022 señalan respecto al acceso mediante la modalidad de copia que: 154. En este contexto, es importante recordar que existe una distinción entre el derecho a obtener acceso con arreglo al artículo 15 del RGPD y el derecho a recibir una copia de los documentos administrativos regulados por la legislación nacional, que es el derecho a recibir una copia del documento propiamente dicho. Esto no significa que el derecho de acceso en virtud del artículo 15 del RGPD excluya la posibilidad de recibir una copia del documento o de los medios en los que aparecen los datos personales. 155. En algunos casos, los propios datos personales establecen los requisitos sobre el formato en que deben facilitarse los datos personales. Por ejemplo, cuando los datos personales constituyen información manuscrita del interesado, puede ser necesario proporcionarle una fotocopia de dicha información manuscrita, ya que la propia escritura es un dato personal. Este podría ser especialmente el caso cuando la escritura sea algo importante para el tratamiento, por ejemplo, el análisis de la escritura. Lo mismo se aplica, en general, a las grabaciones sonoras, ya que la voz propia del interesado constituye un dato personal. En algunos casos, sin embargo, el acceso puede concederse facilitando una transcripción de la conversación, por ejemplo, si así lo acuerdan el interesado y el responsable del tratamiento.” En relación con lo expuesto, se hace necesario traer a colación la Sentencia del Tribunal de Justicia de 4 de mayo de 2023, en el asunto C-487/21, la cual determina que: “28. Por lo tanto, del análisis literal del artículo 15, apartado 3, primera frase, del RGPD resulta que esta disposición confiere al interesado el derecho a obtener una reproducción auténtica de sus datos personales, entendidos en un sentido amplio, que sean objeto de operaciones que deben calificarse de tratamiento por parte del responsable de ese tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/19 (…) 32. Por consiguiente, el artículo 15 del RGPD no puede interpretarse en el sentido de que consagra, en su apartado 3, primera frase, un derecho distinto del previsto en su apartado 1. Por otra parte, como ha señalado la Comisión Europea en sus observaciones escritas, el término «copia» no se refiere a un documento como tal, sino a los datos personales que contiene y que deben ser completos. Por lo tanto, la copia debe contener todos los datos personales objeto de tratamiento. (…) 44. Por lo tanto, como ha subrayado el Abogado General en el punto 61 de sus conclusiones, en caso de conflicto entre, por un lado, el ejercicio del derecho de acceso pleno y completo a los datos personales y, por otro, los derechos o libertades de otros, procede efectuar una ponderación entre los derechos y libertades en cuestión. Siempre que sea posible, ha de optarse por modalidades de comunicación de datos personales que no vulneren los derechos o libertades de otros, teniendo en cuenta que, como se desprende del considerando 63 del RGPD, esas consideraciones no deben «tener como resultado la negativa a prestar toda la información al interesado». 45. Habida cuenta de las consideraciones anteriores, procede responder a las cuestiones prejudiciales primera a tercera que el artículo 15, apartado 3, primera frase, del RGPD debe interpretarse en el sentido de que el derecho a obtener del responsable del tratamiento una copia de los datos personales objeto de tratamiento implica que se entregue al interesado una reproducción auténtica e inteligible de todos esos datos. Este derecho incluye el de obtener copia de extractos de documentos, o incluso de documentos enteros, o de extractos de bases de datos, que contengan, entre otros, dichos datos, si la entrega de tal copia es indispensable para permitir al interesado ejercer efectivamente los derechos que le confiere ese Reglamento. Debe subrayarse asimismo la necesidad de que se tengan en cuenta, a este respecto, los derechos y libertades de los terceros”. (…) “1) El artículo 15, apartado 3, primera frase, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), debe interpretarse en el sentido de que el derecho a obtener del responsable del tratamiento una copia de los datos personales objeto de tratamiento implica que se entregue al interesado una reproducción auténtica e inteligible de todos esos datos. Este derecho incluye el de obtener copia de extractos de documentos, o incluso de documentos enteros, o de extractos de bases de datos, que contengan, entre otros, dichos datos, si la entrega de tal copia es indispensable para permitir al interesado ejercer efectivamente los derechos que le confiere ese Reglamento. Debe subrayarse asimismo la necesidad de que se tengan en cuenta, a este respecto, los derechos y libertades de los terceros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/19 2) El artículo 15, apartado 3, tercera frase, del Reglamento 2016/679 debe interpretarse en el sentido de que el concepto de «información» que contempla se refiere exclusivamente a los datos personales de los que el responsable del tratamiento debe facilitar una copia con arreglo a la primera frase de dicho apartado.” En el mismo sentido, la Sentencia del Tribunal de Justicia de la Unión Europea de 22 de junio de 2023, en el asunto C.579/2021 Si bien, en este contexto, ha de tenerse también en cuenta que la posibilidad de obtener copia de los datos personales objeto de tratamiento no puede afectar negativamente a los derechos y libertados de otros, es decir, el derecho de acceso se otorgará de modo que no afecte a datos de terceros. En base a lo anteriormente señalado, la petición de la parte reclamante se considera un derecho de acceso regulado en la normativa de protección de datos. Por ello, según la interpretación que del derecho de acceso ha hecho el Tribunal de Justicia de la Unión Europea, así como lo que se establecen en las Directrices 1/2022 precitadas, la parte reclamante ha ejercitado el derecho de acceso respecto de los datos personales que le conciernen y la parte reclamada tendría que facilitar a la parte reclamante su derecho de acceso en los términos previstos en el RGPD. Cabe aplicar lo dispuesto en las Directrices 1/2022, anteriormente citadas, cuyo punto 4.2 concreta el alcance de los datos personales que comprende el derecho de acceso, haciendo mención específica a los datos que le conciernen al interesado, advirtiendo del peligro de realizar una interpretación “demasiado restrictiva” para denegarlos automáticamente. Estas Directrices establecen lo siguiente (el subrayado es nuestro): “4.2 Los datos personales a los que se refiere el derecho de acceso De conformidad con el artículo 15, apartado 1 del RGPD, «el interesado tendrá derecho a obtener del responsable del tratamiento la confirmación de si se están tratando o no datos personales que le conciernan y, en su caso, el acceso a los datos personales y a la siguiente información” (el subrayado es nuestro). Varios elementos se desprenden del párrafo 1 del artículo 15 del RGPD. En el apartado se refiere expressis verbis a «los datos personales que le conciernen» (4.2.1), que «están siendo tratados» (4.2.2) por el responsable del tratamiento: 4.2.1. «datos personales que le conciernen» El derecho de acceso puede ejercerse exclusivamente con respecto a los datos personales relacionados con el interesado que solicita el acceso o, en su caso, por una persona o representante autorizado (véase la sección 3.4). También hay situaciones en las que los datos no tienen un vínculo con la persona que ejerce el derecho de acceso, sino con otra persona. Sin embargo, el interesado solo tiene C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/19 derecho a los datos personales relativos a sí mismos, excluyendo los datos que afecten exclusivamente a otra persona. Sin embargo, la clasificación de los datos como datos personales relativos al interesado no depende del hecho de que dichos datos personales también se refieran a otra persona. Por lo tanto, es posible que los datos personales se refieran a más de una persona al mismo tiempo. Esto no significa automáticamente que se conceda acceso a los datos personales también relacionados con otra persona, ya que el responsable del tratamiento debe cumplir con el artículo 15, apartado 4, del RGPD. Las palabras «datos personales que le conciernan» no deben ser interpretadas de manera «demasiada restrictiva» por los responsables del tratamiento, como ya ha declarado el Grupo de Trabajo del artículo 29 en lo que respecta al derecho a la portabilidad de los datos”. En consecuencia, según el CEPD, máxima autoridad europea en esta materia, el derecho de acceso del artículo 15 del RGPD va más allá de solicitar los datos personales propios -ceñidos al titular- y se extiende a aquellos que “le afecten”. En cuanto a las manifestaciones de la parte reclamante sobre el pago de tasas para la obtención del derecho de acceso, hay que tener en cuenta lo dispuesto en el artículo 12 del RGPD que dispone: “5. La información facilitada en virtud de los artículos 13 y 14 así como toda comunicación y cualquier actuación realizada en virtud de los artículos 15 a 22 y 34 serán a título gratuito. Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo, el responsable del tratamiento podrá:
- a)cobrar un canon razonable en función de los costes administrativos afrontados para facilitar la información o la comunicación o realizar la actuación solicitada, o
- b)negarse a actuar respecto de la solicitud. El responsable del tratamiento soportará la carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud.” Asimismo, el artículo 12.7 de la LOPDGDD establece que: “7. Serán gratuitas las actuaciones llevadas a cabo por el responsable del tratamiento para atender las solicitudes de ejercicio de estos derechos, sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del Reglamento (UE) 2016/679 y en los apartados 3 y 4 del artículo 13 de esta ley orgánica.” La parte reclamada manifiesta el carácter repetitivo de la solicitud de acceso de la parte reclamante. En este sentido, la LOPDGDD establece en sus 3 y 4, que: “3. A los efectos establecidos en el artículo 12.5 del Reglamento (UE) 2016/679 se podrá considerar repetitivo el ejercicio del derecho de acceso en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. 4. Cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, la solicitud será considerada excesiva, por lo que dicho afectado asumirá el exceso de costes que su elección comporte. En este caso, solo será C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/19 exigible al responsable del tratamiento la satisfacción del derecho de acceso sin dilaciones indebidas.” En el presente caso, del examen de la documentación aportada, cabe concluir que no puede considerarse excesiva ni repetitiva la solicitud de la parte reclamante, y por ello, no procede el cobro de un canon. Teniendo en cuenta todo lo anteriormente expuesto, examinada la documentación aportada por las partes, ha quedado acreditado que la parte reclamante solicitó a la parte reclamada el acceso a los datos de su padre fallecido, así como copia de una serie de documentos donde constan los datos de éste, y que la parte reclamada le contestó, una vez transcurrido el plazo para ello, facilitándole el acceso solicitado y copia de varios documentos. La parte reclamante muestra su disconformidad con la información que han facilitado indicando que la parte reclamada tiene más información que no le ha facilitado, y aporta copia de varios documentos que obran en su poder para justificar ese hecho. Sin embargo, la parte reclamada señala, y lo ha reiterado en varias ocasiones, que no dispone de más información justificándolo en los plazos de conservación derivados de la naturaleza de la información. En este caso, como ya se ha indicado anteriormente, esta Agencia carece de competencias para valorar las circunstancias relativas a esos plazos de conservación. En consecuencia de todo lo anteriormente expuesto, procede estimar, por motivos formales, la reclamación presentada al haber sido atendido el derecho una vez transcurrido el plazo para ello. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR por motivos formales, la reclamación formulada por A.A.A. contra MAQUINARIA TALLERES NÚÑEZ, S.L.. No obstante, no procede la emisión de nueva certificación por parte de la parte reclamada, al haberse emitido la respuesta extemporáneamente, sin que se requiera la realización de actuaciones adicionales por parte del responsable. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a MAQUINARIA TALLERES NÚÑEZ, S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/19 Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1381-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es