← España

PD-00039-2026

1/15  Expediente N.º: EXP202602271 (PD/00039/2026) RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 20 de agosto de 2025 ante esta Agencia Española de Protección de Datos (en lo sucesivo, AEPD) y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: A.A.A. (en lo sucesivo, la parte reclamante) ejerció el derecho de acceso frente a la entidad JOB MEDICAL, S.L., con CIF B82144551 (en lo sucesivo, JOB MEDICAL o la parte reclamada). La parte reclamante ejercitó el derecho de acceso frente a la parte reclamada, en el marco de una de revisión médica realizada a instancia de la empresa para la que prestaba servicios, y asegura no haber recibido respuesta. Asimismo, asegura que se producen cesiones no autorizadas de datos entre la parte reclamada y la empresa para la que presta sus servicios y respecto a la que se encuentra en situación de incapacidad temporal. Junto al escrito de reclamación se aporta la siguiente documentación, en lo que interesa al presente procedimiento: - Documento 1.- Fecha: 10/07/2025. “Solicitud de ejercicio del derecho de acceso (art. 15 RGPD)”. Escrito firmado por la reclamante dirigido al responsable de protección de datos de JOB MEDICAL, S.L., mediante el cual ejercita el derecho de acceso en relación con el tratamiento de sus datos personales en el contexto de una revisión médica realizada el 14/05/2025. En el escrito solicita copia de sus datos personales incluyendo fines, categorías de datos, destinatarios, posibles transferencias internacionales, plazo de conservación, decisiones automatizadas, origen de los datos, acceso a grabaciones telefónicas y copia de informes o comunicaciones remitidas a terceros. - Documento 2.- Fecha: 10/07/2025. “Resguardo de admisión de burofax Premium Plus” emitido por la Sociedad Estatal Correos y Telégrafos, S.A., acreditativo del envío de un burofax remitido por la reclamante a JOB MEDICAL, S.L. - Documento 3.- Fecha: 15/07/2025. “Certificación de gestión de entrega del envío postal” emitida por la Sociedad Estatal Correos y Telégrafos, S.A., en la que consta un primer intento de entrega el 11/07/2025 con resultado “ausente” y que el envío quedó posteriormente pasado a lista el 15/07/2025. - Documento 4.- Fecha: 19/08/2025. “Certificación de imposibilidad de entrega del burofax” expedida por la Sociedad Estatal Correos y Telégrafos, S.A., en la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/15 que se hace constar que el envío postal dirigido a JOB MEDICAL, S.L., fue finalmente devuelto a origen al no haber sido retirado en la oficina postal correspondiente. SEGUNDO: En fecha 16 de octubre de 2025, de conformidad con el artículo 65.4 de la LOPDGDD, se dio traslado de la reclamación a la parte reclamada para que procediera a su análisis e informara a esta Agencia, en el plazo de un mes, de las actuaciones realizadas en relación con los hechos objeto de la reclamación. TERCERO: En fecha 17 de noviembre de 2025 la entidad reclamada remitió a esta Agencia escrito de respuesta en el que manifestó, en síntesis, lo siguiente: - Que la reclamación tiene su origen en la supuesta falta de respuesta a una solicitud de ejercicio del derecho de acceso formulada por la parte reclamante mediante burofax, si bien afirma no haber tenido conocimiento efectivo de dicha solicitud al no haber recibido el envío, señalando que la primera noticia de la reclamación fue el requerimiento efectuado por la AEPD. Atribuye la ausencia de respuesta previa a la falta de conocimiento de la solicitud. - Indica que desarrolla su actividad como entidad especializada en la verificación de la enfermedad y control del absentismo laboral conforme al artículo 20.4 del Estatuto de los Trabajadores, actuando por encargo de empresas clientes, y que mantiene relación contractual con Aromas Andalucía, S.L., formalizada mediante contrato de prestación de servicios. - Afirma tratar únicamente datos administrativos básicos necesarios para iniciar el proceso de verificación de la situación de incapacidad temporal, sin acceso a diagnósticos ni información sanitaria adicional, salvo aceptación del trabajador, indicando que los datos son accesibles únicamente por personal sanitario y que no se realizan decisiones automatizadas ni elaboración de perfiles. - Que, en relación con la situación concreta de la parte reclamante, manifiesta que se intentó su citación para la verificación médica, produciéndose una negativa expresa a la comunicación de datos médicos, lo que impidió la realización del proceso, indicando que no existen informes clínicos ni grabaciones de llamadas, conservándose únicamente una trazabilidad administrativa mínima. Asimismo, enumera los datos personales de los que, según afirma, disponía del trabajador. Asegura, además, que los datos se encuentran bloqueados. - En relación con el derecho de acceso y su contestación, señala que, este ha de entenderse atendido mediante el propio escrito de contestación remitido a la AEPD en las actuaciones de traslado. Y señala que “se adjunta como acreditación de la respuesta la copia del presente escrito remitido a la reclamante o, en su caso, la constancia de entrega de la información por los canales seguros habilitados para tal efecto”. Junto al escrito de contestación, la parte reclamada aporta en lo que interesa al presente procedimiento de derechos, la siguiente documentación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/15 - Anexo III.- Copia certificada de imposición y contenido. Burofax de la parte reclamada dirigido a la parte reclamante de 17/11/2025 en el que se incluye una “contestación derecho acceso A.A.A.” coincidente, en esencia, con lo manifestado en la respuesta a la AEPD. CUARTO: En fecha 4 de febrero de 2026, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. QUINTO: En fecha 9 de febrero de 2026 se concedió a la parte reclamada trámite de audiencia, para que presentase las alegaciones que estimara convenientes SEXTO: En fecha 20 de febrero de 2026 la parte reclamada presenta ante esta Agencia escrito de alegaciones en el trámite de audiencia en el que manifiesta: - Que el derecho de acceso ejercitado por la reclamante sí fue atendido, afirmando que se dio respuesta y señala que dicha contestación ya fue aportada previamente ante la AEPD adjuntándose como Anexo III. Junto al escrito de alegaciones se presenta la siguiente documentación: - Documento 1.- Fecha: 17/11/2025. Certificación de Correos en el que se certifica la imposición de un burofax Premium (Urgente) remitido el 17 de noviembre de 2025 por JOB MEDICAL, S.L., dirigido a la reclamante. - Documento 2.- Escrito de la Asesoría Jurídica del Real e Ilustre Colegio Oficial de Médicos de Sevilla, fechado el 16/07/2025. En dicho escrito, dirigido a la reclamante, la Asesoría Jurídica del Real e Ilustre Colegio Oficial de Médicos de Sevilla, en relación con la consulta médica mantenida el 14/05/2025 con B.B.B., informa de que la interesada compareció en la fecha y hora señaladas para la verificación de su situación de incapacidad temporal por encargo de la entidad JOB MEDICAL, S.L. No obstante, durante el transcurso de la visita —según se indica en el documento— la interesada manifestó su negativa a ser asistida y a facilitar información clínica, así como a prestar consentimiento para el tratamiento y eventual transmisión de datos sanitarios, motivo por el cual no se pudo llevar a cabo anamnesis, exploración ni asistencia médica alguna. Asimismo, el escrito señala que, a efectos estrictamente laborales y en cumplimiento del encargo recibido por parte de JOB MEDICAL, S.L., se emitió un informe confidencial dirigido exclusivamente a dicha entidad, en el que se hizo constar la presencia de la interesada en la consulta y su negativa a prestar consentimiento, junto con la imposibilidad de realizar la valoración médica por tal causa. En el documento se indica que dicho informe no incluye diagnóstico clínico ni información sanitaria adicional, tratándose de un comunicado interno cuya finalidad era informar de la imposibilidad de realizar la revisión encargada. Finalmente, el escrito señala que el facultativo no ha remitido certificado, informe ni información médica a la empresa Aromas S.L. ni a ninguna entidad distinta de JOB MEDICAL, S.L., indicando asimismo que la actuación de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/15 consulta se ajustó a la normativa aplicable en materia de protección de datos personales. NOVENO: En fecha 23 de febrero de 2026 se concedió a la parte reclamante trámite de audiencia, para que presentase las alegaciones que estimara convenientes. DÉCIMO: En fecha 9 de marzo de 2026 la parte reclamada presenta ante esta Agencia escrito de alegaciones en el trámite de audiencia en el que manifiesta: - Manifiesta que la entidad reclamada fundamenta su contestación en la remisión de un burofax de fecha 17/11/2025 mediante el cual afirma haber atendido el derecho de acceso. - Expone que mediante burofax remitido el 11/07/2025 ejercitó el derecho de acceso solicitando información sobre el tratamiento de sus datos personales por parte de JOB MEDICAL, S.L., incluyendo copia de los datos tratados, fines y categorías de tratamiento, destinatarios, posibles transferencias internacionales, plazo de conservación, decisiones automatizadas, origen de los datos, acceso a grabaciones telefónicas y copia de informes o comunicaciones remitidas a terceros, así como información sobre las medidas de seguridad aplicadas a sus datos, especialmente los relativos a salud. - Señala que acudió a la consulta médica el 14/05/2025 en la fecha y lugar indicados, manifestando que no recibió informe médico alguno ni información sobre el tratamiento de sus datos de salud. Asimismo, cuestiona la veracidad de un supuesto “certificado de no aceptación de revisión médica” del que afirma haber tenido conocimiento a través de la empresa Aromas Andalucía, S.L. - Indica igualmente que la respuesta remitida mediante burofax el 19/11/2025 sería, a su juicio, incompleta o inexacta, señalando además que la dirección consignada en dicho envío sería incorrecta. Añade que no se negó a ser atendida en la consulta médica y que no se le facilitó copia del informe confidencial mencionado ni acceso a las grabaciones telefónicas solicitadas. - Finalmente, sostiene que la remisión de un burofax con posterioridad al inicio del procedimiento no puede considerarse una subsanación automática de una eventual infracción, cuando el tratamiento inicial de los datos personales se hubiera realizado sin base jurídica adecuada o sin cumplir el deber de información previsto en la normativa de protección de datos. Junto al escrito de alegaciones se presenta la siguiente documentación, que se corresponde con la ya aportada por la parte reclamante con su escrito de reclamación. FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/15 De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, (en adelante, RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, siguiendo el trámite previsto en el artículo 65.4 de la LOPDGDD, con carácter previo a la admisión a trámite de la reclamación de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, que da lugar al presente procedimiento, se dio traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida. El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 4 de febrero de 2026, a los efectos previstos en su artículo 64.1 y 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. Dicha admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/15 En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del RGPD. III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y ss. del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. IV Derecho de acceso El artículo 15 del RGPD, respecto del derecho de acceso, establece lo siguiente: 1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:

  1. a)los fines del tratamiento;
  2. b)las categorías de datos personales de que se trate; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/15
  3. c)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales;
  4. d)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
  5. e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
  6. f)el derecho a presentar una reclamación ante una autoridad de control;
  7. g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
  8. h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso 4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros. Debe tenerse en cuenta el principio de responsabilidad proactiva recogido en el artículo 5.2 del RGPD, que establece literalmente: “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo”. Este principio reviste especial relevancia en los procedimientos de tutela de derechos, pues implica que el responsable del tratamiento no solo debe cumplir con las obligaciones establecidas en el Reglamento, sino también poder acreditar de forma objetiva dicho cumplimiento. Por su parte, el artículo 13 de la LOPDGDD establece: 1. El derecho de acceso del afectado se ejercitará de acuerdo con lo establecido en el artículo 15 del Reglamento (UE) 2016/679. Cuando el responsable trate una gran cantidad de datos relativos al afectado y este ejercite su derecho de acceso sin especificar si se refiere a todos o a una parte de los datos, el responsable podrá solicitarle, antes de facilitar la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/15 información, que el afectado especifique los datos o actividades de tratamiento a los que se refiere la solicitud. 2. El derecho de acceso se entenderá otorgado si el responsable del tratamiento facilitara al afectado un sistema de acceso remoto, directo y seguro a los datos personales que garantice, de modo permanente, el acceso a su totalidad. A tales efectos, la comunicación por el responsable al afectado del modo en que este podrá acceder a dicho sistema bastará para tener por atendida la solicitud de ejercicio del derecho. No obstante, el interesado podrá solicitar del responsable la información referida a los extremos previstos en el artículo 15.1 del Reglamento (UE) 2016/679 que no se incluyese en el sistema de acceso remoto. 3. A los efectos establecidos en el artículo 12.5 del Reglamento (UE) 2016/679 se podrá considerar repetitivo el ejercicio del derecho de acceso en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima. 4. Cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, la solicitud será considerada excesiva, por lo que dicho afectado asumirá el exceso de costes que su elección comporte. En este caso, solo será exigible al responsable del tratamiento la satisfacción del derecho de acceso sin dilaciones indebidas. En particular, respecto del derecho de acceso a la historia clínica del paciente, éste se encuentra regulado en el artículo 18 de la Ley 41/2002, de 14 de noviembre, básica reguladora de la Autonomía del Paciente y de Derechos y Obligaciones en Materia de Información y Documentación Clínica (en lo sucesivo, LAP), cuyo tenor literal expresa: "1. El paciente tiene derecho de acceso, con las reservas señaladas en el apartado 3 de este artículo, a la documentación de la historia clínica y a obtener copia de los datos que figuran en ella. Los centros sanitarios regularán el procedimiento que garantice la observancia de estos derechos. 2. El derecho de acceso del paciente a la historia clínica puede ejercerse también por representación debidamente acreditada. 3. El derecho de acceso del paciente a la documentación de la historia clínica no puede ejercitarse en perjuicio del derecho de terceras personas a la confidencialidad de los datos que constan en ella recogidos en interés terapéutico del paciente, ni en perjuicio del derecho de los profesionales participantes en su elaboración, los cuales pueden oponer al derecho de acceso la reserva de sus anotaciones subjetivas. 4.Los centros sanitarios y los facultativos de ejercicio individual sólo facilitarán el acceso a la historia clínica de los pacientes fallecidos a las personas vinculadas a él, por razones familiares o, de hecho, salvo que el fallecido lo hubiese prohibido expresamente y así se acredite. En cualquier caso, el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/15 acceso de un tercero a la historia clínica motivado por un riesgo para su salud se limitará a los datos pertinentes. No se facilitará información que afecte a la intimidad del fallecido ni a las anotaciones subjetivas de los profesionales, ni que perjudique a terceros". Mientras que el artículo 15 de la LAP recoge el contenido mínimo de la historia clínica: "1. La historia clínica incorporará la información que se considere trascendental para el conocimiento veraz y actualizado del estado de salud del paciente. Todo paciente o usuario tiene derecho a que quede constancia, por escrito o en el soporte técnico más adecuado, de la información obtenida en todos sus procesos asistenciales, realizados por el servicio de salud tanto en el ámbito de atención primaria como de atención especializada. 2. La historia clínica tendrá como fin principal facilitar la asistencia sanitaria, dejando constancia de todos aquellos datos que, bajo criterio médico, permitan el conocimiento veraz y actualizado del estado de salud. El contenido mínimo de la historia clínica será el siguiente:
  9. a)La documentación relativa a la hoja clínico-estadística.
  10. b)La autorización de ingreso.
  11. c)El informe de urgencia.
  12. d)La anamnesis y la exploración física.
  13. e)La evolución.
  14. f)Las órdenes médicas.
  15. g)La hoja de interconsulta.
  16. h)Los informes de exploraciones complementarias.
  17. i)El consentimiento informado.
  18. j)El informe de anestesia.
  19. k)El informe de quirófano o de registro del parto.
  20. l)El informe de anatomía patológica.
  21. m)La evolución y planificación de cuidados de enfermería.
  22. n)La aplicación terapéutica de enfermería. ñ) El gráfico de constantes.
  23. o)El informe clínico de alta. Los párrafos b), c), i), j), k), I), ñ) y
  24. o)sólo serán exigibles en la cumplimentación de la historia clínica cuando se trate de procesos de hospitalización o así se disponga. 3. La cumplimentación de la historia clínica, en los aspectos relacionados con la asistencia directa al paciente, será responsabilidad de los profesionales que intervengan en ella. 4. La historia clínica se llevará con criterios de unidad y de integración, en cada institución asistencial como mínimo, para facilitar el mejor y más oportuno conocimiento por los facultativos de los datos de un determinado paciente en cada proceso asistencial". C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/15 Respecto a la conservación de la historia clínica, el artículo 17 de la LAP, en sus puntos 1 y 5, dispone que: "1. Los centros sanitarios tienen la obligación de conservar la documentación clínica en condiciones que garanticen su correcto mantenimiento y seguridad, aunque no necesariamente en el soporte original, para la debida asistencia al paciente durante el tiempo adecuado a cada caso y, como mínimo, cinco años contados desde la fecha del alta de cada proceso asistencial(...) 5. Los profesionales sanitarios que desarrollen su actividad de manera individual son responsables de la gestión y de la custodia de la documentación asistencial que generen". Por su parte, las Directrices 01/2022 del Comité Europeo de Protección de Datos (CEPD) resultan relevantes para interpretar el alcance del artículo 15 del RGPD. En su apartado 2.1 (“Objetivo del derecho de acceso”), el CEPD señala que el objetivo esencial del derecho de acceso es permitir al interesado conocer y verificar la licitud del tratamiento de sus datos personales, así como comprender cómo y con qué consecuencias se están tratando dichos datos. Desde esta perspectiva, el derecho de acceso no puede entenderse satisfecho por la mera emisión de una contestación formal, sino únicamente cuando el interesado obtiene efectivamente los datos y la información necesaria para ejercer ese control. El CEPD precisa, además, que el derecho de acceso se compone necesariamente de tres elementos que deben concurrir conjuntamente, tal como se expone en el resumen inicial de las Directrices y se desarrolla en el apartado 2.2.1 (“Definición del contenido del derecho de acceso”): (
  25. i)confirmación de si se están tratando o no datos personales del interesado; (
  26. ii)acceso a los propios datos personales tratados; y (iii) acceso a la información relativa al tratamiento (finalidades, categorías, destinatarios, plazos de conservación, origen, derechos del interesado, etc.). En consecuencia, una contestación que omite la entrega de los datos personales o la información exigida por el artículo 15.1 del RGPD no puede considerarse una respuesta válida aunque exista un escrito formal: - Sobre el alcance del “acceso a los datos personales” y la prohibición de respuestas genéricas Las Directrices subrayan que el “acceso a los datos personales” debe entenderse como acceso a los datos concretos que se están tratando, y no puede sustituirse por descripciones generales, listados abstractos o afirmaciones genéricas sobre el tratamiento. Esta idea se desarrolla en el apartado 4.2 (“Los datos personales a los que se refiere el derecho”), insistiendo en que el responsable no debe interpretar de forma restrictiva el concepto de datos personales accesibles en el artículo 15.1 RGPD. - Sobre la información de los fines del tratamiento El punto 114 de las Directrices precisa que la información sobre los fines debe ser específica, referida a los fines exactos perseguidos en el caso real del interesado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/15 solicitante. No basta con enumerar fines generales del responsable si no se aclara qué fines se aplican efectivamente al tratamiento de los datos del interesado. - Sobre la información de las categorías de datos personales El punto 115 de las Directrices indica que la información sobre categorías de datos puede requerir adaptación a la situación del interesado, de modo que se eliminen las categorías que hayan resultado no pertinentes para el caso del solicitante. - Sobre la información de los destinatarios El punto 116 de las Directrices recuerda que la información sobre destinatarios debe partir de la definición del artículo 4.9 del RGPD, basada en la divulgación de datos personales a una persona física o jurídica, autoridad pública, agencia u otro organismo. En consecuencia, la respuesta debe identificar los destinatarios (o categorías) en coherencia con esa noción de comunicación/divulgación. - Sobre la información del plazo de conservación El punto 118 de las Directrices establece que debe facilitarse información sobre el período previsto de conservación siempre que sea posible y, en caso contrario, los criterios utilizados para determinarlo. Además, la información debe ser suficientemente precisa para que el interesado conozca durante cuánto tiempo seguirán almacenándose sus datos. No basta una referencia genérica del tipo “supresión tras la expiración de los plazos legales de conservación”. Cuando existan distintos plazos de supresión según operaciones de tratamiento o categorías de datos, deben indicarse de forma diferenciada, centrando la explicación en los datos específicos del interesado. - Sobre la información de los derechos de rectificación, supresión, limitación, oposición y reclamación ante autoridad de control El punto 119 de las Directrices distingue entre: el derecho a presentar reclamación ante una autoridad de control (artículo 15.1.f), que no depende de las circunstancias del caso; y los derechos del artículo 15.1.e (rectificación, supresión, limitación u oposición), cuyo alcance varía según la base jurídica y las operaciones de tratamiento. Por ello, la respuesta del responsable debe adaptarse individualmente al caso del interesado y evitar incluir derechos no aplicables en esa situación concreta. - Sobre la información del origen de los datos cuando no se han obtenido del interesado El punto 120 de las Directrices indica que debe facilitarse “cualquier información disponible” sobre el origen de los datos cuando estos no se hayan recogido del interesado, precisando que el grado de información puede variar con el tiempo. - Sobre la existencia de decisiones automatizadas y elaboración de perfiles El punto 121 de las Directrices señala que el interesado tiene derecho a ser informado de manera significativa sobre la existencia y la lógica subyacente de decisiones automatizadas, incluida la elaboración de perfiles, así como sobre la importancia y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/15 consecuencias previstas del tratamiento. Añade que, cuando sea posible, la información debe ser más específica, conectada con los motivos que conducen a decisiones concretas relativas al interesado que solicita el acceso. - Sobre la forma de facilitar el acceso y la entrega de copia de los datos personales El apartado 2.2.2.1 de las Directrices recuerda que el artículo 15.3 del RGPD obliga al responsable del tratamiento a facilitar al interesado una copia gratuita de los datos personales objeto de tratamiento cuando este ejerce su derecho de acceso. En este sentido, las Directrices precisan que dicha copia se refiere a los datos personales tratados, sin que exista necesariamente la obligación de facilitar la reproducción de los documentos originales en los que dichos datos figuren. Asimismo, indican que la entrega de la copia no constituye un derecho adicional del interesado, sino la modalidad principal de materialización del derecho de acceso, al garantizar que el interesado reciba información completa sobre los datos personales que le conciernen y no un mero resumen. En consecuencia, la copia debe permitir al interesado comprender y verificar la licitud del tratamiento, en coherencia con el contenido del artículo 15.1 del RGPD, debiendo interpretarse el concepto de “copia” en un sentido amplio siempre que permita al interesado conservar la información. Por su parte, el apartado 5.2.2 de las Directrices señala que la forma ordinaria de atender el derecho de acceso consiste en facilitar una copia de los datos personales junto con la información prevista en el artículo 15 del RGPD. No obstante, el acceso puede instrumentarse también mediante otras modalidades —como la consulta presencial de expedientes, el acceso remoto o incluso la información oral— cuando resulte adecuado al caso, siempre que se garantice que el interesado obtiene un acceso completo y efectivo a los datos personales solicitados. La entrega de la información puede realizarse por distintos canales, como correo electrónico, correo postal o sistemas de autoservicio, debiendo adoptarse en todo caso las medidas técnicas y organizativas adecuadas para garantizar la seguridad de la información. Asimismo, el apartado 5.2.5 de las Directrices recuerda que, conforme al artículo 12.1 del RGPD, la información relativa al derecho de acceso debe facilitarse por escrito u otros medios, incluidos los electrónicos cuando proceda, y que el artículo 15.3 del RGPD establece que, cuando la solicitud se presente por vía electrónica y el interesado no solicite otra modalidad, la información deberá proporcionarse en formato electrónico. Dado que el RGPD no define qué debe entenderse por dicho formato, este debe determinarse mediante una evaluación objetiva, atendiendo a los formatos habitualmente utilizados en el ámbito correspondiente o, en su defecto, a formatos abiertos basados en estándares reconocidos. En todo caso, el formato elegido debe ser accesible para el interesado y permitirle consultar y conservar la información sin exigir la adquisición de programas específicos. Finalmente, las Directrices precisan que la entrega de una copia no implica necesariamente facilitar los documentos originales en los que figuren los datos personales, pudiendo proporcionarse una recopilación completa de los datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/15 personales tratados, si bien determinadas características de los propios datos —como la escritura manuscrita o las grabaciones— pueden requerir el acceso al soporte original. - Sobre el estándar cualitativo de la respuesta del responsable Las Directrices recuerdan que el artículo 12 del RGPD fija no solo un plazo, sino un estándar cualitativo: el responsable debe facilitar el acceso de forma concisa, transparente, inteligible y de fácil acceso. El concepto de “medidas oportunas” no puede emplearse para restringir el alcance del derecho ni el contenido de la información. De ello se desprende que una respuesta tardía o incompleta no equivale a un cumplimiento material del derecho. IV Conclusión De conformidad con lo dispuesto en el artículo 57.1.
  27. f)del RGPD, corresponde a las autoridades de control tramitar las reclamaciones presentadas por los interesados cuando consideren que el tratamiento de sus datos personales infringe lo dispuesto en dicha norma. Por su parte, los artículos 63 y 64 de la LOPDGDD, atribuyen a la AEPD la competencia para conocer de las reclamaciones formuladas por los interesados cuando consideren que no han sido atendidos adecuadamente los derechos reconocidos en los artículos 15 a 22 del RGPD. En este contexto, el objeto del presente procedimiento se circunscribe exclusivamente a determinar si la solicitud de ejercicio del derecho de acceso formulada por la parte reclamante ha sido atendida conforme a lo previsto en los artículos 12 y 15 del RGPD y en las disposiciones concordantes de la LOPDGDD. Se dejarán fuera del presente procedimiento otras cuestiones que excedan de estos aspectos, que recibirán su tratamiento separado si procede. En el presente caso consta que la parte reclamante ejercitó el derecho de acceso mediante comunicación dirigida a la entidad JOB MEDICAL, S.L. Así, en fecha 10/07/2025 remitió un burofax Premium con certificación de contenido dirigido a dicha entidad, a la atención de su responsable de protección de datos, que incluía el escrito titulado “Solicitud de ejercicio del derecho de acceso (art. 15 RGPD)”. En dicho escrito la interesada solicitaba, entre otros extremos, confirmación acerca de si se estaban tratando datos personales que le conciernen, acceso a dichos datos y a la información prevista en el artículo 15 del RGPD, incluyendo los fines del tratamiento, las categorías de datos tratados —también los relativos a salud—, los destinatarios o categorías de destinatarios, posibles transferencias internacionales, el plazo de conservación, la existencia de decisiones automatizadas, el origen de los datos, así como acceso a grabaciones telefónicas y copia de informes o comunicaciones remitidas a terceros. No obstante, de la certificación de gestión de entrega emitida por el operador postal se desprende que dicho envío no llegó a ser entregado al destinatario, constando que fue finalmente devuelto a origen el día 19/08/2025 al no haber sido retirado en la oficina postal correspondiente. Posteriormente, en el marco de las actuaciones desarrolladas ante esta Agencia, la entidad reclamada manifestó que no tuvo conocimiento efectivo de la solicitud de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/15 ejercicio del derecho de acceso hasta la recepción del requerimiento efectuado por esta Agencia, indicando que, una vez tuvo conocimiento de la reclamación, procedió a remitir una contestación el 17/11/2025, en la que informó sobre los datos existentes en relación con la reclamante y sobre las circunstancias en las que se desarrolló la revisión médica. Sin embargo, examinado el contenido de la respuesta remitida por JOB MEDICAL, S.L. a la parte reclamante, no puede considerarse acreditada una atención plena y materialmente suficiente del derecho de acceso ejercitado. En efecto, aunque la entidad facilita determinada información general sobre el tratamiento realizado y aporta algunos datos concretos relativos a la reclamante —incluyendo determinados datos identificativos y una relación cronológica de actuaciones administrativas—, la respuesta no satisface íntegramente las exigencias establecidas en los artículos 12 y 15 del RGPD, en relación con el artículo 13 de la LOPDGDD, al no proporcionar de forma completa, clara e individualizada todos los extremos legalmente exigibles. En particular, la respuesta no ofrece información suficientemente precisa sobre los destinatarios o categorías de destinatarios de los datos, el origen de los mismos, el plazo de conservación aplicable, ni facilita de manera completa la información relativa a los derechos contemplados en el artículo 15.1.
  28. e)y
  29. f)del RGPD, ni garantiza un acceso efectivo a la totalidad de los datos personales existentes vinculados al caso concreto, limitándose a realizar manifestaciones generales sobre el tratamiento. En este sentido, las Directrices 01/2022 del Comité Europeo de Protección de Datos sobre el derecho de acceso señalan que el objetivo esencial del artículo 15 del RGPD es permitir al interesado conocer y verificar la licitud del tratamiento de sus datos personales, lo que exige que el responsable facilite no solo una respuesta formal, sino el acceso efectivo a los datos personales y a toda la información relativa al tratamiento. Asimismo, dichas Directrices precisan que el derecho de acceso comprende necesariamente tres elementos: la confirmación de si se están tratando datos personales, el acceso a los propios datos personales y el acceso a la información relativa al tratamiento. En consecuencia, atendiendo al contenido de la respuesta facilitada por la entidad reclamada y a la normativa aplicable, debe concluirse que la respuesta proporcionada por la reclamada no resulta suficiente para tener por debidamente atendido el derecho de acceso ejercitado por la parte reclamante, al no cumplir plenamente las obligaciones de información y acceso establecidas en la normativa de protección de datos personales Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por A.A.A. frente a la entidad JOB MEDICAL, S.L., al considerar que se ha infringido lo dispuesto en el Artículo 15 del RGPD e instar a la entidad JOB MEDICAL, S.L.,, para que, en el plazo de diez días hábiles desde que la presente resolución sea firme y ejecutiva, remita a la parte reclamante certificación por la que se atienda el derecho de Acceso ejercido o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. Las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/15 actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de una infracción del artículo 83.6 del RGPD, calificada como muy grave a los efectos de prescripción en el artículo 72.1.
  30. m)de la LOPDGDD, que se sancionará, de acuerdo con el art. 58.2 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a la entidad JOB MEDICAL, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.