PD-00048-2026

1/8  Expediente N.º: EXP202519341 (PD/00048/2026) RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 28 de agosto de 2025 ante esta Agencia Española de Protección de Datos (en lo sucesivo, AEPD) y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: En fecha 20 de agosto de 2025 el Banco de España (en lo sucesivo, BE) remitió a esta Agencia la reclamación formulada ante dicho Organismo por A.A.A. (en lo sucesivo, la parte reclamante), al apreciar que su objeto se encontraba relacionado con la protección de datos personales. Junto al oficio de traslado se incorporó la siguiente documentación: - Documento 1.- Fechado el 25/02/2025, escrito remitido por la parte reclamante a la entidad BANCO DE SANTANDER, S.A, (en lo sucesivo, la parte reclamada), en el que ejercitaba el derecho de acceso a sus datos personales, solicitando en particular la identidad de los empleados que accedieron a los mismos, así como la fecha y hora de dichos accesos. - Documento 2.- Fechado el 24/03/2025, escrito de contestación de la parte reclamada en el que se deniega facilitar la identidad de los empleados que hubieran accedido a los datos del reclamante. - Documento 3.- Fechado el 13/08/2025, escrito de reclamación presentado por la parte reclamante ante el BE en el que manifiesta su disconformidad con la respuesta recibida por la parte reclamada. SEGUNDO: En fecha 12 de noviembre de 2025, de conformidad con el artículo 65.4 de la LOPDGDD, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. TERCERO: En fecha 20 de noviembre de 2025, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: En fecha 17 de diciembre de 2025 la parte reclamada presenta escrito de contestación al traslado realizado por esta Agencia en el que manifiesta que el reclamante sostiene que determinados trabajadores habrían accedido indebidamente a sus cuentas, motivo por el cual ejercitó el 25/02/2025 su derecho de acceso solicitando la identificación de los empleados y la fecha y hora de los accesos a sus datos personales; confirma haber respondido mediante escrito de 24/03/2025 denegando facilitar dicha identificación y sostiene que el derecho de acceso del artículo 15 del RGPD no alcanza a los datos personales de terceros, incluidos los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/8 empleados, limitándose a la información sobre categorías de destinatarios y finalidades. QUINTO: En fecha 11 de febrero de 2026 se concedió a la parte reclamada trámite de audiencia, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes. SEXTO: En fecha 2 de marzo de 2026 la parte reclamada presenta escrito de alegaciones en el que manifiesta, en síntesis, que la solicitud del reclamante incluía, entre otros extremos, las fechas y horas de los accesos a sus datos personales y la identificación de los empleados que hubieran accedido a los mismos en los catorce meses anteriores, indicando que su respuesta inicial se centró en denegar la identificación de dichos empleados; asimismo, reconoce que no facilitó inicialmente la información relativa a fechas y horas de acceso, señalando que posteriormente ha remitido comunicación complementaria con dichos datos, por lo que considera que la solicitud de acceso ha sido adecuadamente atendida. SÉPTIMO: En fecha 4 de marzo de 2026 se requiere a la parte reclamada para que aporte nuevamente la documentación que manifiesta haber adjuntado, al no constar incorporada o resultar accesible en el registro electrónico. OCTAVO: En fecha 9 de marzo de 2026 se concedió a la parte reclamante trámite de audiencia para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes. La notificación del trámite de audiencia se practicó conforme a las normas establecidas en la LPACAP, mediante notificación electrónica el 9/03/2026 como consta en el justificante de recibo que figura en el expediente. No consta respuesta de la parte reclamante en el plazo conferido. NOVENO: En fecha 19 de marzo de 2026 la parte reclamada presenta escrito de alegaciones en el que manifiesta haber aportado en plazo la documentación, reiterando su presentación y solicitando que se tenga por subsanada su falta de incorporación. Junto al escrito de alegaciones presenta un certificado de comunicación fechado el 2/03/2026, relativo al envío de un correo electrónico al reclamante, en el que se da respuesta a su solicitud de ejercicio del derecho de acceso, facilitando información sobre los accesos realizados a sus datos personales, incluyendo la relación de fechas y horas en que dichos accesos tuvieron lugar, así como la indicación de que las personas que los realizaron pertenecen a la categoría de empleados del banco, señalando que tales accesos se efectuaron en el ámbito de sus funciones. FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/8 De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, (en adelante, RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, siguiendo el trámite previsto en el artículo 65.4 de la LOPDGDD, con carácter previo a la admisión a trámite de la reclamación de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, que da lugar al presente procedimiento, se dio traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida. El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 20 de noviembre de 2025, a los efectos previstos en su artículo 64.1 y 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. Dicha admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/8 En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del RGPD. III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y ss. del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. IV Derecho de acceso Establece el artículo 15 del RGPD, sobre el derecho de acceso, lo siguiente: “1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:

1. a)los fines del tratamiento;
2. b)las categorías de datos personales de que se trate; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/8
3. c)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales;
4. d)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
5. e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
6. f)el derecho a presentar una reclamación ante una autoridad de control;
7. g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
8. h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros. Por su parte, el artículo 13 de la LOPDGDD, sobre el derecho de acceso, establece: “1. El derecho de acceso del afectado se ejercitará de acuerdo con lo establecido en el artículo 15 del Reglamento (UE) 2016/679. Cuando el responsable trate una gran cantidad de datos relativos al afectado y este ejercite su derecho de acceso sin especificar si se refiere a todos o a una parte de los datos, el responsable podrá solicitarle, antes de facilitar la información, que el afectado especifique los datos o actividades de tratamiento a los que se refiere la solicitud. El derecho de acceso se entenderá otorgado si el responsable del tratamiento facilitara al afectado un sistema de acceso remoto, directo y seguro a los datos personales que garantice, de modo permanente, el acceso a su totalidad. A tales efectos, la comunicación por el responsable al afectado del modo en que este podrá acceder a dicho sistema bastará para tener por atendida la solicitud de ejercicio del derecho. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/8 No obstante, el interesado podrá solicitar del responsable la información referida a los extremos previstos en el artículo 15.1 del Reglamento (UE) 2016/679 que no se incluyese en el sistema de acceso remoto. A los efectos establecidos en el artículo 12.5 del Reglamento (UE) 2016/679 se podrá considerar repetitivo el ejercicio del derecho de acceso en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima. Cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, la solicitud será considerada excesiva, por lo que dicho afectado asumirá el exceso de costes que su elección comporte. En este caso, solo será exigible al responsable del tratamiento la satisfacción del derecho de acceso sin dilaciones indebidas”. Conforme a lo establecido en el artículo 15 del RGPD y en el artículo 13 de la LOPDGDD, el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a dichos datos personales. En particular, el artículo 15 del RGPD reconoce al interesado el derecho a acceder tanto a los propios datos personales objeto de tratamiento como a la información relativa al mismo —entre otros extremos, los fines del tratamiento, las categorías de datos personales, los destinatarios o categorías de destinatarios, el plazo previsto de conservación o los criterios utilizados para determinarlo, la información disponible sobre el origen de los datos cuando no se hayan obtenido del interesado y los demás extremos previstos en la norma—, así como a obtener una copia de los datos personales objeto de tratamiento (artículo 15.3 RGPD), sin perjuicio de los límites relativos a los derechos y libertades de terceros previstos en el artículo 15.4 del citado Reglamento. En el plano interno, el artículo 13 de la LOPDGDD concreta determinados aspectos instrumentales del ejercicio del derecho de acceso, como la posibilidad de solicitar al afectado que especifique los datos o actividades de tratamiento cuando se trate de una gran cantidad de datos, la posibilidad de atender el derecho mediante sistemas de acceso remoto o las reglas aplicables a solicitudes repetitivas o excesivas. No obstante, dichas previsiones no alteran el contenido esencial del derecho reconocido en el artículo 15 del RGPD, que exige una respuesta materialmente apta para permitir al interesado conocer los datos tratados y las características del tratamiento. V Conclusión En el presente caso, consta que la parte reclamante ejercitó en fecha 25/02/2025 su derecho de acceso frente a la parte reclamada solicitando información relativa a los accesos realizados a sus datos personales, incluyendo la identificación de los empleados que hubieran accedido a los mismos, así como la fecha y hora de dichos accesos. La entidad reclamada dio respuesta mediante escrito de 24/03/2025, en el que denegó facilitar la identidad de los empleados, sin proporcionar, no obstante, información relativa a las fechas y horas de los accesos. Posteriormente, en el marco de la tramitación del presente procedimiento, la entidad reclamada reconoció no haber facilitado inicialmente la información necesaria y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/8 remitió, en fecha 02/03/2026, una comunicación complementaria en la que aportó las fechas y horas de los accesos realizados, así como la categoría de las personas que los efectuaron, identificadas como empleados. Desde la perspectiva del derecho de acceso reconocido en el artículo 15 del RGPD, debe señalarse que este no comprende, con carácter general, la identificación individualizada de los empleados del responsable del tratamiento que hayan accedido a los datos personales, en la medida en que dicha información constituye datos personales de terceros y se encuentra sujeta a los límites establecidos en el artículo 15.4 del RGPD. No obstante, sí forma parte del contenido material de dicho derecho la información relativa a las fechas y horas de los accesos, en cuanto permite al interesado conocer y verificar el tratamiento de sus datos personales. En consecuencia, al no haberse facilitado dicha información dentro del plazo de un mes previsto en el artículo 12.3 del RGPD, sino de forma extemporánea, procede considerar que se ha producido una falta de atención en plazo del derecho de acceso ejercitado por el reclamante. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR por motivos formales la reclamación formulada por A.A.A. frente a la entidad BANCO SANTANDER, S.A., con CIF A39000013. No obstante, no procede la emisión de nueva certificación por parte de la parte reclamada, al haberse emitido la respuesta extemporáneamente, sin que se requiera la realización de actuaciones adicionales por parte del responsable. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a la entidad BANCO SANTANDER, S.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Reso-lución se hará pública. La publicación se realizará una vez se haya notificado a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/8 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es