1/14 Expediente N.º: EXP202317220 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 6 de noviembre de 2023 ante esta Agencia y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: Con fecha 06 de noviembre de 2023 tuvo entrada en esta Agencia reclamación presentada por Dª A.A.A. (en adelante, la parte reclamante) contra HOTELES TURÍSTICOS UNIDOS, S.A. (en adelante, la parte reclamada) por no haber sido debidamente atendido su derecho de acceso. La parte reclamante señala que en fecha 5 de octubre de 2023 remitió solicitud de acceso a grabaciones del sistema de videovigilancia de un establecimiento hotelero de la entidad reclamada, remitiendo su solicitud a la dirección de correo electrónico ***EMAIL.1, sin haber obtenido contestación una vez transcurrido el plazo para ello. Aporta copia del correo electrónico remitido, certificado de envío, escrito de solicitud y fotografía de la reclamante enviada a la parte reclamada. Por parte de esta Agencia se ha comprobado que en la Política de Privacidad publicada en la web de la entidad reclamada si bien figura como medio para el ejercicio de los derechos de protección de datos, el canal postal, también aparece publicada la dirección electrónica de correo del Delegado de Protección de Datos de la parte reclamada: ***EMAIL.1, dirección a la que se remitió la solicitud de acceso de la parte reclamante. SEGUNDO: De conformidad con el artículo 65.4 de la LOPDGDD, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La parte reclamada manifiesta que recibió la solicitud de la parte reclamante ejercitando su derecho de acceso, pero que no atendieron el citado derecho porque las imágenes solicitadas iban a ser aportadas en un juicio por una demanda laboral de la parte reclamante según indica el auto del Juzgado de lo Social n.º XX de Madrid de ***FECHA.
- La parte reclamada indica que no tienen por qué aportarse de forma anticipada sino que se aportarán en el acto del juicio, cuyas diligencias son conocidas por la parte reclamante, que es parte en las mismas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 Se señala por la parte reclamada que su sistema elimina las grabaciones de forma automática en un plazo inferior a un mes, por lo que el responsable del mismo realizó una copia de las imágenes solicitadas adoptando las medidas técnicas y organizativas pertinentes para impedir su tratamiento, incluyendo la visualización, para su puesta a disposición a los jueces y tribunales. La parte reclamada manifiesta que ha actuado en todo momento con buena fe y que ha seguido el curso del proceso judicial iniciado por la parte reclamante y del que desiste posteriormente tal y como se recoge en el acta de desistimiento de 30 de noviembre de 2023, del que aporta copia. La parte reclamada iba a aportar las imágenes en el acto del juicio. Con ocasión de esta reclamación la parte reclamada manifiesta que ha actualizado sus modelos de solicitud de imágenes (aportan copia) para ejercitar acciones judiciales. Por último indica que, tras desistir la parte reclamante de su demanda en la vía judicial, valoraría una nueva solicitud de acceso a estas imágenes por la parte reclamante. Aporta copia de la respuesta remitida a la parte reclamante indicando que las imágenes se entregarían en sede judicial para hacer valer su derecho a la defensa y para la protección de los derechos de los terceros que aparecen en las grabaciones. TERCERO: El resultado del trámite de traslado indicado en el Hecho anterior no permitió entender satisfechas las pretensiones de la parte reclamante porque la parte reclamada no ha acreditado haber facilitado el acceso, perjudicando el derecho a la tutela judicial efectiva de la parte reclamante, a la que podían haber facilitado (si no las imágenes por aparecer terceras personas) el acceso mediante escrito certificado en el que con la mayor precisión posible se especificarán los datos de la parte reclamante objeto del tratamiento. En consecuencia, con fecha 6 de febrero de 2024, a los efectos previstos en el artículo 64.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada. El mencionado acuerdo concedió a la parte reclamada trámite de audiencia, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes. La parte reclamada indica, en síntesis, que “(…) Reiteramos todos los extremos mencionados en nuestras alegaciones presentadas ante la AEPD en fecha 29/12/
- Específicamente, en relación con la cronología de los hechos, de vital importancia, teniendo en cuenta que paralelamente al ejercicio de derechos, de fecha 05/10/2023, la solicitante había presentado una demanda frente a esta entidad, entre otras, de la que tenemos noticias el mismo 10/10/
- Es en ese traslado cuando el Juzgado de lo Social nº XX de Madrid decide dictaminar no ha lugar a proporcionar la prueba de modo anticipado, refiriéndose a la solicitud de la parte demandante de que HOTELES TURISTICOS UNIDOS S.A. aportara la grabación de videovigilancia con anterioridad a la vista, que iba a tener lugar el 30/11/
- C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 En consecuencia, siguiendo con lo dictaminado por la autoridad judicial, un día antes, el 29/11/2023, el responsable de las imágenes de videovigilancia, ALAIN HOTELS, S.L.U, dio contestación a la solicitud de derecho de acceso en cuestión indicándole, entre otras cosas, que la grabación se aportaría en el acto de la vista, momento procesal apropiado según la autoridad judicial.” Sin embargo, la parte reclamada no tuvo oportunidad de aportar esas imágenes al Juzgado porque éste les comunicó el desistimiento de la parte reclamante a continuar con el procedimiento judicial. “
- En relación con la afirmación de la AEPD, alegando que se podría "haber facilitado (si no las imágenes por aparecer terceras personas) el acceso mediante escrito certificado en el que, con la mayor precisión posible, se especificarán los datos de la parte reclamante objeto del tratamiento", es importante resaltar que no habría sido una respuesta correcta ni conforme a los intereses de ninguna de las partes, con base en los siguientes motivos: • En el escrito de solicitud de ejercicio de derecho de acceso se solicitan específicamente las "grabaciones de video de las cámaras de vigilancia", reflejando de manera cristalina que lo que interesaba realmente, según sus comunicaciones, era el aseguramiento de las grabaciones (el cual se efectuó y así se le comunicó), no un escrito especificando lo que sucedía en las mismas, descripción que fácilmente puede caer en el subjetivismo y crear indefensión a las partes del procedimiento judicial. • El responsable de las imágenes debía hacer valer su derecho de defensa, así como por otro lado cumplir con su obligación legal de proteger los derechos de protección de datos, intimidad y propia imagen de los demás sujetos que aparecen en las grabaciones de videovigilancia solicitadas.” La parte reclamada manifiesta que “Finalmente, una vez desaparecidas las causas para la denegación del derecho de acceso por haber finalizado el procedimiento judicial en el que HOTELES TURISTICOS UNIDOS S.A. era parte demandada, se ha facilitado acceso a los datos a través de una descripción de las imágenes de videovigilancia, y prueba de ello es el Documento 1 que adjuntamos.” CUARTO: Examinado el escrito presentado por la parte reclamada, se traslada a la parte reclamante, para que, en el plazo de diez días hábiles formule las alegaciones que considere oportunas. La parte reclamante ha señalado, en síntesis, y por lo que al presente procedimiento interesa, que la parte reclamada le remitió dos respuestas. La primera de ellas, en fecha 29 de noviembre de 2023, denegando su solicitud porque las imágenes solicitadas iban a ser presentadas en el procedimiento judicial, y la segunda, en fecha 19 de abril de 2024, en la que no se proporciona copia de las imágenes, sino una descripción de dichas imágenes de videovigilancia. “La solicitud de acceso debió concederse con independencia de la demanda laboral interpuesta por la actora. No es la demanda laboral, o no sólo ella, la razón que justifica que la actora ejercitara su derecho de acceso. Pero HOTUSA, en una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 interpretación distorsionada de la norma y del alcance de su derecho a la defensa, anuda la demanda laboral de la actora a su solicitud de acceso a las grabaciones de videovigilancia. Y en tal absurda base se apoya para negar tal acceso.” La parte reclamante indica que “(…) En el presente caso, el interés legítimo invocado parece referirse especialmente al derecho fundamental a la tutela judicial efectiva (art. 24 CE), en la medida en que las imágenes grabadas se utilizarán, según alega la consultante, para la obtención de pruebas para formular posterior denuncia por delito, o reclamación por responsabilidad extracontractual, o contractual (...) El alcance del derecho a la tutela judicial en relación con la prueba ha sido abordado, entre otras, en la STC 212/2013, de 16 de diciembre, en la que se hace referencia, citando la STC 88/2014, de 28 de mayo a “las íntimas relaciones del derecho a la prueba con otros derechos garantizados en el art. 24 CE. Concretamente, en nuestra doctrina constitucional hemos hecho hincapié en la conexión de este específico derecho constitucional con el derecho a la tutela judicial efectiva (art. 24.1 CE), cuyo alcance incluye las cuestiones relativas a la prueba (SSTC 89/1986, de 1 de julio, FJ 2; 50/1988, de 22 de marzo, FJ 3; 110/1995, de 4 de julio, FJ 4; 189/1996, de 25 de noviembre, FJ 3; y 221/1998, de 24 de noviembre, FJ 3), y con el derecho de defensa (art. 24.2 CE), del que es inseparable (SSTC 131/1995, de 11 de septiembre, FJ 2; 1/1996, de 15 de enero, FJ 2; y 26/2000, de 31 de enero, FJ 2)’’ (STC 19/2001, de 29 de enero, FJ 4; y, en el mismo sentido, STC 133/2003, de 30 de junio, FJ 3)». En las reseñadas SSTC 19/2001 y 133/2003 el Tribunal Constitucional apuntaba que “ha sido justamente esta inescindible conexión (con los otros derechos fundamentales mencionados, en particular el derecho a obtener una tutela judicial efectiva), la que ha permitido afirmar que el contenido esencial del derecho a utilizar los medios de prueba pertinentes se integra por el poder jurídico que se reconoce a quien interviene como litigante en un proceso de provocar la actividad procesal necesaria para lograr la convicción del órgano judicial sobre la existencia o inexistencia de los hechos relevantes para la decisión del conflicto objeto del proceso (por todas, STC 37/2000, de 14 de febrero, FJ 3)”. La relación entre los derechos a la protección de datos personales y a la tutela judicial ha sido, asimismo, analizada en el Informe de esta AEPD 469/2011 de 30 de diciembre de 2011, en el que se indica lo siguiente: “En este punto, debe recordarse que esta Agencia ya ha tenido la ocasión de analizar la posible concurrencia en un determinado supuesto de tratamiento de datos de los derechos fundamentales a la protección de datos de carácter personal y a la tutela judicial efectiva del responsable del tratamiento. Así, se ha considerado por ejemplo que el tratamiento por un abogado de los datos de la parte contraria de su cliente encuentra su amparo en el reconocimiento a éste último por el artículo 24.1 de la Constitución de su derecho a la tutela judicial efectiva, lo que implica, según el apartado 2, la defensa letrada y el uso de los medios de prueba pertinentes para la defensa de su derecho. En este sentido, el informe de 21 de febrero de 2001 se señalaba lo siguiente: “En este caso, como se dijo, el tratamiento por los abogados y procuradores de los datos referidos a la contraparte de sus clientes en los litigios en que aquéllos ejerzan la postulación procesal trae su causa, directamente, del derecho de todos los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 ciudadanos a la asistencia letrada, consagrado por el artículo 24.2 del Texto Constitucional. En efecto, la exigibilidad del consentimiento del oponente para el tratamiento de sus datos por el abogado o procurador supondría dejar a disposición de aquél el almacenamiento de la información necesaria para que su cliente pueda ejercer, en plenitud, su derecho a la tutela judicial efectiva. Así, la falta de estos datos puede implicar, lógicamente, una merma en la posibilidad de aportación por el interesado de “los medios de prueba pertinentes para su defensa”, vulnerándose otra de las garantías derivadas del citado derecho a la tutela efectiva y coartándose la posibilidad de obtener el pleno desenvolvimiento de este derecho. (...) De este modo, a efectos de efectuar la necesaria ponderación exigida, deberá plantearse si, atendiendo a las circunstancias concretas que se producen en el presente supuesto, el interés del tercero en acceder a determinadas imágenes debe prevalecer sobre el derecho a la protección de datos de los afectados personas físicas cuyos datos sean objeto de cesión.” La parte reclamante añade que “(…) Finalmente se ampara HOTUSA para su decisión denegatoria en su obligación de proteger los derechos de terceros que aparecen en las imágenes. (…) La actora solicitó el acceso a HOTUSA en la forma que ya se ha dicho. La actora necesita conocer dichos datos (grabaciones) para poder decidir adecuadamente en relación con su derecho a la tutela judicial. Y el interés expresado por HOTUSA para justificar su ilegal decisión denegatoria, a saber: "nuestra obligación de proteger los derechos de protección de datos, intimidad y propia imagen de los demás sujetos que aparecen en las grabaciones de videovigilancia solicitadas." No le permitía vulnerar, como se vulneró, el derecho de la actora a lo solicitado, sino que además le provoca un perjuicio consistente en obstaculizar su derecho a la tutela judicial. HOTUSA pudo, y debió haber cumplido su obligación a partir de la diligente labor de la actora, que proporcionó todos los elementos necesarios para ello. A la solicitud de acceso, que detallaba más allá de lo exigible su propia naturaleza y justificación, la actora adjuntó, para facilitar la tarea de HOTUSA, una foto suya actualizada para poder identificarla adecuadamente, una acotación de la ubicación en la que se dieron los hechos y una delimitación precisa de la franja horaria. Pero es que también se explicó que en las grabaciones no había aglomeraciones de personas que dificultaran esta labor, Y además la alegada protección de terceros es absurda porque la actora ya conoce la identidad de las otras personas que obran en las grabaciones. No es la identificación de la potencial destinataria de la actividad procesal de la actora (identificación a la que por otro lado tendría derecho igualmente por los criterios de la AEPD y de la jurisprudencia contenidos en las resoluciones que citamos de la propia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 AEPD). Es la realidad de los hechos que en dichas grabaciones se contienen. Y negando la solicitud de la actora, como decimos, HOTUSA la ha perjudicado vulnerando tanto su legítimo derecho de acceso al contenido de las grabaciones, como su derecho a la tutela judicial. Si temía por los derechos de terceros presentes en las grabaciones, HOTUSA podía fácilmente, y debía, haber tomado las medidas necesarias al efecto. Como limitar en su caso la franja horaria de ser esta excesiva una vez visionadas las grabaciones o difuminar el rostro de dichos terceros.” “(..) Respecto de la segunda respuesta del 19.04.24 mencionada en nuestro HECHO 5 en la que HOTUSA ha respondido NO PROPORCIONANDO EL ACCESO SOLICITADO por la ACTORA, sino PROPORCIONANDO UNA DESCRIPCIÓN DE LAS IMÁGENES DE VIDEOVIGILANCIA, consideramos que HOTUSA volvió a incurrir en incumplimiento respecto de su obligación como responsable de tratamiento. Si bien puede ser admitido en otras circunstancias distintas a nuestro caso el que no se proporcionen las grabaciones solicitadas, y se sustituyan por una descripción de los hechos en ellas contenidos, tal actuación no es aplicable a la solicitud de la actora. Ello tanto por los razonamientos ya expuestos en nuestro inmediato anterior Fundamento 2, como por los que se exponen más adelante.” La parte reclamante continúa exponiendo diversas cuestiones y finaliza que ”(…) Por todo lo expuesto, consideramos que la única forma correcta en Derecho de atender la solicitud de la actora es proporcionándole el acceso a las grabaciones. Que la narración dada por HOTUSA para nosotros carece de la mínima fiabilidad. Que de no proporcionarle HOTUSA a la actora dichas grabaciones se producirá una grave vulneración de los Derechos Fundamentales de la actora. Por un lado la vulneración de su derecho de acceso a los datos personales de la actora. Y por otro una vulneración de su derecho a la tutela judicial pues lo justo es que HOTUSA entregue de una vez dichas grabaciones a la actora, al haber ésta acreditado solventemente su intención de estudiar otras acciones, incluso penales, para las cuales es necesaria que se atienda su legítima petición. Sin que nada de ello ponga en riesgo ningún derecho de terceros obrante en las grabaciones, ni pueda ampararse HOTUSA en su proclamado derecho de defensa.” QUINTO: Otorgada audiencia a la parte reclamada, no consta que se haya presentado ante esta Agencia ninguna respuesta. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, siguiendo el trámite previsto en el artículo 65.4 de la LOPDGDD, con carácter previo a la admisión a trámite de la reclamación de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, que da lugar al presente procedimiento, se dio traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida. El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 6 de febrero de 2024, a los efectos previstos en su artículo 64.1 y 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. Dicha admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento. III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. IV Derecho de acceso Conforme a lo establecido en el artículo 15 del RGPD y artículo 13 de la LOPDGDD, "el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales". Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los "datos o actividades de tratamiento a los que se refiere la solicitud". El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo 15 del RGPD). El ejercicio de este derecho se podrá considerar repetitivo si se ejerce en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos personales de que se trate, los destinatarios o categorías de destinatarios a los que podrán comunicarse los datos, el plazo previsto o criterios de conservación, la posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la autoridad de control, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular), la existencia de decisiones automatizadas, incluida la elaboración de perfiles, e información sobre transferencias de datos personales a un tercer país o a una organización internacional. La posibilidad de obtener copia de los datos personales objeto de tratamiento no afectará negativamente a los derechos y libertades de otros. V Conclusión El procedimiento de derechos se instruye como consecuencia de la falta de atención de alguno de los derechos regulados en la normativa de protección de datos. Por ello, en el presente caso sólo se analizarán y valorarán los hechos relativos al ejercicio de estos derechos, quedando fuera el resto de cuestiones planteadas por las partes, tales como las manifestaciones de la parte reclamante “(…) Lo que ha hecho HOTUSA es, aparte de incumplir su obligación como responsable de tratamiento al no acceder a lo solicitado, es utilizar los datos personales de la actora en forma no prevista ni admitida por el RGPD ni la LOPDGDD. Es decir, para un fin distinto del que justificó su obtención. En el presente caso, y teniendo en cuenta lo dispuesto en el primer párrafo de este Fundamento de Derecho, del examen de la documentación aportada, ha quedado acreditado que la parte reclamante solicitó copia de unas imágenes de videovigilancia ante la parte reclamada, y que ésta no se las facilitó argumentando que no tenían por qué aportarse de forma anticipada sino que se aportarían en el acto del procedimiento judicial entre las partes. Sin embargo, la parte reclamada no tuvo oportunidad de aportar esas imágenes al Juzgado porque éste les comunicó el desistimiento de la parte reclamante a continuar con el procedimiento judicial. La parte reclamada señala que “(…) una vez desaparecidas las causas para la denegación del derecho de acceso por haber finalizado el procedimiento judicial en el que HOTELES TURISTICOS UNIDOS S.A. era parte demandada, se ha facilitado acceso a los datos a través de una descripción de las imágenes de videovigilancia, y prueba de ello es el Documento 1 que adjuntamos.” Asimismo, la parte reclamante manifiesta su disconformidad porque le han facilitado un documento en el que se relata lo ocurrido y no le han facilitado las imágenes, señalando que “(…) en las grabaciones no había aglomeraciones de personas que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 dificultaran esta labor, Y además la alegada protección de terceros es absurda porque la actora ya conoce la identidad de las otras personas que obran en las grabaciones.” Las Directrices 01/2022 sobre los derechos de los interesados, Derecho de acceso, adoptada el 28 de marzo de 2023 por el Comité Europeo de Protección de Datos indica: “
- El objetivo práctico del derecho de acceso es permitir que las personas físicas tengan el control sobre sus propios datos personales. Con el fin de lograr este objetivo de manera efectiva en la práctica, el RGPD pretende facilitar este ejercicio mediante una serie de garantías que permitan al interesado ejercer este derecho fácilmente, sin restricciones innecesarias, a intervalos razonables y sin retrasos ni gastos excesivos. Todo ello debe conducir a una aplicación más eficaz del derecho de acceso del interesado en la era digital, parte del cual, en un sentido más amplio, es también el derecho del interesado a presentar una reclamación ante la autoridad de control y el derecho a la tutela judicial efectiva. (…) Límites y restricciones El RGPD permite ciertas limitaciones del derecho de acceso. No hay otras exenciones o excepciones. El derecho de acceso no está sujeto a ninguna reserva general de proporcionalidad con respecto a los esfuerzos que el responsable del tratamiento debe realizar para satisfacer la solicitud del interesado. De conformidad con el artículo 15, apartado 4, el derecho a obtener una copia no afectará negativamente a los derechos y libertades de otros. El CEPD opina que estos derechos deben tenerse en cuenta no solo a la hora de conceder el acceso mediante la entrega de una copia, sino también si el acceso a los datos se facilita por otros medios (por ejemplo, el acceso in situ). Sin embargo, el artículo 15, apartado 4, no es aplicable a la información adicional sobre el tratamiento, tal como se establece en el artículo 15, apartado 1, letras a) a h). El responsable del tratamiento debe poder demostrar que los derechos o libertades de otros se verían afectados negativamente en la situación concreta. La aplicación del artículo 15, apartado 4, no debe dar lugar a la denegación total de la solicitud del interesado; solo daría lugar a la exclusión o la ilegibilidad de aquellas partes que puedan tener efectos negativos para los derechos y libertades de otros. El artículo 12, apartado 5, del RGPD permite a los responsables del tratamiento rechazar solicitudes que sean manifiestamente infundadas o excesivas, o cobrar un canon razonable por dichas solicitudes. Estos conceptos deben interpretarse en sentido estricto. Dado que existen muy pocos requisitos previos en relación con las solicitudes de acceso, el alcance de considerar que una solicitud es manifiestamente infundada es bastante limitado. Las solicitudes excesivas dependen de las características específicas del sector en el que opera el responsable del tratamiento. Cuanto más a menudo se producen cambios en la base de datos del responsable del tratamiento, con mayor frecuencia puede permitirse al interesado solicitar el acceso sin que sea excesivo. En lugar de denegar el acceso, el responsable del tratamiento puede decidir cobrar un canon al interesado. Esto solo sería pertinente en el caso de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14 solicitudes excesivas con el fin de cubrir los costes administrativos que puedan ocasionar dichas solicitudes. El responsable del tratamiento debe poder demostrar el carácter manifiestamente infundado o excesivo de una solicitud. (…)
- Habida cuenta del amplio objetivo del derecho de acceso, dicho objetivo del derecho de acceso no es adecuado para ser analizado como condición previa para el ejercicio del derecho de acceso por parte del responsable del tratamiento en el marco de su evaluación de las solicitudes de acceso. Así pues, los responsables del tratamiento no deben evaluar «por qué» el interesado solicita acceso, sino únicamente «qué» solicita el interesado (véase la sección 3 sobre el análisis de la solicitud) y si se tienen datos personales referentes a esa persona (véase la sección 4). Por lo tanto, por ejemplo, el responsable del tratamiento no debería denegar el acceso por que sepa o sospeche que el interesado puede utilizar los datos solicitados para defenderse ante los tribunales en caso de despido o controversia comercial con el citado responsable. En cuanto a los límites y restricciones del derecho de acceso, véase la sección
- Ejemplo 1: Un empleador ha despedido a un trabajador. Una semana más tarde, la persona decide recabar pruebas para presentar una demanda por despido improcedente contra este antiguo empleador. Teniendo esto en cuenta, la persona se dirige por escrito al antiguo empleador solicitando acceso a todos los datos personales que le conciernen, como interesado, y que el antiguo empleador trata, como responsable del tratamiento. El responsable del tratamiento no evaluará la intención del interesado y este no tendrá que facilitar al responsable el motivo de la solicitud. Por lo tanto, si la solicitud cumple todos los demás requisitos (véase la sección 3), el responsable del tratamiento debe satisfacer la solicitud, a menos que la solicitud resulte manifiestamente infundada o excesiva de conformidad con el artículo 12, apartado 5, del RGPD (véase la sección 6.3), lo que el responsable del tratamiento debe demostrar. (…) 2.2.3 Posible limitación del derecho de acceso
- Por último, en el contexto del derecho de acceso, se prevé una limitación específica en el artículo 15, apartado 4, que establece que deben tenerse en cuenta los posibles efectos negativos sobre los derechos y libertades de otros. En la sección 6 se explican las cuestiones relativas al alcance y las consecuencias de esta limitación, así como sobre los límites y restricciones adicionales establecidos en el artículo 12, apartado 5, o en el artículo 23 del RGPD. (…) 6.2 Artículo 15, apartado 4, del RGPD
- De conformidad con el artículo 15, apartado 4, del RGPD, el derecho a obtener una copia no afectará negativamente a los derechos y libertades de otros. Las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 explicaciones sobre esta limitación se dan en las frases quinta y sexta del considerando
- Este derecho no debe afectar negativamente a los derechos y libertades de terceros, incluidos los secretos comerciales o la propiedad intelectual y, en particular, los derechos de propiedad intelectual que protegen programas informáticos. No obstante, estas consideraciones no deben tener como resultado la negativa a prestar toda la información al interesado. A la hora de interpretar el artículo 15, apartado 4, del RGPD, hay que tomar precauciones especiales para no ampliar injustificadamente las restricciones establecidas en el artículo 23 del RGPD, que solo están permitidas en condiciones estrictas.
- El artículo 15, apartado 4, del RGPD se aplica al derecho a obtener una copia de los datos, que es la modalidad principal de dar acceso a los datos tratados (segundo componente del derecho de acceso). También es aplicable, y se tendrán en cuenta los derechos y libertades de otros, si el acceso a los datos personales se concede excepcionalmente por medios distintos de una copia. (…) (…)
- La preocupación general de que los derechos y libertades de terceros puedan verse afectados por el cumplimiento de la solicitud de acceso no basta para invocar el artículo 15, apartado 4, del RGPD. El responsable del tratamiento debe poder demostrar que, en la situación concreta, los derechos o libertades de terceros se verían afectados de hecho. (…)
- Por lo que se refiere al considerando 4 del RGPD y a la justificación del artículo 52, apartado 1, de la Carta de los Derechos Fundamentales de la Unión Europea, el derecho a la protección de los datos personales no es un derecho absoluto
- Por lo tanto, el ejercicio del derecho de acceso también debe ponderarse con respecto a otros derechos fundamentales de conformidad con el principio de proporcionalidad. Cuando la evaluación del artículo 15, apartado 4, del RGPD demuestre que el cumplimiento de la solicitud tiene efectos negativos en los derechos y libertades de otros participantes (fase 1), deben sopesarse los intereses de todos los participantes teniendo en cuenta las circunstancias específicas del caso y, en particular, la probabilidad y gravedad de los riesgos presentes en la comunicación de los datos. El responsable del tratamiento debe intentar conciliar los derechos en conflicto (fase 2), por ejemplo mediante la aplicación de medidas adecuadas que mitiguen el riesgo para los derechos y libertades de otros. Como se subraya en el considerando 63, la protección de los derechos y libertades de otros en virtud del artículo 15, apartado 4, del RGPD, no debe tener como resultado la negativa a facilitar toda la información al interesado. Esto significa, por ejemplo, cuando se aplica la limitación, que la información relativa a otras personas debe hacerse ilegible en la medida de lo posible en lugar de negarse a facilitar una copia de los datos personales. (…) (…)
- Si los responsables del tratamiento se niegan a responder a una solicitud de derecho de acceso total o parcial con arreglo al artículo 15, apartado 4, del RGPD, deben informar al interesado de los motivos sin dilación y, a más tardar, en el plazo de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14 un mes (artículo 12, apartado 4, del RGPD). La exposición de motivos debe hacer referencia a las circunstancias concretas para que los interesados puedan evaluar si desean tomar medidas contra la denegación. Debe incluir información sobre la posibilidad de presentar una reclamación ante una autoridad de control (artículo 77 del RGPD) y de obtener tutela judicial efectiva (artículo 79 del RGPD).” La obligación de proporcionar una copia contenida en el artículo 15.3 del RGPD se refiere solo a una copia de los datos personales objeto de tratamiento, pero no necesariamente a una reproducción de los documentos originales que contienen esos datos personales. Así, el Comité Europeo de Protección de Datos precisó el contenido del derecho de acceso reconocido en el artículo 15 del RGPD en el apartado 23 de las precitadas Directrices 01/2022 indicando lo siguiente: “La obligación de proporcionar una copia no debe entenderse como un derecho adicional del interesado, sino como una modalidad de acceso a los datos. Refuerza el derecho de acceso a los datos y ayuda a interpretar este derecho porque deja claro que el acceso a los datos en virtud del artículo 15, apartado 1, comprende información completa sobre todos los datos y no puede entenderse que concede solo un resumen de los datos. Al mismo tiempo, la obligación de facilitar una copia no tiene por objeto ampliar el alcance del derecho de acceso: se refiere (solo) a una copia de los datos personales objeto de tratamiento, no necesariamente a una reproducción de los documentos originales. En términos más generales, no hay información adicional que se facilite al interesado al facilitar una copia: el alcance de la información que debe figurar en la copia es el alcance del acceso a los datos en virtud del artículo 15, apartado 1, que incluye toda la información necesaria para que el interesado pueda comprender y verificar la legalidad del tratamiento”. Por su parte, la sentencia del Tribunal de Justicia de la Unión Europea de 4 de mayo de 2023 (asunto C-487/21) concluye que el artículo 15, apartado 3, primera frase, del RGPD debe interpretarse en el sentido de que “el derecho a obtener del responsable del tratamiento una copia de los datos personales objeto de tratamiento implica que se entregue al interesado una reproducción auténtica e inteligible de todos esos datos. Este derecho incluye el de obtener copia de extractos de documentos, o incluso de documentos enteros, o de extractos de bases de datos, que contengan, entre otros, dichos datos, si la entrega de tal copia es indispensable para permitir al interesado ejercer efectivamente los derechos que le confiere ese Reglamento. Debe subrayarse asimismo la necesidad de que se tengan en cuenta, a este respecto, los derechos y libertades de los terceros.” En resumen, no existe obligación de facilitar la copia de las imágenes y ha de entenderse que, en este caso, el derecho ha quedado satisfecho con la entrega de una completa descripción, procediendo, por ello, estimar por motivos formales la reclamación presentada. En cuanto a las manifestaciones de la parte reclamante indicando que “(…) la alegada protección de terceros es absurda porque la actora ya conoce la identidad de las otras personas que obran en las grabaciones” hay que señalar que dicha afirmación no puede aceptarse, teniendo en cuenta lo dispuesto en los párrafos anteriores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR por motivos formales, la reclamación formulada por Dª A.A.A. contra HOTELES TURÍSTICOS UNIDOS, S.A.. No obstante, no procede la emisión de nueva certificación por parte de la parte reclamada, al haberse emitido la respuesta extemporáneamente, sin que se requiera la realización de actuaciones adicionales por parte del responsable. SEGUNDO: NOTIFICAR la presente resolución a Dª A.A.A. y a HOTELES TURÍSTICOS UNIDOS, S.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1381-090823 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es