1/12 Expediente N.º: EXP202301571 RESOLUCIÓN N.º: R/00487/2023 Vista la reclamación formulada el 27 de diciembre de 2022 ante esta Agencia por B.B.B., (a partir de ahora la parte reclamante), contra CONSORCIO REGIONAL DE TRANSPORTES, (a partir de ahora la parte reclamada), por no haber sido debidamente atendido su derecho de acceso. Realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: La parte reclamante ejerció derecho de acceso frente a la reclamada con NIF Q7850003J y su solicitud, según manifiesta la parte reclamante, no recibió la contestación legalmente establecida. El reclamante pone de manifiesto que, el día 5 de diciembre de 2022, solicitó la información relativa a la cantidad de desplazamientos realizados en metro, autobús y trenes de cercanías durante el mes de noviembre de 2022 y aporta documentación relativa a la reclamación planteada ante esta Agencia y sobre el ejercicio del derecho ejercitado, en particular, la resolución del CONSORCIO REGIONAL DE TRANSPORTES de 19 de diciembre de 2022, en virtud de la cual la parte reclamada desestima la solicitud de acceso, aduciendo que la petición es repetitiva por haber formulado esa misma pretensión en los meses de septiembre y octubre de 2022 sin que le conste a dicho organismo la existencia de causa legítima para ello. No obstante, le comunican al reclamante que, si existiera una causa legítima que justificase la formulación de solicitudes de derecho de acceso a datos personales, de forma tan sistemática y reiterada, el interesado puede exponerla, a través de la dirección electrónica crtm_protecciondatos@madrid.org, al objeto de que sea convenientemente valorada y, en caso de estimarlo procedente, se procederá a facilitar el acceso a la información solicitada. SEGUNDO: De conformidad con el artículo 65.4 de la LOPDGDD, que ha previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la AEPD, consistente en trasladarlas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de la citada norma, o a éstos cuando no los hubieren designado, en fecha 9 de febrero de 2023 se dio traslado de la reclamación a la entidad reclamada para que procediese a su análisis y diera respuesta a la parte reclamante y a esta Agencia en el plazo de un mes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 TERCERO: Durante dicho período se reciben dos nuevos escritos de la parte reclamante en los que aporta las contestaciones recibidas de la parte reclamada frente a nuevas solicitudes de información relativa a la cantidad de desplazamientos realizados en metro, autobús y trenes de cercanías durante los meses de diciembre de 2022 y enero de
- CUARTO: El resultado del trámite de traslado indicado en el Hecho SEGUNDO no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 27 de marzo de 2023, a los efectos previstos en su artículo 64.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada y se informó a las partes que el plazo máximo para resolver el presente procedimiento, que se entiende iniciado mediante dicho acuerdo de admisión a trámite, será de seis meses. El mencionado acuerdo concedió a la entidad reclamada trámite de audiencia, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes. Dicha entidad formuló, en síntesis, las siguientes alegaciones: La parte reclamada considera que la solicitud es excesiva por su carácter repetitivo, ya que solicita los desplazamientos realizados cada mes respecto al mes anterior, habiéndose recibido solicitud similar para los meses de septiembre, octubre, noviembre y diciembre de 2022 y enero y febrero de
- Considera que no hay suficiente justificación por parte del reclamante para la solicitud, planteándose la posibilidad de cobrar un canon para facilitar lo solicitado en el caso de que la Agencia considere que procede facilitar dichos datos. QUINTO: Examinadas las alegaciones presentadas por la reclamada, son objeto de traslado a la parte reclamante, para que, en el plazo de quince días hábiles formule alegaciones que considere oportunas. La parte reclamante no ha presentado alegaciones. FUNDAMENTOS DE DERECHO PRIMERO: Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el apartado 2 del artículo 56 en relación con el apartado 1 f) del artículo 57, ambos del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD); y en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). SEGUNDO: De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, con carácter previo a la admisión a trámite de la reclamación que da lugar al presente procedimiento, se dio traslado de la misma a la entidad responsable para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida, en el supuesto de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD. Dicho acuerdo de admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “
- Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo siguiente. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. No se estima oportuna la depuración de responsabilidades administrativas en el marco de un procedimiento sancionador, cuyo carácter excepcional implica que se opte, siempre que sea posible, por la prevalencia de mecanismos alternativos que tengan amparo en la normativa vigente. Es competencia exclusiva de esta Agencia valorar si existen responsabilidades administrativas que deban ser depuradas en un procedimiento sancionador y, en consecuencia, la decisión sobre su apertura, no existiendo obligación de iniciar un procedimiento ante cualquier petición realizada por un tercero. Tal decisión ha de basarse en la existencia de elementos que justifiquen dicho inicio de la actividad sancionadora, circunstancias que no concurren en el presente caso, considerando que con el presente procedimiento quedan debidamente restauradas las garantías y derechos del reclamante. TERCERO: Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los “datos o actividades de tratamiento a los que se refiere la solicitud”. El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo 15 del RGPD). El ejercicio de este derecho se podrá considerar repetitivo si se ejerce en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. CUARTO: Conforme a lo establecido en el artículo 15 del RGPD y artículo 13 de la LOPDGDD, “el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales”. Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos personales de que se trate, los destinatarios o categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, el plazo previsto o criterios de conservación, la posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la autoridad de control, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular), la existencia de decisiones automatizadas, incluida la elaboración de perfiles, e información sobre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 transferencias de datos personales a un tercer país o a una organización internacional. La posibilidad de obtener copia de los datos personales objeto de tratamiento no afectará negativamente a los derechos y libertados de otros. En el supuesto aquí analizado, la parte reclamante ejerció su derecho de acceso y la parte reclamada contestó denegando el derecho. La negativa de la parte reclamada a atender el derecho se fundamenta en la consideración de que dicha solicitud es excesiva por tener un carácter repetitivo. El reclamante ha solicitado el derecho de acceso a sus datos mensuales relacionados con el uso de la tarjeta de transporte de la que es titular, cada mes desde septiembre de 2022 hasta febrero de 2023 conforme a la documentación obrante en el expediente. Así, en la Resolución desestimatoria de solicitudes de acceso a datos personales emitida por la parte reclamada y aportada por el reclamante consta: “…Con fecha 4 de enero de 2023 se recibe en el Consorcio Regional de Transportes la solicitud de acceso por parte de D. B.B.B. a la información sobre los viajes realizados durante el mes de diciembre de 2022 con la Tarjeta de Transporte Público de Madrid con número ***NÚMERO.
- Asimismo, el 31 de enero 2023, se recibe en este Organismo otra solicitud de acceso a los viajes realizados diariamente durante en el mes de enero de 2023 con la tarjeta con numeración ***NÚMERO.1 Y el 7 de marzo de 2023, se recibe otra solicitud del mismo interesado, por medio de la cual se pide un listado de viajes realizados diariamente durante en el mes de febrero de 2023 con la tarjeta con numeración ***NÚMERO.1…” Por tanto, continúa la parte reclamada, se les ha solicitado la información referente a los viajes realizados de manera mensual desde septiembre de 2022 hasta febrero de 2023, lo que les lleva a considerar que. el reclamante pretende solicitar mensualmente sus movimientos de la tarjeta de trasporte. La parte reclamada considera que esta pretensión resulta excesiva por repetitiva, puesto que tiene por objeto acceder al mismo tipo de información (validaciones de la tarjeta de transporte), de períodos diferentes. Según el reclamado,” aunque es indudable que son datos distintos, también cabe afirmar que las solicitudes son repetitivas, por cuanto bastaría con hacer una sola solicitud para acceder a todos los datos a la vez “ Además, añade el reclamado, que tiene un coste para la entidad que deberán establecer: “…un canon razonable en función de los costes administrativos afrontados para facilitar la información o la comunicación o realizar la actuación solicitada…” si así lo considera la Agencia. Finalmente, concluye la parte reclamada aludiendo al artículo 13.3 de la LOPDPGDD para argumentar que considera repetitivo el ejercicio del derecho de acceso solicitado por el reclamante ya que lo ha pedido en más de una ocasión durante el plazo de seis meses, sin haber aducido causa legítima para ello pese a que la parte reclamada le ha instado en varias ocasiones para que formule dicha motivación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 Para dilucidar el presente caso resulta necesario tener presente lo recogido en la Guía del derecho de acceso del Comité Europeo de Protección de Datos (CEPD) (https://edpb.europa.eu/system/files/202304/edpb_guidelines_202201_data_subject_rights_access_v2_en.pdf). Ésta dispone que, en aplicación del art. 12.5 del RGPD las solicitudes de acceso manifiestamente infundadas o excesivas, incluyendo el concepto de repetición, deben interpretarse restrictivamente. Ahora bien, alude tambien al concepto de “excesivo” para tratar de clarificar el alcance de dicho adjetivo en estos supuestos: “ 6.3.2 What does excessive mean?
- There is no definition of the term “excessive” in the GDPR. On the one hand, the wording “in particular because of their repetitive character” in Art. 12
(5)GDPR allows for the conclusion that the main scenario for application of this limb with regard to Art. 15 GDPR is linked to the quantity of requests of a data subject for the right of access. On the other hand, the aforementioned phrasing shows that other reasons that might cause excessiveness are not excluded a priori. 182. Certainly, according to Art. 15
(3)GDPR regarding the right to obtain a copy, a data subject may submit more than one request to a controller. In the event of requests that could potentially be regarded as excessive, the assessment of “excessiveness” depends on the analysis carried out by the controller and the specifics of the sector in which it operates.
- In case of subsequent requests, it has to be assessed whether the threshold of reasonable intervals (see Recital 63) has been exceeded or not. Controllers must take into account the particular circumstances of each case carefully.
- For example, in the case of social networks, a change in the data set will be expected at shorter intervals than in the case of land registers or central company registers. In the case of business associates, the frequency of contacts with the customer should be considered. Accordingly the “reasonable intervals” within which data subjects may again exercise their right of access are also different. The more often changes occur in the database of the controller, the more often data subjects may be permitted to request access to their personal data without it being excessive. On the other hand, a second request by the same data subject could be considered to be repetitive in certain circumstances.
- When deciding whether a reasonable interval has elapsed, controllers should consider the following in the light of the reasonable expectations of the data subject: how often the data is altered – is information unlikely to have changed between requests? If a data pool is obviously not subject to a processing other than storage and the data subject is aware of this, e.g. because of a previous request for the right of access, this might be an indication for an excessive request; the nature of the data – this could include whether it is particularly sensitive. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 the purposes of the processing – these could include whether the processing is likely to cause detriment (harm) to the requester if disclosed. whether the subsequent requests concern the same type of information or processing activities or different ones.
- When it is possible to provide the information easily by electronic means or by remote access to a secure system, which means that complying with such requests actually doesn’t strain the controller, it is unlikely that subsequent requests can be regarded as excessive.
- If a request overlaps with a previous request, the overlapping request can generally be regarded as excessive, if and insofar as it covers exactly the same information or processing activities and the previous request is not yet complied with by the controller without reaching the state of “undue delay” (see Art. 12
(3)GDPR). In practice, as a consequence both requests could be combined.
- The fact that it would take the controller a vast amount of time and effort to provide the information or the copy to the data subject cannot on its own render a request excessive
- A large number of processing activities typically implicates bigger efforts when complying with access requests. However, as stated above, under certain circumstances requests can be regarded as excessive due to other reasons than their repetitive character. In the view of the EDPB this encompasses particularly cases of abusively relying on Art. 15 GDPR, which means cases in which data subjects make an excessive use of the right of access with the only intent of causing damage or harm to the controller.
- Against this background, a request should not be regarded as excessive on the ground that: no reasons are given by the data subject for the request or the controller regards the request as meaningless; improper or impolite language is used by the data subject; the data subject intends to use the data to file further claims against the controller.
- On the other hand, a request may be found excessive, for example, if: an individual makes a request, but at the same time offers to withdraw it in return for some form of benefit from the controller or the request is malicious in intent and is being used to harass the controller or its employees with no other purposes than to cause disruption, for example based on the fact that: • the individual has explicitly stated, in the request itself or in other communications, that it intends to cause disruption and nothing else; or • the individual systematically sends different requests to a controller as part of a campaign, e.g. once a week, with the intention and the effect of causing disruption. 6.3.3 Consequences
- In case of a manifestly unfounded or excessive request for the right of access controllers may, according to Art. 12
(5)GDPR, either charge a reasonable fee (taking C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 into account the administrative costs of providing information or communication or taking the action requested) or refuse to comply with the request.
- The EDPB points out that controllers are – on the one hand – not generally obliged to charge a reasonable fee before refusing to act on a request. On the other hand, they aren´t completely free to choose between the two alternatives either. In fact, controllers have to make an adequate decision depending on the specific circumstances of the case. Whereas it is hardly imaginable that charging a reasonable fee is a suitable measure in case of manifestly unfounded requests, for excessive requests – in line with the principle of transparency – it will often be more appropriate to charge a fee as a compensation for the administrative costs the repetitive requests are causing.
- Controllers must be able to demonstrate the manifestly unfounded or excessive character of a request (Art. 12
(5)third sentence GDPR). Hence, it is recommended to ensure proper documentation of the underlying facts. In line with Art. 12
(4)GDPR, if controllers refuse to act on an access request in whole or partly, they must inform the data subject without delay and at the latest within one month of receipt of the request of the reason why, the right to lodge a complaint with a supervisory authority, the possibility to seek a judicial remedy. 194. Before charging a reasonable fee based on Art. 12
(5)GDPR, controllers should provide an indication of their plan to do so to the data subjects. The latter have to be enabled to decide whether they will withdraw the request to avoid being charged. 195. Unjustified rejections of requests of the right of access can be regarded as infringements of data subject rights pursuant to Art. 12 to 22 GDPR and can therefore be subject to the exercise of corrective powers by competent supervisory authorities, including administrative fines based on Art. 83
(5)(b) GDPR. If data subjects consider there is an infringement of their data subject rights, they have the right to lodge a complaint based on Art. 77 GDPR.” “ ¿Qué es excesivo?
- No existe una definición del término «excesivo» en el RGPD. Por un lado, la expresión «en particular por su carácter repetitivo» en el artículo 12, apartado 5, del RGPD permite concluir que el escenario principal para la aplicación de esta parte con respecto al artículo 15 del RGPD está vinculado a la cantidad de solicitudes de un interesado para el derecho de acceso. Por otra parte, la frase antes mencionada muestra que no se excluyen a priori otras razones que puedan causar exceso.
- Ciertamente, de conformidad con el artículo 15, apartado 3, del RGPD, relativo al derecho a obtener una copia, un interesado puede presentar más de una solicitud a un responsable del tratamiento. En caso de solicitudes que podrían considerarse excesivas, la evaluación de la «excesividad» depende del análisis realizado por el responsable del tratamiento y de las especificidades del sector en el que opera. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12
- En caso de solicitudes posteriores, debe evaluarse si se ha superado o no el umbral de intervalos razonables (véase el considerando 63). Los responsables del tratamiento deben tener en cuenta cuidadosamente las circunstancias particulares del caso único.
- Por ejemplo, en el caso de las redes sociales, se espera un cambio en el conjunto de datos a intervalos más cortos que en el caso de los registros. En el caso de los socios comerciales, la frecuencia de los contactos entre ellos será importante. En consecuencia, los «intervalos razonables» en los que los interesados pueden ejercer de nuevo su derecho de acceso también son diferentes. Cuantos más a menudo se producen cambios en la base de datos del responsable del tratamiento, más a menudo puede permitirse a los interesados solicitar acceso sin que sea excesivo. Por otra parte, incluso una segunda solicitud del mismo interesado podría ser repetitiva en determinadas circunstancias.
- Al decidir si ha transcurrido un intervalo razonable, los responsables del tratamiento deben considerar, a la luz de las expectativas razonables del interesado: ¿con qué frecuencia se alteran los datos? ¿Es improbable que la información haya cambiado entre solicitudes? Si, obviamente, un conjunto de datos no está sujeto a un tratamiento distinto del almacenamiento y el interesado tiene conocimiento de ello, por ejemplo, debido a una solicitud previa del derecho de acceso, podría ser una indicación de una solicitud excesiva; la naturaleza de los datos — esto podría incluir si son especialmente sensibles; los fines del tratamiento: podrían incluir si es probable que el tratamiento cause un perjuicio (daño) al solicitante si se divulga; si las solicitudes posteriores se refieren al mismo tipo de información o a actividades de tratamiento o a otras diferentes.
- Cuando es posible facilitar la información fácilmente por medios electrónicos o mediante acceso remoto a un sistema seguro, lo que significa que el cumplimiento de tales solicitudes no afecta realmente al responsable del tratamiento, es poco probable que las solicitudes posteriores puedan considerarse excesivas.
- Si una solicitud se solapa con una solicitud anterior, la solicitud superpuesta puede considerarse en general excesiva, siempre y cuando abarque exactamente las mismas actividades de información o tratamiento y el responsable del tratamiento no haya cumplido aún la solicitud anterior sin llegar al estado de «retraso indebido» (véase el artículo 12, apartado 3, del RGPD). En la práctica, como consecuencia de ello, ambas solicitudes podrían combinarse.
- El hecho de que el responsable del tratamiento requiera una gran cantidad de tiempo y esfuerzo para facilitar la información o la copia al interesado no puede, por sí solo, hacer que una solicitud sea excesiva. Un gran número de actividades de procesamiento suelen implicar mayores esfuerzos a la hora de cumplir con las solicitudes de acceso. Sin embargo, como se ha indicado anteriormente, en determinadas circunstancias las solicitudes pueden considerarse excesivas por razones distintas de su carácter repetitivo. En opinión del CEPD, esto abarca especialmente los casos de aplicación abusiva del artículo 15 del RGPD, lo que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12 significa que los interesados hacen un uso excesivo del derecho de acceso con la única intención de causar daños o perjuicios al responsable del tratamiento.
- En este contexto, una solicitud no debe considerarse excesiva por el hecho de que: el interesado no justifica la solicitud o el responsable del tratamiento considera que la solicitud carece de sentido; el interesado utiliza un lenguaje inadecuado o descortés; el interesado tiene la intención de utilizar los datos para presentar nuevas reclamaciones contra el responsable del tratamiento.
- Por otra parte, una solicitud puede considerarse excesiva, por ejemplo, si: una persona hace una solicitud, pero al mismo tiempo ofrece retirarla a cambio de alguna forma de beneficio del responsable del tratamiento o la solicitud es malintencionada y se utiliza para acosar a un controlador o a sus empleados sin otros fines que causar interrupciones, por ejemplo, basándose en el hecho de que: • la persona ha declarado explícitamente, en la propia solicitud o en otras comunicaciones, que tiene la intención de causar perturbaciones y nada más; • o la persona envía sistemáticamente diferentes solicitudes a un controlador como parte de una campaña, por ejemplo, una vez por semana, con la intención y el efecto de causar perturbaciones. 6.3.3 Consecuencias
- En caso de solicitud manifiestamente infundada o excesiva del derecho de acceso, los responsables del tratamiento podrán, de conformidad con el artículo 12, apartado 5, del RGPD, o bien cobran una tasa razonable (teniendo en cuenta la administración costes de suministro de información o comunicación o de adopción de las medidas solicitadas) o negarse a cumplir con la solicitud.
- El CEPD señala que, por un lado, los responsables del tratamiento no están generalmente obligados a cobrar tarifa razonable primaria antes de negarse a actuar sobre una solicitud. Por otro lado, no son completamente libre de elegir entre las dos alternativas. De hecho, los responsables tienen que hacer un análisis adecuado para tomar una decisión en función de las circunstancias específicas del caso. Mientras que es difícilmente imaginable que el cobro de una tasa razonable sea una medida adecuada en caso de solicitudes manifiestamente infundadas, por exceso pide que, en consonancia con el principio de transparencia, a menudo sea más apropiado cobrar una tasa como compensación por los costes administrativos que provocan las solicitudes repetitivas.
- Los responsables del tratamiento deben poder demostrar el carácter manifiestamente infundado o excesivo de una solicitud (Artículo 12, apartado 5, tercera frase del RGPD). Por lo tanto, se recomienda garantizar una documentación adecuada de los hechos subyacentes. De conformidad con el artículo 12, apartado 4, si el responsable del tratamiento se niega a responder a una solicitud de derecho de acceso en su totalidad o en parte, deberán informar al interesado sin demora y, a más tardar, en el plazo de un mes de recepción de la solicitud de: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 • • • La razón por la que no otorga el derecho, El derecho a presentar una reclamación ante una autoridad de control, La posibilidad de interponer un recurso judicial.
- Antes de cobrar una tarifa razonable basada en el artículo 12, apartado 5, del RGPD, los responsables del tratamiento deben proporcionar una indicación de su plan para hacerlo a los interesados. Estos últimos tienen que estar habilitados para decidir si lo harán retire la solicitud para evitar que se le cobre.
- Las desestimaciones injustificadas de las solicitudes del derecho de acceso pueden considerarse infracciones de los datos los derechos del sujeto de conformidad con los artículos 12 a 22 del RGPD y, por lo tanto, pueden estar sujetos al ejercicio de facultades correctoras de las autoridades de supervisión competentes, incluidas las multas administrativas basadas en el art. 83
(5)- b)RGPD. Si los interesados consideran que existe una violación de sus derechos, tienen derecho a presentar una reclamación basada en el artículo 77 del RGPD.” (Traducción propia) En virtud de lo anterior se puede concluir que para considerar que el derecho de acceso se ha solicitado de forma repetitiva este ha de referirse a la solicitud de los mismos datos que ya hubiera solicitado y obtenido previamente el interesado. Sin embargo, conforme a los hechos a los que se circunscribe el presente expediente, esto no acontece así, sino que cada solicitud de ejercicio del derecho de acceso se refiere a datos distintos, generados cada uno de ellos con posterioridad a la formulación del ejercicio de acceso anterior (la parte reclamante formula una solitud de ejercicio de acceso respecto de los datos personales generados mensualmente, solicitando a mes vencido meses distintos y sin englobar la solicitud de los datos personales de meses precedentes), por lo que no podríamos hablar de una repetición de la misma solicitud. Ahora bien, el hecho de que no quepa entender que la solicitud del ahora reclamante tiene un carácter repetitivo al no afectar a los mismos datos, no es óbice para que pueda concurrir alguna otra causa que permita considerarla excesiva debiendo, eso sí, motivar debidamente la posible denegación del acceso manifestando de forma expresa las circunstancias que concurran y así lo aconsejen. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por B.B.B. frente a CONSORCIO REGIONAL DE TRANSPORTES e instar a la parte reclamada para que, en el plazo de un mes desde la notificación de la presente resolución, remita a la parte reclamante certificación en la que se atienda el derecho solicitado o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de una infracción del art. 83.6 del RGPD, calificada como muy grave a los efectos de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 prescripción en el artículo 72.1.
- m)de la LOPDGDD, que se sancionará de acuerdo con el art. 58.2 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a REGIONAL DE TRANSPORTES. B.B.B. y a CONSORCIO De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1037-160523 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es