1/9 Expediente N.º: EXP202602944 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 18 de noviembre de 2025 ante esta Agencia Española de Protección de Datos (en lo sucesivo, AEPD) y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: En fecha 18 de noviembre de 2025 el Banco de España (en lo sucesivo, BE) remitió a esta Agencia la reclamación formulada ante dicho organismo por A.A.A. (en lo sucesivo, la parte reclamante), al apreciar que su objeto guardaba relación con la normativa sobre protección de datos personales. Junto al oficio de traslado se incorporó la siguiente documentación: - Formulario de reclamación presentado ante el BE por la disconformidad de la reclamante con la respuesta ofrecida por BANCO DE SABADELL, S.A. (en adelante, Banco Sabadell o parte reclamada), respecto de un posible acceso indebido a datos vinculados a cuentas en las que figuraba autorizada. - Escrito de 26/02/2025 dirigido a Banco Sabadell, S.A., en el que denuncia un posible uso indebido de datos internos de cuentas vinculadas a comunidades de propietarios y solicita revisión de registros de acceso con identificación de usuario, fecha y hora, así como investigación interna. - Escrito de 25/03/2025 remitido por el Banco Sabadell, S.A. a la reclamante, en el que indica que no puede facilitar la información solicitada por falta de concreción y por no tratarse de un derecho de acceso. - Escrito de 19/09/2025 dirigido al Banco Sabadell, S.A. en el que la reclamante aporta nuevos datos obtenidos el 16/09/2025 y reitera la solicitud de identificación de intervinientes. - Correo electrónico de 22/09/2025 remitido por la reclamante al Banco Sabadell, S.A., en el que rectifica la fecha de los hechos al 16/09/2025. Consta respuesta de la misma fecha informando de su traslado al área competente y señalando que las imágenes captadas fueron eliminadas conforme a la normativa vigente. - Escrito de 29/09/2025 dirigido a Banco Sabadell, S.A. y a su DPD, en el que solicita copia de los registros de acceso efectuados por empleados de la oficina. - Correo electrónico de 16/10/2025 remitido por el Banco Sabadell, S.A., en contestación a la solicitud de acceso, en el que informa de que únicamente puede facilitar los registros de acceso realizados por la propia interesada C/ Jorge Juan, 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 2/9 mediante banca a distancia o cajeros automáticos. Asimismo, comunica que las imágenes solicitadas no se conservan por la antigüedad de la fecha indicada. SEGUNDO: En fecha 11 de febrero de 2026, de conformidad con el artículo 65.4 de la LOPDGDD, se dio traslado de la reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. TERCERO: En fecha 18 de febrero de 2026 de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: En fecha 18 de marzo de 2026 la parte reclamada presentó escrito de contestación al traslado efectuado por esta Agencia, en el que manifiesta haber recibido la solicitud de acceso el 29/09/2025 y haber respondido el 16/10/2025, indicando que únicamente podía facilitar los registros generados por la reclamante como usuaria de los sistemas del banco. Añade que realizó investigaciones sin apreciar irregularidades y sostiene que la identificación de empleados o el acceso a registros internos excede del derecho de acceso, sin haberse constatado la supuesta filtración denunciada. Junto al escrito aporta correo electrónico de 16/10/2025 remitido a la reclamante, en el que reitera dicha respuesta y comunica que no fue posible conservar las imágenes solicitadas por un malentendido con la fecha indicada. Consta igualmente incorporado correo previo de la reclamante de 14/10/2025 relativo al burofax remitido el 29/09/2025. QUINTO: En fecha 24 marzo de 2026 se concedió a la parte reclamada trámite de audiencia para que presentase las alegaciones que estimara convenientes. SEXTO: En fecha 22 de abril de 2026 la parte reclamada presentó escrito de alegaciones en el que sostiene que la información solicitada sobre accesos de empleados de la oficina excede del derecho de acceso al referirse a datos internos y de terceros. Indica que ya facilitó a la reclamante los accesos realizados por ella misma mientras figuró autorizada en las cuentas y añade que las comunidades de propietarios y demás personas autorizadas podían acceder legítimamente a dicha información. Asimismo, manifiesta que, tras la reclamación de 26/02/2025, realizó una investigación interna sin detectar irregularidades ni fuga de información. Junto al escrito aporta un documento interno relativo a diez cuentas bancarias en el que constan los IBAN, los periodos analizados y la relación de titulares y autorizados, figurando la parte reclamante en varias de ellas. SÉPTIMO: En fecha 22 de abril de 2026 se concedió a la parte reclamante trámite de audiencia para que presentase las alegaciones que estimara convenientes. El trámite de audiencia fue notificado conforme a lo previsto en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), mediante notificación electrónica, que resultó expirada por caducidad al no comparecer la parte reclamante dentro del plazo establecido, con C/ Jorge Juan, 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 3/9 fecha 05/05/2026, según consta en el justificante incorporado al expediente. Posteriormente, se reiteró la notificación por vía postal, siendo devuelta a origen por no haber sido retirada en oficina el 21/05/2026. No consta respuesta alguna de la parte reclamante al citado trámite. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, (en adelante, RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, siguiendo el trámite previsto en el artículo 65.4 de la LOPDGDD, con carácter previo a la admisión a trámite de la reclamación de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, que da lugar al presente procedimiento, se dio traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida. El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 18 de febrero de 2026, a los efectos previstos en su artículo 64.1 y 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. Dicha admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos C/ Jorge Juan, 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 4/9 establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del RGPD. III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y ss. del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. IV Derecho de acceso El artículo 15 del RGPD, respecto del derecho de acceso, establece lo siguiente: C/ Jorge Juan, 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 5/9 1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
- a)los fines del tratamiento;
- b)las categorías de datos personales de que se trate;
- c)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales;
- d)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
- e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
- f)el derecho a presentar una reclamación ante una autoridad de control;
- g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
- h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia so-licitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso 4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros. Por su parte, el artículo 13 de la LOPDGDD, sobre el derecho de acceso, establece: 1. El derecho de acceso del afectado se ejercitará de acuerdo con lo establecido en el artículo 15 del Reglamento (UE) 2016/679. Cuando el responsable trate una gran cantidad de datos relativos al afectado y este ejercite su derecho de acceso sin especificar si se refiere a todos o a una parte de los datos, el responsable podrá solicitarle, antes de facilitar la información, que el afectado especifique los datos o actividades de tratamiento a los que se refiere la solicitud. C/ Jorge Juan, 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 6/9 2. El derecho de acceso se entenderá otorgado si el responsable del tratamiento facilitara al afectado un sistema de acceso remoto, directo y seguro a los da-tos personales que garantice, de modo permanente, el acceso a su totalidad. A tales efectos, la comunicación por el responsable al afectado del modo en que este podrá acceder a dicho sistema bastará para tener por atendida la solicitud de ejercicio del derecho. No obstante, el interesado podrá solicitar del responsable la información referida a los extremos previstos en el artículo 15.1 del Reglamento (UE) 2016/679 que no se incluyese en el sistema de acceso remoto. 3. A los efectos establecidos en el artículo 12.5 del Reglamento (UE) 2016/679 se podrá considerar repetitivo el ejercicio del derecho de acceso en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima. 4. Cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, la solicitud será considerada excesiva, por lo que dicho afectado asumirá el exceso de costes que su elección comporte. En este caso, solo será exigible al responsable del tratamiento la satisfacción del derecho de acceso sin dilaciones indebidas. Conforme a lo establecido en el artículo 15 del RGPD y en el artículo 13 de la LOPDGDD, el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando datos personales que le conciernen y, en tal caso, acceso a dichos datos y a la información prevista en el citado artículo 15.1 del RGPD, así como a obtener copia de los datos personales objeto de tratamiento, sin perjuicio de los límites derivados de los derechos y libertades de terceros. Las Directrices 01/2022 del Comité Europeo de Protección de Datos (CEPD) precisan que el derecho de acceso tiene por finalidad permitir al interesado conocer y verificar la licitud del tratamiento de sus datos personales, exigiendo un cumplimiento material y efectivo, y no una mera respuesta formal o genérica. En consecuencia, el responsable debe facilitar acceso real a los datos personales tratados y a la información relativa al tratamiento, sin que puedan sustituirse por descripciones abstractas, resúmenes o referencias indeterminadas. Asimismo, el artículo 12 del RGPD impone al responsable la obligación de facilitar una respuesta concisa, transparente, inteligible y completa, correspondiéndole acreditar el correcto cumplimiento del derecho ejercitado conforme al principio de responsabilidad proactiva previsto en el artículo 5.2 del RGPD. Por tanto, el derecho de acceso reconocido en el artículo 15 del RGPD comprende el acceso a los datos personales objeto de tratamiento que conciernan al interesado, incluyendo la información relativa a los accesos y consultas efectuadas sobre dichos datos cuando esta permita verificar la licitud del tratamiento realizado. Ello no implica un derecho autónomo e ilimitado a obtener documentación interna completa ni datos personales de terceros no vinculados al tratamiento, pero sí exige que el responsable valore y facilite, en su caso, aquella información relativa a accesos o tratamientos efectuados sobre los datos personales de la interesada que resulte necesaria para C/ Jorge Juan, 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 7/9 garantizar la efectividad del derecho ejercitado, ponderando adecuadamente los derechos e intereses concurrentes. V Conclusión En el presente caso, la parte reclamante ejercitó frente a BANCO DE SABADELL, S.A. el derecho de acceso reconocido en el artículo 15 del RGPD, solicitando información relativa a los accesos efectuados sobre datos personales vinculados a cuentas bancarias en las que figuraba autorizada, interesando específicamente la identificación de los accesos realizados desde la oficina bancaria, así como las fechas, horas y circunstancias de dichos accesos, al objeto de verificar la licitud del tratamiento y esclarecer la existencia de posibles accesos indebidos a sus datos personales. La parte reclamada dio respuesta mediante correo electrónico de 16/10/2025, limitando la información facilitada a los registros generados por la propia interesada y otros autorizados mediante banca a distancia o cajeros automáticos, rechazando facilitar cualquier información relativa a accesos efectuados por empleados de la entidad al considerar que se trataba de información interna o de datos personales de terceros. Ahora bien, desde la perspectiva del contenido material del derecho de acceso regulado en el artículo 15 del RGPD, debe precisarse que dicho derecho no comprende, con carácter general, un derecho autónomo e ilimitado a conocer la identidad individualizada de los empleados del responsable del tratamiento que hayan accedido a los datos personales de la reclamada, en la medida en que dicha información constituye igualmente datos personales de terceros y queda sometida a la ponderación prevista en el artículo 15.4 del RGPD respecto de los derechos y libertades ajenos. No obstante, ello no excluye que formen parte del contenido del derecho de acceso aquellos datos relativos a los tratamientos efectuados sobre la información personal del interesado que permitan verificar la licitud del tratamiento realizado. En particular, la información relativa a fechas, horas, tipología o trazabilidad de los accesos efectuados sobre los datos personales constituye información directamente vinculada al tratamiento de dichos datos y resulta idónea para garantizar la finalidad propia del derecho de acceso, tal y como ha sido interpretado por las Directrices 01/2022 del CEPD. El cumplimiento del derecho de acceso no se satisface mediante respuestas meramente formales, genéricas o restrictivas que vacíen de contenido el derecho reconocido en el artículo 15 del RGPD. Corresponde al responsable del tratamiento facilitar una respuesta completa, inteligible y útil para el interesado, permitiéndole conocer qué datos personales son objeto de tratamiento y verificar la licitud de los accesos o tratamientos realizados sobre ellos, conforme a los principios de transparencia y responsabilidad proactiva previstos en los artículos 5.2 y 12 del RGPD. Asimismo, las normas reguladoras del ejercicio de derechos no permiten al responsable omitir una respuesta materialmente adecuada ni desatender parcialmente la solicitud sin motivación suficiente. Incluso en aquellos supuestos en los que el responsable considere que la solicitud no resulta procedente total o parcialmente, C/ Jorge Juan, 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 8/9 viene obligado a dictar una respuesta expresa, motivada y fundamentada, indicando las concretas razones jurídicas y fácticas que justifiquen la limitación aplicada y, en su caso, las posibilidades de acceso parcial compatibles con los derechos e intereses concurrentes. En consecuencia, procede concluir que la respuesta ofrecida por BANCO DE SABADELL, S.A. no atendió de forma completa y materialmente suficiente el derecho de acceso ejercitado por la reclamante, al no haberse facilitado adecuadamente información relativa a los accesos y tratamientos efectuados sobre sus datos personales en los términos exigidos por el artículo 15 del RGPD. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por A.A.A. frente al BANCO DE SABADELL, S.A. al considerar que se ha infringido lo dispuesto en el artículo 15 del RGPD e instar al BANCO DE SABADELL, S.A., para que, en el plazo de diez días hábiles desde que la presente resolución sea firme y ejecutiva, remita a la parte reclamante certificación por la que se atienda el derecho de Acceso ejercido o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de una infracción del artículo 83.6 del RGPD, calificada como muy grave a los efectos de prescripción en el artículo 72.1.
- m)de la LOPDGDD, que se sancionará, de acuerdo con el art. 58.2 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y al BANCO DE SABADELL, S.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución sea notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 9/9 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 - Madrid www.aepd.es sedeagpd.gob.es