1/13 Expediente N.º: EXP202415063 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 14 de octubre de 2024 ante esta Agencia y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: Con fecha 14 de octubre de 2024 tuvo entrada en esta Agencia reclamación presentada por A.A.A. (en adelante, la parte reclamante) contra FEDERACION EXTREMEÑA DE BALONCESTO (en adelante, la parte reclamada) por no haber sido debidamente atendido su derecho de acceso. La parte reclamante manifiesta que en fecha 27 de agosto de 2024 solicitó a la parte reclamada el acceso a sus datos, sin que haya obtenido debida contestación una vez transcurrido el plazo que la normativa de protección de datos establece para obtener respuesta a su petición. Aporta copia de solicitud de acceso a sus datos en el que aparece sello de recepción de dicho escrito por la parte reclamada. SEGUNDO: De conformidad con el artículo 65.4 de la LOPDGDD se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 28 de noviembre de 2024 la parte reclamada contestó a esta Agencia indicando, en síntesis, que: "Con fecha de 27 de agosto de 2024 se recibió la solicitud del derecho de acceso por parte del solicitante, pero no se le proporcionó ningún tipo de respuesta por pensar equivocadamente que la solicitud había sido respondida anteriormente mediante escrito a una petición que realizó A.A.A. a través de la Junta de Extremadura en referencia a la Subvención Nominativa que recibimos de la Junta correspondiente al año 2020 y que fue entregada al denunciante en formato papel, previo borrado de los datos de carácter personal de terceras personas. Nuestra entidad, a raíz de la reclamación recibida por la AEPD ha procedido dar respuesta a la solicitud del derecho de acceso presentada por A.A.A. (anexo 1). Dicha respuesta fue enviada por correo certificado con fecha 18/11/2024 y acuse de recibo con fecha 20/11/2024 (anexo 2 y 3). En la carta se adjuntó copia en formato a papel (como así lo solicito el interesado en su escrito) de todos los datos de carácter personal que la Federación Extremeña de Baloncesto trata del solicitante (anexos 4, 5 y 6), y de la cláusula de información del tratamiento de "federados" (anexo 7)." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/13 Por lo expuesto, esta Agencia, en su resolución de fecha 2 de diciembre de 2024, consideró que el derecho había sido atendido. TERCERO: Disconforme con la resolución, la parte reclamante interpuso recurso de reposición argumentando que la información facilitada es insuficiente, inexacta y errónea. Entre otras alegaciones, se indica que “la relación de licencias diligenciadas en las temporadas que refiere es insuficiente. Basta con poner de manifiesto que con el ***CLUB.1 se suscribieron varias licencias de entrenador con anterioridad a 2017 y que el historial deportivo de licencias con otros clubes se remonta a los años ochenta del siglo pasado. Es más, no facilita la copia de las respectivas solicitudes de licencia o el resguardo descargable que figura en las fichas impresas con los datos facilitados por el club correspondiente. Tampoco aporta datos sobre mi colaboración (...) en programas de la FExB o la pertenencia a (...) de la FExB, así como los cursos formativos organizados por la FExB en los que participé como alumno y como profesor, que se remontan a los años noventa del siglo pasado hasta
- (…) en cuanto a la cesión de datos o destinatarios, tampoco especifica claramente aquellas administraciones con competencia en qué materia, puesto que además de la deportiva está la tributaria, siendo insuficiente la información proporcionada al respecto.” Por ello, solicita que se le facilite el derecho de acceso remitiendo la totalidad de los datos personales que consten en sus ficheros distinguiendo las finalidades para las que se facilitaron, así como los destinatarios a los que se cedieron o se van a ceder. Instruido el procedimiento de Recurso de Reposición correspondiente, en el que se dio audiencia a la parte reclamada, con fecha 31 de marzo de 2025, por parte de esta Agencia se estimó el mismo porque se aportan hechos nuevos que acreditan que la parte reclamada no ha atendido completamente el derecho de acceso solicitado. “Pues bien, de la documentación obrante en el expediente, se desprende que la parte reclamada dio respuesta al ejercicio del derecho de acceso mediante carta certificada en fecha 18 de noviembre de
- En dicha contestación se le informaba, entre otros aspectos, de la categoría de los datos personales como persona federada sin facilitar los datos reales y concretos; de los fines del tratamiento para gestionar su relación como persona federada con la parte reclamada; y de los destinatarios, que se corresponderían con las organizaciones o personas relacionadas con la parte reclamada como la Federación Española de Baloncesto, el Comité Olímpico Español (COE) y el Consejo Superior de Deporte (CDS), así como con la Administración Pública con competencia en la materia, pero sin especificar. Asimismo, se facilitaba copia de los datos identificativos de la parte recurrente en su condición de colaborador técnico en las actividades técnicas de la parte reclamada. Se aprecia que la respuesta al derecho de acceso instado por la parte recurrente es parcial, al no haber facilitado de forma completa los datos personales e información solicitada. En concreto, no se habrían facilitado los datos personales señalados en el recurso de reposición, cuya conservación confirma y justifica la parte reclamada a esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/13 Agencia, pero sin señalar la falta de remisión de estos datos concretos a la parte recurrente en respuesta a su derecho de acceso. Por tanto, en el presente caso, existen indicios de incumplimiento de la normativa de protección de datos que deben ser analizados por la Subdirección General de Inspección de Datos, y procede la estimación del recurso interpuesto.” CUARTO: Como consecuencia de la estimación del citado Recurso de Reposición, se procedió a la apertura del presente Procedimiento de Derechos, dando traslado de la documentación a la parte reclamada, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes. La parte reclamada, con fecha 5 de mayo de 2025, contestó, en síntesis, que: “(…)
- Que tras la correspondiente revisión interna, esta entidad reconoce que no se proporcionó todos los datos y el registro de actividades del tratamiento, debido a un error organizativo en la gestión documental interna, circunstancia que lamentamos profundamente.
- Que en el momento actual se ha procedido a: o Remitir al reclamante, en fecha 14/05/2025, la información completa relativa a los datos personales tratados, conforme al artículo 15 del RGPD. (…)” La parte reclamada aporta la siguiente documentación: - Prueba de entrega de Correos “Entregado en Oficina el 24/04/2025” Informe con los datos de la parte reclamante: o Datos como federado: “Según obra en los archivos de la Federación Extremeña de Baloncesto, las licencias que ha obtenido A.A.A. en donde ha participado en competiciones Oficiales de Baloncesto organizadas por esta Federación y Federación Española de Baloncesto son de la siguiente categoría: jugador, delegado de equipo, entrenador y entrenador Ayudante. Todas estas licencias de Baloncesto se han tramitado a través de las Entidades Deportivas de Baloncesto a lo largo de su trayectoria Deportiva.” Le facilita sus datos e instituciones con las que los comparte. o Datos como Alumno de cursos federativos: Le informan de los cursos federativos de baloncesto que ha obtenido, organizados tanto por la parte reclamada como por la Federación Española de Baloncesto, desde la temporada 88/
- o Datos como Profesor de cursos Federativos: Le facilita sus datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/13 o Datos (...) de Baloncesto en Actividades de la Federación Extremeña de Baloncesto: Le indica que ha participado en los Programas de Tecnificación de la Categoría Cadete Masculina, programa que se desarrolla con anterioridad a la participación en los Campeonatos de España de Selecciones Autonómicas Cadete Masculina con la Selección Extremeña (...) y le facilita sus datos personales. o Datos (...) de Baloncesto Tecnificación y Selección Extremeña Minibasket Masculino. o Datos (...) de Baloncesto Programa Ayuda a la Tecnificación. o Datos (…) por el estamento de Entrenadores/Técnicos. o Contrato laboral (…). QUINTO: Examinado el escrito presentado por la parte reclamada, se traslada a la parte reclamante, para que, en el plazo de diez días hábiles formule las alegaciones que considere oportunas. La parte reclamante presentó un escrito en esta Agencia con fecha 05 de junio de 2025, manifestando, en síntesis, que no le indican las temporadas o años en que ha desarrollados las distintas labores, así como tampoco la finalidad del tratamiento ni el origen de los datos. “(…) Que, según se desprende de lo anterior, la FExB se ha limitado a leer el recurso de reposición y con los datos facilitados inicialmente se ha limitado a remitir la misma información señalándolos como obrantes den distintos ficheros a partir de lo señalado por mí en el recurso, añadiendo algún dato con generalidades que evidencia la falta de otros y omitiendo copia de datos que inicialmente facilitara incompleta como reconoció la propia FExB (p.e. el histórico de tipos de licencias federativas suscritas con el club correspondiente en cada temporada), lo que hace evidente que no ha facilitado toda la información sobre mis datos que constan en sus ficheros y su copia, como poco los señalados en la anterior. (…) En consecuencia, teniendo en cuenta todo lo anterior, la nueva información facilitada por la FExB, notificada el 24 de abril de 2025, vulnera el derecho de acceso al no facilitar copia de todos los datos existentes conforme al art. 15.3 del RGPD, aportando datos nuevos de cuyo origen no se informa, omite otros facilitados anteriormente y otros que han de constar, así como por no facilitar información sobre la finalidad ni la legitimación de comunicación de datos a terceros de cada fichero.” SEXTO: Otorgada audiencia a la parte reclamada, ésta contestó mediante escrito de fecha 27 de junio de 2025, en síntesis, y por lo que al presente procedimiento interesa, que “(…) se ha proporcionado al reclamante (…) toda la información y datos personales que obraban en poder de esta Federación.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/13 “La entrega se realizó en tiempo y forma, facilitando una copia íntegra de los datos personales solicitados, sin incurrir en denegación, dilación o restricción injustificada del derecho de acceso.” “(…) SEGUNDA.- RESPUESTA A LA SOLICITUD DE DERECHOS AL INTERESADO. A raíz de la reclamación recibida, esta entidad procedió a revisar el cumplimiento del derecho de acceso ejercido por A.A.A.. Inicialmente se envió respuesta por correo certificado el 18/11/2024, con acuse de recibo fechado el 20/11/
- No obstante, tras resolución estimatoria de la AEPD con fecha 01/04/2025, se reconoció un error organizativo en la gestión documental interna que impidió proporcionar el total de la información solicitada, incluyendo el registro de actividades del tratamiento. Como respuesta correctiva, el 14/05/2025 se envió al reclamante la totalidad de los datos tratados por esta Federación, conforme al artículo 15 RGPD. Además, se ha implantado un sistema automatizado de gestión de solicitudes con alertas y registros para evitar futuras incidencias similares. Nuestra entidad, a raíz de la reclamación recibida por la AEPD procedió a dar respuesta a la solicitud del derecho de acceso presentada por A.A.A.. Dicha respuesta fue enviada por correo certificado con fecha 18/11/2024 y acuse de recibo con fecha 20/11/
- Con fecha 01 de abril de 2025, por la AEPD estimó el recurso de reposición interpuesto por A.A.A., en relación con la reclamación por la supuesta falta de atención al derecho de acceso formulado en fecha 27 de agosto de
- Tras la revisión interna, esta entidad reconoció que no se proporcionaron todos los datos y el registro de actividades del tratamiento, debido a un error organizativo en la gestión documental interna, circunstancia que lamentamos profundamente. En aquel momento se procedió a: Remitir al reclamante, con fecha 14/05/2025, la información completa y en su totalidad relativa a los datos personales de A.A.A. que han sido tratados por la Federación, conforme al artículo 15 del RGPD (…)” La parte reclamada hace una cronología de actuaciones desde que la parte reclamante solicitó su derecho de acceso hasta el momento, y considera que le ha facilitado todos sus datos. Considera que la insistencia de la parte reclamante en el acceso a la totalidad de sus datos es excesiva e infundada. “Por todo ello y de acuerdo con el artículo 12.5 del RGPD y el artículo 13.3 de la LOPDGDD, cuando las solicitudes son manifiestamente infundadas o excesivas, el responsable puede negarse a actuar. La insistencia del reclamante, sin aportar nuevos hechos o elementos que justifiquen su persistencia, encajaría en el supuesto de abuso de derecho descrito en el artículo 7.2 del Código Civil. Solicitamos que esta circunstancia sea valorada por la Agencia. Del examen del comportamiento procesal de A.A.A., se desprende un patrón que puede calificarse como contrario a los principios de buena fe. A pesar de haber C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/13 recibido respuesta y la documentación en los términos establecidos por la normativa vigente, el reclamante insiste en mantener abierta una reclamación sin justificación objetiva, generando un uso abusivo de los mecanismos de tutela de derechos ante esta Agencia. (…) El artículo 12.5 del RGPD establece que, cuando las solicitudes del interesado sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo, el responsable del tratamiento podrá bien cobrar un canon razonable basado en los costes administrativos afrontados para facilitar la información, o bien negarse a actuar respecto de la solicitud. En este caso, consideramos que la actuación del reclamante encaja dentro de este supuesto, toda vez que ya ha recibido respuesta completa a sus solicitudes, y persiste en mantener una reclamación sin sustento objetivo, reiterando peticiones sin aportar nuevos elementos de juicio. Artículo 13 LOPDGDD, especialmente el apartado 3: “El responsable podrá denegar el acceso cuando el ejercicio de este derecho pueda afectar negativamente a derechos o libertades de terceros, o cuando las solicitudes sean manifiestamente infundadas o excesivas.” (…)” La parte reclamada ha aportado copia de un documento en el que constan los datos ya enviados a la parte reclamante, así como varios cuadros de “información básica sobre protección de datos” donde constan el “responsable del tratamiento”, el “tratamiento”, la “legitimación”, el “origen”, los “destinatarios”, los” derechos de las personas interesada” e “información adicional” de varios ficheros. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/13 II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. La apertura del presente procedimiento se produce por la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento.” III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/13 De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. IV Derecho de acceso Conforme a lo establecido en el artículo 15 del RGPD y artículo 13 de la LOPDGDD, "el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales". Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los "datos o actividades de tratamiento a los que se refiere la solicitud". El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo 15 del RGPD). El ejercicio de este derecho se podrá considerar repetitivo si se ejerce en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos personales de que se trate, los destinatarios o categorías de destinatarios a los que podrán comunicarse los datos, el plazo previsto o criterios de conservación, la posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la autoridad de control, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular), la existencia de decisiones automatizadas, incluida la elaboración de perfiles, e información sobre transferencias de datos personales a un tercer país o a una organización internacional. La posibilidad de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/13 obtener copia de los datos personales objeto de tratamiento no afectará negativamente a los derechos y libertades de otros. V Conclusión En el presente caso, ha quedado acreditado que la parte reclamante solicitó a la parte reclamada el acceso a sus datos personales. Durante la tramitación del presente expediente, la parte reclamada ha ido facilitando a la parte reclamante diferentes datos personales, y ha señalado que dicha petición es excesiva e infundada. Las Directrices 1/2022, del Comité Europeo de Protección de Datos, la que se aprueba la Guía de aplicación del artículo 15 del RGPD, sobre el Derecho de Acceso del Interesado señalan: “Límites y restricciones El RGPD permite ciertas limitaciones del derecho de acceso. No hay otras exenciones o excepciones. El derecho de acceso no está sujeto a ninguna reserva general de proporcionalidad con respecto a los esfuerzos que el responsable del tratamiento debe realizar para satisfacer la solicitud del interesado. De conformidad con el artículo 15, apartado 4, el derecho a obtener una copia no afectará negativamente a los derechos y libertades de otros. El CEPD opina que estos derechos deben tenerse en cuenta no solo a la hora de conceder el acceso mediante la entrega de una copia, sino también si el acceso a los datos se facilita por otros medios (por ejemplo, el acceso in situ). Sin embargo, el artículo 15, apartado 4, no es aplicable a la información adicional sobre el tratamiento, tal como se establece en el artículo 15, apartado 1, letras a) a h). El responsable del tratamiento debe poder demostrar que los derechos o libertades de otros se verían afectados negativamente en la situación concreta. La aplicación del artículo 15, apartado 4, no debe dar lugar a la denegación total de la solicitud del interesado; solo daría lugar a la exclusión o la ilegibilidad de aquellas partes que puedan tener efectos negativos para los derechos y libertades de otros. El artículo 12, apartado 5, del RGPD permite a los responsables del tratamiento rechazar solicitudes que sean manifiestamente infundadas o excesivas, o cobrar un canon razonable por dichas solicitudes. Estos conceptos deben interpretarse en sentido estricto. Dado que existen muy pocos requisitos previos en relación con las solicitudes de acceso, el alcance de considerar que una solicitud es manifiestamente infundada es bastante limitado. Las solicitudes excesivas dependen de las características específicas del sector en el que opera el responsable del tratamiento. Cuanto más a menudo se producen cambios en la base de datos del responsable del tratamiento, con mayor frecuencia puede permitirse al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/13 interesado solicitar el acceso sin que sea excesivo. En lugar de denegar el acceso, el responsable del tratamiento puede decidir cobrar un canon al interesado. Esto solo sería pertinente en el caso de solicitudes excesivas con el fin de cubrir los costes administrativos que puedan ocasionar dichas solicitudes. El responsable del tratamiento debe poder demostrar el carácter manifiestamente infundado o excesivo de una solicitud. (…) 2.2.1.2 Acceso a los datos personales que se están tratando
- El acceso a los datos personales es el segundo componente del derecho de acceso en virtud del artículo 15, apartado 1, y constituye el núcleo de este derecho. Se refiere al concepto de datos personales tal como se define en el artículo 4, apartado 1, del RGPD. Aparte de los datos personales básicos, como el nombre y la dirección, en esta definición puede entrar una variedad ilimitada de datos, siempre que entren en el ámbito de aplicación material del RGPD, en particular en lo que se refiere al modo en que se realiza el tratamiento (artículo 2 del RGPD). Por «acceso a datos personales» se entiende el acceso a los propios datos personales, no solo una descripción general de los datos ni una mera referencia a las categorías de datos personales tratados por el responsable del tratamiento. Si no se aplican límites o restricciones, los interesados tendrán derecho a acceder a todos los datos tratados que les conciernan, o a partes de los datos, en función del alcance de la solicitud (véase la sección 2.3.1). La obligación de facilitar el acceso a los datos no depende del tipo o la fuente de dichos datos. Se aplica en su totalidad incluso en los casos en que la persona solicitante haya facilitado inicialmente los datos al responsable del tratamiento, ya que su objetivo es informar al interesado sobre el tratamiento efectivo de dichos datos por parte del responsable del tratamiento. El alcance de los datos personales con arreglo al artículo 15 se explica detalladamente en las secciones 4.1 y 4.
- (…) 2.3 Principios generales del derecho de acceso
- Cuando los interesados presenten una solicitud de acceso a sus datos, en principio, la información a que se refiere el artículo 15 del RGPD debe facilitarse siempre en su totalidad. En consecuencia, cuando el responsable del tratamiento trate datos que conciernen al interesado, facilitará toda la información a que se refiere el artículo 15, apartado 1 y, en su caso, la información a que se refiere el apartado 2 del mismo artículo. El responsable del tratamiento debe adoptar las medidas adecuadas para garantizar que la información sea completa, correcta y esté actualizada, y que se corresponda lo más posible con el estado del tratamiento de los datos en el momento de recibir la solicitud. Cuando dos o más responsables del tratamiento traten datos conjuntamente, el acuerdo de los corresponsables en relación con sus respectivas responsabilidades en relación con el ejercicio de los derechos del interesado, especialmente en lo que respecta a la respuesta a las solicitudes de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/13 acceso, no afectará a los derechos de los interesados frente al responsable del tratamiento al que dirijan su solicitud. 2.3.1 Exhaustividad de la información
- Los interesados tienen derecho a obtener, con las excepciones que se mencionan a continuación, la comunicación completa de todos los datos que les conciernan (para más detalles sobre el ámbito de aplicación, véase la sección 4.2). A menos que el interesado solicite expresamente lo contrario, toda solicitud de ejercicio del derecho de acceso se entenderá en términos generales, abarcando todos los datos personales que le conciernan. Podrá considerarse la posibilidad de limitar el acceso a parte de la información en los siguientes casos: a) (…) b) En situaciones en las que el responsable del tratamiento trate una gran cantidad de datos que conciernan al interesado, el responsable del tratamiento puede tener dudas si una solicitud de acceso, expresada en términos muy generales, tiene realmente por objeto recibir información sobre todo tipo de datos tratados o sobre todos los sectores de actividad del responsable del tratamiento en detalle. Estas dudas pueden surgir, en particular, en situaciones en las que no haya sido posible proporcionar al interesado herramientas para especificar su solicitud desde el principio o en las que el interesado no las haya utilizado. El responsable del tratamiento se enfrenta entonces al problema de cómo dar una respuesta completa, evitando al mismo tiempo crear un exceso de información para el interesado que no le interese y que no pueda gestionar eficazmente. Puede haber formas de resolver este problema, dependiendo de las circunstancias y las posibilidades técnicas, por ejemplo, proporcionando herramientas de autoservicio en contextos en línea (véase la sección 5 sobre el enfoque por niveles). Si estas soluciones no son aplicables, un responsable del tratamiento que trate una gran cantidad de información relativa al interesado podrá solicitar al interesado que especifique la información o el tratamiento a que se refiere la solicitud antes de que se facilite la información (véase el considerando 63 del RGPD). Ejemplos de ello pueden ser una empresa con varios ámbitos de actividad o una autoridad pública con diferentes unidades administrativas, si el responsable del tratamiento ha constatado que se tratan numerosos datos relativos al interesado en dichas ramas. Además, los responsables del tratamiento pueden tratar una gran cantidad de datos en relación con las actividades frecuentes del interesado durante un período de tiempo prolongado. (…) e) ¿Desean los interesados acceder a la totalidad o a parte de la información tratada sobre ellos?
- Además, el responsable del tratamiento debe evaluar si las solicitudes presentadas por la persona solicitante se refieren a la totalidad o a parte de la información tratada sobre ellas. Toda limitación del alcance de una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/13 solicitud a una disposición específica del artículo 15 del RGPD, realizada por los interesados, debe ser clara e inequívoca. Por ejemplo, si los interesados requieren literalmente «información sobre los datos tratados en relación con ellos», el responsable del tratamiento debe suponer que los interesados tienen la intención de ejercer plenamente su derecho en virtud del artículo 15, apartados 1 y 2, del RGPD. Dicha solicitud no debe interpretarse en el sentido de que los interesados deseen recibir únicamente las categorías de datos personales que se están tratando y renunciar a su derecho a recibir la información enumerada en el artículo 15, apartado 1, letras a) a h). Esto sería diferente, por ejemplo, cuando los interesados deseen, con respecto a los datos que especifiquen, tener acceso a la fuente u origen de los datos personales o al plazo de conservación especificado. En tal caso, el responsable del tratamiento podrá limitar su respuesta a la información específica solicitada.” En el presente supuesto, examinadas las comunicaciones remitidas a la parte reclamante, se observa que no se le ha facilitado el origen de alguno de los datos ni la información sobre la finalidad ni la legitimación de comunicación de datos a terceros de cada fichero, tal como indica la parte reclamante. La parte reclamada ha aportado un documento a esta Agencia en el que constan los datos ya enviados a la parte reclamante, así como varios cuadros de “información básica sobre protección de datos” donde constan el “responsable del tratamiento”, el “tratamiento”, la “legitimación”, el “origen”, los “destinatarios”, los” derechos de las personas interesada” e “información adicional” de varios ficheros. No obstante, no consta prueba documental alguna que permita considerar que haya sido comunicado expresamente a la parte reclamante, tal como establece el artículo 12.4 de la LOPDGDD. No cabe aceptar que la respuesta que corresponda dar pueda manifestarse con ocasión de un mero trámite administrativo, como es la formulación de alegaciones con motivo del presente procedimiento, iniciado precisamente por no atender debidamente la solicitud en cuestión. Las normas antes citadas no permiten que pueda obviarse la solicitud como si no se hubiera planteado, dejándola sin la respuesta que obligatoriamente deberán emitir los responsables, aún en el supuesto de que no existan datos en los ficheros o incluso en aquellos supuestos en los que no reuniera los requisitos previstos, en cuyo caso el destinatario de dicha solicitud viene igualmente obligado a requerir la subsanación de las deficiencias observadas o, en su caso, denegar la solicitud motivadamente indicando las causas por las que no procede considerar el derecho de que se trate. Por tanto, la solicitud que se formule obliga al responsable a dar respuesta expresa en todo caso, empleando para ello cualquier medio que justifique la recepción de la contestación. En consecuencia, procede estimar la reclamación presentada al no haberse atendido completamente el derecho de acceso solicitado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/13 Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por A.A.A. al considerar que se ha infringido lo dispuesto en el artículo 15 del RGPD e instar a FEDERACION EXTREMEÑA DE BALONCESTO con NIF G10056406, para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita a la parte reclamante certificación en la que se atienda el derecho solicitado o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de una infracción del artículo 83.6 del RGPD, calificada como muy grave a los efectos de prescripción en el artículo 72.1.m) de la LOPDGDD, que se sancionará de acuerdo con el artículo 58.2 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a FEDERACION EXTREMEÑA DE BALONCESTO. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1381-180725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es