1/18 Expediente N.º: EXP202411182 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 16 de julio de 2024 ante esta Agencia y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: Con fecha 16 de julio de 2024 tuvo entrada en esta Agencia reclamación presentada por A.A.A. (en adelante, la parte reclamante) contra ASESORÍA Y CONSULTORÍA PARA EMPRESAS YOU, S.L. (en adelante, la parte reclamada) por no haber sido debidamente atendido el derecho de acceso a sus datos personales. “(…) En reiteradas ocasiones, he solicitado a YouAsesoria que me proporcionen acceso a las facturas y demás documentación que he cargado en su sistema durante los últimos años, información que claramente es de mi propiedad. Sin embargo, la empresa ha respondido que no tienen información de mi propiedad y que la contabilidad realizada es trabajo suyo y, por tanto, de su propiedad, negándome así el acceso a mis propios datos. Además, me han informado que solo me proporcionarán esta información si me pongo al día con unas cuotas que supuestamente debo, cuotas que corresponden a un periodo en el que no se han presentado mis obligaciones fiscales. Esta exigencia de pago para liberar mis datos personales es inadmisible y constituye una práctica abusiva y coercitiva, similar a un secuestro digital. (…)” La parte reclamante aporta los siguientes documentos: - Correo electrónico de fecha 08 de marzo de 2024 de la parte reclamada a la parte reclamante, indicando “(…) Atendiendo a tu solicitud de baja de la asesoría enviada el 07 de marzo de 2024, no podemos dar conformidad a esta solicitud. Recordarte que la no presentación de tus obligaciones fiscales es por tu estado de morosidad con la asesoría. (…)” - Correo electrónico de fecha 08 de marzo de 2024 de la parte reclamante a la parte reclamada proponiendo “(…) para dar solución a esto que me digas un monto fijo para poner las cuentas al día (…)” - Correo electrónico de fecha 11 de marzo de 2024 de la parte reclamada a la parte reclamante informándole del importe que debería abonar para ponerse al día con sus pagos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/18 - Correo electrónico de fecha 01 de julio de 2024 de la parte reclamante a la parte reclamada informándole que ha tenido dificultades económicas y le gustaría saber cómo puede retomar los servicios de la asesoría. - Correo electrónico de fecha 01 de julio de 2024 de la parte reclamada respondiendo a la parte reclamante facilitándole “(…) presupuesto para poderte poner al día con la asesoría”. “(…) Una vez nos mandes los datos y el justificante de pago, te damos de alta en el sistema y te asignamos un asesor/a.” - Correo electrónico, de fecha 11 de julio de 2024, de la parte reclamante a la parte reclamada con el asunto “Solicitud de acceso a datos personales y facturación”, y el texto: “(…) para solicitar acceso a mis datos personales y a las facturas que están registradas en el sistema, especialmente las correspondientes al cuarto trimestre de 2023. Adicionalmente, solicito los datos que tengan de la compañía Elite Upgrade Consulting SL. Hago esta solicitud en mi carácter de administrador de dicha sociedad. Adjunto a este correo una imagen de mi NIE (…)”. - Correo electrónico de fecha 11 de julio de 2024 de la parte reclamada a la parte reclamante: “…para tener de nuevo acceso tienes que ponerte al día con las cuotas atrasadas que se debían”. - Correo electrónico, de fecha 11 de julio de 2024, de la parte reclamante a la parte reclamada con el asunto “Re: Acceso a datos personales y facturación”, y el texto: “Quisiera aclarar que la información solicitada es de mi propiedad y no de ustedes. Además, me están cobrando por un trimestre en el cual ustedes no cumplieron con mal presentación de mis obligaciones fiscales. Si no me proporcionan mis datos personales y la información solicitada, procederé a presentar un reclamo ante la Agencia Española de Protección de Datos…”. - Correo electrónico de fecha 12 de julio de 2024 de la parte reclamada a la parte reclamante: “(..) Nosotros no tenemos ninguna información de tu propiedad. La información sobre la empresa y la documentación debes tenerla tú. Puedes consultar en Hacienda todos los modelos fiscales con el certificado digital de la empresa o del autónomo. Lógicamente, la contabilidad es trabajo hecho por nosotros y de nuestra propiedad, la cual entregamos sin problemas si te pones al día con las cuotas. Como comprenderás, no podemos enviar un trabajo por el cual se han C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/18 devuelto las cuotas mes tras mes, incurriendo en gastos de devolución también que no se le han cobrado. Comentas también que hemos presentado mal tus obligaciones fiscales, lo cual, no tiene sentido. Tenemos los recibos devueltos de las cuotas de tu autónomo y tu sociedad. Por supuesto, no se iba a realizar un trabajo por el cual no estás pagando. Se te avisó reiteradas veces a través de email porque no nos cogías el teléfono. Nosotros somos implantadores de la Ley de Protección de Datos y conocemos su alcance, en este caso, no tiene ningún alcance la reclamación que quieres hacer. En todo momento, nos hemos ofrecido a ponerte al día la sociedad y el autónomo. Incluso se le dio un importe por debajo del importe que nos adeudabas. Aun así, no has hecho ningún pago. (…)” - Correo electrónico de fecha 16 de julio de 2024 de la parte reclamante a la parte reclamada: “Lamentablemente, su correo refleja una serie de malentendidos y afirmaciones incorrectas. Permítanme aclarar los puntos a continuación: 1. Datos de Propiedad: Las facturas cargadas a su sistema contienen información de mi propiedad, ya que soy el propietario de esos datos. La Ley de Protección de Datos ampara mi derecho a acceder a dicha información. Negar el acceso a mis propios datos va en contra de esta legislación. 2. Cobro Indebido: Se me está queriendo cobrar por un periodo en el cual no se han presentado mis obligaciones fiscales. Esto no solo es incorrecto, sino que también raya en un comportamiento inaceptable, similar a un secuestro de la información. No voy a pagar por un periodo donde ustedes mismos reconocen que no han realizado el trabajo. 3. Acceso a Mis Datos: Los datos en su sistema sobre las facturas que he cargado durante los últimos años me pertenecen y no a ustedes. Yo soy el dueño de esa información y tengo derecho a acceder a ella sin ninguna condición. 4. Reclamación Ante la AEPD: Procederé a iniciar una reclamación ante la Agencia Española de Protección de Datos (AEPD) por su negativa a otorgarme el derecho de acceso a mis datos. (…)” SEGUNDO: Examinada la reclamación presentada, con fecha 02/08/2024 la Directora de la Agencia acordó inadmitir a trámite la reclamación. “(…) El derecho de acceso previsto en la normativa de protección de datos es un derecho personalísimo que ampara el acceso de datos personales del titular, si bien no implica, con carácter general, la obtención de copia de documentos que puedan contener datos personales (contratos, facturas, actas...), de certificaciones o de otras informaciones asociadas a una relación negocial, laboral, asociativa o administrativa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/18 Conforme a lo aportado junto a la reclamación, la solicitud realizada a la entidad reclamada se refiere a documentación ligada a la contabilidad de una entidad de la que la parte reclamante es responsable, sin que, por tanto, en la respuesta remitida por la parte reclamada quepa identificar una obstaculización del derecho de acceso de datos de la parte reclamante, al referirse a información contable ligado a la actividad empresarial de la empresa de la que es responsable. A lo anterior procede añadir que esta Agencia no es competente para dirimir cuestiones civiles, tales como las relativas a la validez civil o mercantil de un contrato, la exactitud de la cuantía de una deuda, irregularidades en la facturación, la correcta prestación de los servicios contratados, imposición de penalizaciones o la interpretación de cláusulas contractuales, pues su competencia se limita a determinar si se han cumplido los requisitos legales y reglamentarios establecidos para el tratamiento de los datos, pero sin realizar indagaciones propias de la esfera civil. La determinación de la legitimidad de una deuda basada en una interpretación del contrato suscrito entre las partes y de su correcta cuantía deberá instarse ante los órganos administrativos o judiciales competentes, al exceder del ámbito competencial de esta Agencia. (…)” TERCERO: Disconforme con la resolución de inadmisión a trámite, notificada a la parte recurrente con fecha 07 de agosto de 2024, la parte reclamante interpuso Recurso de Reposición contra dicha resolución con fecha 08 de agosto de 2024, argumentando que la parte reclamada no solo manejaba datos referidos a facturas y a su condición de representante de una mercantil, sino datos personales de la parte recurrente, a los que no le han dado acceso, afectando su petición a dichos datos. Aporta junto a su reclamación un escrito de revocación de apoderamiento en favor de la parte reclamada, presentado ante la Agencia Tributaria. Instruido el procedimiento de Recurso de Reposición correspondiente, con fecha 30 de octubre de 2024, por parte de la Directora de esta Agencia se estimó el mismo porque “(…) En el presente caso, junto al recurso de reposición se ha aportado nueva documentación relevante a los efectos de lo planteado, acreditando que su petición de acceso afectaría a sus datos personales, por lo que debe ser analizada por la Subdirección General de Inspección de Datos.” para que la reclamación siguiese el trámite previsto en el artículo 65 de la LOPDGDD. CUARTO: Como consecuencia de la estimación del citado Recurso de Reposición, de conformidad con el artículo 65.4 de la LOPDGDD, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La parte reclamada procedió a dar respuesta, con fecha 27 de noviembre de 2024, manifestando lo siguiente: “(…) Alega D. A.A.A. en su solicitud ante esta Agencia la vulneración del derecho reconocido en el artículo 15 RGPD. Al respecto debemos decir que, en primer lugar, la asesoría no ha negado el ejercicio de ninguno de los derechos reconocidos en la normativa de protección de datos. Y, en segundo lugar, que la Asesoría y Consultoría para Empresa YOU S.L. no realiza las funciones de custodia de documentos. Prueba de ello es el contrato con el cliente D. A.A.A., adjunto como documento n. 2. Entre las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/18 funciones incluidas en la prestación de servicios enumeradas en la cláusula primera del contrato, se encuentran: el asesoramiento contable, asesoramiento fiscal y asesoramiento laboral, no se incluye la custodia de documentos originales. Asimismo, se expresa al inicio del contrato como identificación del mismo: (…)” El desarrollo de los servicios de asesoría contratados se realiza a través de la consulta de copias de facturas que los clientes suben a una plataforma online en la que, previamente, se ha generado un perfil para el cliente. Tratándose de una asesoría que presta servicios de asesoría online a toda España, es inviable la entrega de documentos originales por nuestros clientes. Por ello, siempre funcionamos con copias escaneadas y subidas por los clientes a una plataforma online a la que podrán acceder tanto el propio cliente para subir las copias de facturas, consultar su contabilidad, comprobar sus números, así como su asesor para proceder a las consultas necesarias para la presentación de los modelos fiscales pertinentes. El acceso a los datos es consentido por el interesado y, en todo caso, limitado a la finalidad de prestación de los servicios de asesoría contratados. El cliente da acceso a la asesoría a su perfil en dicha plataforma, de manera que pueda consultar los datos necesarios para el fin para desarrollar su labor de asesoría fiscal y presentar los modelos pertinentes para cumplir las obligaciones fiscales del autónomo o sociedad. Estos documentos se consultan online, sin descargarlos. Una vez finalizado el servicio con cada cliente, el perfil del cliente en la plataforma queda inhabilitado para no generar costes extras a la asesoría. En caso de reanudación del servicio, pagada las cuotas pertinentes, se rehabilita. Dicho esto, y explicado el funcionamiento de la asesoría, se entenderá cómo no hay vulneración alguna a los derechos reconocidos en la legislación de protección de datos. Los datos tratados, como venimos diciendo, lo son con el consentimiento del titular y para el fin de prestación de servicios contratados. Una vez finalizado el fin para el que fueron recabados, no tratándose de ninguna de las excepciones que imponen la conservación de datos por plazos prolongados (art. 5.1.
- e)RGPD), los datos no se conservan puesto que el autónomo o sociedad, con su propio certificado digital podrá descargar los modelos fiscales presentados a las Administraciones directamente, además de que durante la prestación de los servicios se le da traslado y acceso a todos y cada uno de los modelos tributarios y cualquier documentación presentada. De esta forma se da cumplimiento a las limitaciones de conservación de datos reconocidas en la legislación vigente. Segunda. El interesado solicitó el acceso “datos personales y fiscales que he cargado en su sistema” (se cita textualmente email remitido por D. A.A.A. a la asesoría el 16 de julio). Se adjunta como documento n. 3 hilo de mensajes de correo electrónico con el cliente. Con esta expresión, D. A.A.A. aceptaba que aquellos documentos cuyo acceso exigía no habían sido entregados a You para su custodia, sino que se subieron a la plataforma o sistema online. Reiteramos, la Asesoría y Consultoría para Empresas You S.L. no conserva documentos originales aportados por los clientes, no conserva ficheros con los documentos, ni siquiera copias, de los clientes. La Asesoría accede a las copias de documentos subidos por los clientes a la plataforma (muchísimas veces en foto y ni tan siquiera escaneados), tiene en cuenta valores finales, porcentajes y, en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/18 atención a los mismos, realiza su trabajo fiscal y contable y presenta los modelos fiscales que procedan. Además, asesora a sus clientes, empresarios y sociedades y les informa de la obligación legal que, como empresarios, recae sobre los mismos en cuanto a la conservación de los documentos relativos al cumplimiento de sus obligaciones fiscales. Precisamente, esta fue la razón por la que, desde la Asesoría, se le responde a su email indicándole que no se conservaban aquellos documentos o datos a los que hacía referencia. Se le indicó que los distintos modelos fiscales presentados durante la prestación del servicio los podía descargar directamente en las páginas webs de las distintas Administraciones con su certificado digital como autónomo, o con el de la sociedad. Sí que es cierto que se le indica que si procedía al pago de los servicios de asesoría se le remitirían trabajos de contabilidad, ello se debe a que el cliente había dejado de pagar en varias ocasiones los servicios. En este punto, debemos aclarar que el trabajo contable que hace la asesoría requiere el pago por el cliente de la cuota anual. Debido a la complejidad de la operativa de las sociedades, una vez que se produce el impago de cuotas mensuales se paraliza la actividad de los contables, por ello, la contabilidad de ese año queda incompleta. Así, cuando se dejan de pagar las cuotas mensuales la asesoría paraliza la prestación de dichos servicios (así queda contemplado en el contrato que el cliente firma al inicio de las relaciones profesionales). Por tanto, si el cliente en su petición de julio de 2024 quería que se le desarrollara el trabajo de contabilidad o que se le remitiera algún trabajo de contabilidad concreto, debía abonar el precio de los mismos. Si bien, ello no obsta a que los datos o documentos como las facturas, como decimos, no son conservados por la asesoría y, por tanto, no hay que darle acceso al cliente, no tenemos a qué darle acceso, con lo cual, no se produjo la vulneración del derecho alegado por el interesado ante esta Agencia. Es el propio cliente el que conserva esos documentos y quien puede acceder con su certificado a los modelos presentados. Todos los derechos reconocidos en los arts. 12 y siguientes de la LOPDPGD 3/2018, de 5 de diciembre, son reconocidos plenamente, tanto durante la prestación del servicio, como tras su finalización. Como venimos diciendo, es el empresario quien tiene la obligación de conservar todos los documentos que sean necesarios para cumplir con sus obligaciones fiscales. No habiendo contratado con esta asesoría la custodia documental, puesto que, reiteramos, ese servicio no es ofrecido por esta asesoría a ninguno de sus clientes, no se transmite está obligación de custodia a la asesoría. Por tanto, el incumplimiento de obligaciones fiscales de las que habla D. A.A.A. en sus correos electrónicos no puede ser achacado a la actividad de la asesoría. No puede sino devenir precisamente del incumplimiento de obligaciones propias de todo empresario reconocidas en la legislación aplicable, a saber, el art. 29.2 de la Ley General Tributaria (58/2003) prevé expresamente la obligación de los obligados tributarios de “conservar las facturas, documentos y justificantes que tengan relación con sus obligaciones tributarias”. Documentos adjuntos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/18 - - DOCUMENTO 1: Escritura pública YOU ASESORÍA - administradora. DOCUMENTO 2: Contrato prestación de servicios de asesoría con A.A.A. firmado con fecha 04 de abril de 2022. Según las estipulaciones convenidas en este contrato, la parte reclamada se compromete a la ordenación y archivo de documentación corriente para su envío a la parte reclamante y a la entrega a éste de los libros contables, así como a entregarle un “dossier” con toda la documentación en caso de resolución anticipada del contrato. En el apartado “Protección de datos personales” se indica que la parte reclamada informa a la parte reclamante que “los datos personales contenidos en el presente contrato y los generados por la prestación del servicio, todos ellos relativos a EL CLIENTE, serán incorporados a un fichero, con la finalidad de prestar el servicio…” y que “El CLIENTE tiene la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición, en relación a sus datos personales, dirigiendo un escrito a la dirección de la ASESORÍA indicada en el encabezamiento del presente contrato”. DOCUMENTO 3: Emails enviados por A.A.A.: o Correo electrónico de fecha 16 de julio de 2024 de la parte reclamante a la parte reclamada indicando que “(…) me dirijo a ustedes para reiterar mi solicitud de acceso a los datos personales y fiscales que he cargado en su sistema durante los últimos años. Esta información es de mi propiedad y su negativa a proporcionármela está impidiendo que pueda cumplir con mis obligaciones fiscales. (…) Les solicito, una vez más, que me proporcionen de inmediato todos los datos y documentos fiscales que he cargado en su sistema. Si no recibo una respuesta favorable y el acceso a mis datos en un plazo razonable, me veré obligado a iniciar acciones judiciales para resolver este grave problema.” o Hilo de correos electrónicos Se inicia con el remitido por la parte reclamada a la parte reclamante, con fecha 12 de julio de 2024, indicando que “(…) Nosotros no tenemos ninguna información de tu propiedad. La información sobre la empresa y la documentación debes tenerla tú. Puedes consultar en Hacienda todos los modelos fiscales con el certificado digital de la empresa o del autónomo. Lógicamente, la contabilidad es trabajo hecho por nosotros y de nuestra propiedad, la cual entregamos sin problemas si te pones al día con las cuotas. Como comprenderás, no podemos enviar un trabajo por el cual se han devuelto las cuotas mes tras mes, incurriendo en gastos de devolución también que no se te han cobrado. (…)” C/ Jorge Juan, 6 28001 – Madrid Respuesta de la parte reclamante con fecha 16 de julio de 2024: “Solicito nuevamente el acceso a mis datos. Adjunto copia de la denuncia ante al AEPD.” www.aepd.es sedeagpd.gob.es 8/18 Correo electrónico de la misma fecha, de la parte reclamada a la parte reclamante contestando a su petición, indicando que “(…) vamos a iniciar una denuncia por impago de nuestros servicios y reclamación de costes de devolución de las mismas cuotas, tanto las tuyas como autónomo y las de tu empresa. (…) Vuelvo a recordarte, que la obligación de conservar la documentación de tu autónomo y de tu empresa es tuya. Legalmente tienes que guardar esta información durante 5 años. A los impuestos presentados, puedes acceder sin problemas con tus certificados digitales en la web de Hacienda. Por supuesto, la elaboración de la contabilidad pertenece exclusivamente a la asesoría. La cual se entrega al cliente el trabajo hecho, si el cliente, paga mensualmente sus cuotas. (…) Correo electrónico de la misma fecha, 16 de julio de 2024, de la parte reclamante a la parte reclamada indicando que “(…) Solicito nuevamente el acceso a mis facturas y documentos cargados en su sistema, los cuales son esenciales para mi contabilidad. Además, espero una revisión justa de los servicios cobrados y no prestados.” QUINTO: Examinado el escrito presentado por la parte reclamada, se traslada a la parte reclamante, para que, en el plazo de diez días hábiles formule las alegaciones que considere oportunas, no constando en esta Agencia que se haya presentado ninguna respuesta. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/18 sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. La apertura del presente procedimiento se produce por la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento. III Derechos de las personas en materia de protección de datos personales. Derecho de acceso Los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD, así como en los artículos 13 a 18 de la LOPDGDD. Respecto al derecho de acceso de los interesados a obtener los datos personales “que les conciernen” del responsable del tratamiento de los mismos, son de especial aplicación los artículos 12 y 15 del RGPD, así como los artículos 12 y 13 de la LOPDGDD, todo lo cual deberá interpretarse dentro del marco fijado en los Considerandos 59 a 64 del RGPD. Así pues, el contenido principal del derecho y su alcance o contenido viene establecido en el artículo 15 del RGPD, que dispone lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/18 “1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
- a)los fines del tratamiento;
- b)las categorías de datos personales de que se trate;
- c)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales;
- d)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
- e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
- f)el derecho a presentar una reclamación ante una autoridad de control;
- g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
- h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros”. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/18 solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. Por su parte, el artículo 13 de la LOPDGDD establece determinadas pautas para considerar atendido dicho derecho por el responsable del tratamiento de los datos personales en determinados supuestos, precisando lo siguiente: “1. El derecho de acceso del afectado se ejercitará de acuerdo con lo establecido en el artículo 15 del Reglamento (UE) 2016/679. Cuando el responsable trate una gran cantidad de datos relativos al afectado y este ejercite su derecho de acceso sin especificar si se refiere a todos o a una parte de los datos, el responsable podrá solicitarle, antes de facilitar la información, que el afectado especifique los datos o actividades de tratamiento a los que se refiere la solicitud. 2. El derecho de acceso se entenderá otorgado si el responsable del tratamiento facilitara al afectado un sistema de acceso remoto, directo y seguro a los datos personales que garantice, de modo permanente, el acceso a su totalidad. A tales efectos, la comunicación por el responsable al afectado del modo en que este podrá acceder a dicho sistema bastará para tener por atendida la solicitud de ejercicio del derecho. No obstante, el interesado podrá solicitar del responsable la información referida a los extremos previstos en el artículo 15.1 del Reglamento (UE) 2016/679 que no se incluyese en el sistema de acceso remoto. 3. A los efectos establecidos en el artículo 12.5 del Reglamento (UE) 2016/679 se podrá considerar repetitivo el ejercicio del derecho de acceso en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. 4. Cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, la solicitud será considerada excesiva, por lo que dicho afectado asumirá el exceso de costes que su elección comporte. En este caso, solo será exigible al responsable del tratamiento la satisfacción del derecho de acceso sin dilaciones indebidas.” Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos personales de que se trate, los destinatarios o categorías de destinatarios a los que podrán comunicarse los datos, el plazo previsto o criterios de conservación, la posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la autoridad de control, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular), la existencia de decisiones automatizadas, incluida la elaboración de perfiles, e información sobre transferencias de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/18 personales a un tercer país o a una organización internacional. La posibilidad de obtener copia de los datos personales objeto de tratamiento no afectará negativamente a los derechos y libertades de otros. Conforme a lo establecido en el artículo 15 del RGPD y artículo 13 de la LOPDGDD, "el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales". Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los "datos o actividades de tratamiento a los que se refiere la solicitud". El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo 15 del RGPD). El ejercicio de este derecho se podrá considerar repetitivo si se ejerce en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. IV Conclusión En el presente caso, ha quedado acreditado que la parte reclamante solicitó ante la parte reclamada acceso tanto a sus datos personales como a los de la empresa de la que es administrador. El RGPD, en su considerando 14 establece que “La protección otorgada por el presente Reglamento debe aplicarse a las personas físicas, independientemente de su nacionalidad o de su lugar de residencia, en relación con el tratamiento de sus datos personales. El presente Reglamento no regula el tratamiento de datos personales relativos a personas jurídicas y en particular a empresas constituidas como personas jurídicas, incluido el nombre y la forma de la persona jurídica y sus datos de contacto.” El mismo texto legal dispone en su artículo 1 “Objeto”: 1.El presente Reglamento establece las normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de los datos personales y las normas relativas a la libre circulación de tales datos. 2.El presente Reglamento protege los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/18 3.La libre circulación de los datos personales en la Unión no podrá ser restringida ni prohibida por motivos relacionados con la protección de las personas físicas en lo que respecta al tratamiento de datos personales. Y el artículo 4 “Definiciones”: “A efectos del presente Reglamento se entenderá por: 1) «datos personales» :toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; (…)” En el presente caso, y teniendo en cuenta lo dispuesto en los primeros párrafos de este Fundamento de Derechos IV, la solicitud de la parte reclamante de acceso a los datos relativos a la empresa de la que es administrador, queda fuera del presente procedimiento al no quedar amparado dicho acceso en la normativa de protección de datos de carácter personal. El procedimiento de derechos se instruye como consecuencia de la falta de atención de alguno de los derechos regulados en la normativa de protección de datos. Por ello, en el presente caso sólo se analizarán y valorarán los hechos relativos al ejercicio de estos derechos, quedando fuera el resto de las cuestiones planteadas por las partes derivadas de la relación negocial que mantuvieron. En este caso, respecto de la solicitud de acceso a los datos personales formulada por la parte reclamante debe considerarse, en primer término, que fue cliente de la parte reclamada y que esta relación negocial conlleva, necesariamente, el tratamiento de datos personales. Asimismo, de la documentación aportada por las partes, ha quedado acreditado que la parte reclamante solicitó a la parte reclamada “(…) acceso a los datos personales y fiscales que he cargado en su sistema durante los últimos años. (…)”, insistiendo en esta petición cada vez que recibía una respuesta de la parte reclamada negando dicha petición, llegando a advertirla sobre la posibilidad de formular reclamación ante esta AEPD, como finalmente hizo: “(…) para solicitar acceso a mis datos personales y a las facturas que están registradas en el sistema, especialmente las correspondientes al cuarto trimestre de 2023.” “(…) Les solicito, una vez más, que me proporcionen de inmediato todos los datos y documentos fiscales que he cargado en su sistema.” “(…) Solicito nuevamente el acceso a mis facturas y documentos cargados en su sistema, los cuales son esenciales para mi contabilidad. Además, espero una revisión justa de los servicios cobrados y no prestados.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/18 Consta, además, que la parte reclamada respondió estas peticiones de la parte reclamante negando la petición planteada: “…para tener de nuevo acceso tienes que ponerte al día con las cuotas atrasadas que se debían”. “Nosotros no tenemos ninguna información de tu propiedad. La información sobre la empresa y la documentación debes tenerla tú. Puedes consultar en Hacienda todos los modelos fiscales con el certificado digital de la empresa o del autónomo. Lógicamente, la contabilidad es trabajo hecho por nosotros y de nuestra propiedad, la cual entregamos sin problemas si te pones al día con las cuotas…”. A este respecto, cabe aplicar lo dispuesto por el Consejo Europeo de Protección de Datos (en adelante, CEPD), en las Directrices 1/2022, adoptadas el 28 de marzo de 2023, por la que se aprueba la Guía de aplicación del artículo 15 del RGPD, sobre el Derecho de Acceso del Interesado, que indica que “
- d)¿Entra la solicitud en el ámbito de aplicación del artículo 15? 50. Cabe señalar que el RGPD no introduce ningún requisito formal para las personas que solicitan acceso a los datos. Para presentar la solicitud de acceso, basta con que las personas solicitantes especifiquen que desean saber qué datos personales que les conciernen trata el responsable del tratamiento. Por lo tanto, el responsable del tratamiento no puede negarse a facilitar los datos haciendo referencia a la falta de indicación de la base jurídica de la solicitud, especialmente a la falta de una referencia específica al derecho de acceso o al RGPD. Por ejemplo, para presentar una solicitud, bastaría con que el solicitante indicara: • que desea acceder a los datos personales que le conciernen; • que está ejerciendo su derecho de acceso; o • que desea conocer la información que le concierne que trata el responsable del tratamiento. Hay que tener en cuenta que los solicitantes pueden no estar familiarizados con los entresijos del RGPD y que es aconsejable no ser muy estrictos con las personas que ejercen su derecho de acceso, en particular cuando lo ejercen menores de edad. Como se ha indicado anteriormente, en caso de duda, se recomienda que el responsable del tratamiento pida al interesado que lo solicite que especifique el objeto de la solicitud.
- e)¿Desean los interesados acceder a la totalidad o a parte de la información tratada sobre ellos? 51. Además, el responsable del tratamiento debe evaluar si las solicitudes presentadas por la persona solicitante se refieren a la totalidad o a parte de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/18 información tratada sobre ellas. Toda limitación del alcance de una solicitud a una disposición específica del artículo 15 del RGPD, realizada por los interesados, debe ser clara e inequívoca. Por ejemplo, si los interesados requieren literalmente «información sobre los datos tratados en relación con ellos», el responsable del tratamiento debe suponer que los interesados tienen la intención de ejercer plenamente su derecho en virtud del artículo 15, apartados 1 y 2, del RGPD. Dicha solicitud no debe interpretarse en el sentido de que los interesados deseen recibir únicamente las categorías de datos personales que se están tratando y renunciar a su derecho a recibir la información enumerada en el artículo 15, apartado 1, letras
- a)a h). Esto sería diferente, por ejemplo, cuando los interesados deseen, con respecto a los datos que especifiquen, tener acceso a la fuente u origen de los datos personales o al plazo de conservación especificado. En tal caso, el responsable del tratamiento podrá limitar su respuesta a la información específica solicitada. 3.1.2 Forma de la solicitud 52. Como se ha señalado anteriormente, el RGPD no impone ningún requisito a los interesados en relación con la forma de la solicitud de acceso a los datos personales. Por lo tanto, en principio, no existen requisitos en virtud del RGPD que los interesados deban observar a la hora de elegir un canal de comunicación a través del cual entren en contacto con el responsable del tratamiento. Asimismo, la Sentencia del Tribunal de Justicia (Sala Tercera) de 7 de mayo de 2009 [STJUE Rijkeboer 7.5.2009 — Asunto C-553/07] indica que “51 El citado derecho de acceso es indispensable para que el interesado pueda ejercer los derechos que se contemplan en el artículo 12, letras
- b)y c), de la Directiva, a saber, en su caso, cuando el tratamiento no se ajuste a las disposiciones de la misma, obtener del responsable del tratamiento de los datos, la rectificación, la supresión o el bloqueo de los datos [letra b)], o que proceda a notificar a los terceros a quienes se hayan comunicado los datos, toda rectificación, supresión o bloqueo efectuado, si no resulta imposible o supone un esfuerzo desproporcionado [letra c)]. 52 El derecho de acceso es, igualmente, condición necesaria para el ejercicio por el interesado del derecho de oposición al tratamiento de sus datos personales, contemplado en el artículo 14 de la Directiva, como lo es para el derecho a recurrir por los daños sufridos, previsto en los artículos 22 y 23 de ésta.” Por otro lado, en relación con el derecho a obtener copia, la Sentencia del Tribunal de Justicia de la Unión Europea (Sala Primera) de 4 de mayo de 2023 declara: “1) El artículo 15, apartado 3, primera frase, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), debe interpretarse en el sentido de que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/18 el derecho a obtener del responsable del tratamiento una copia de los datos personales objeto de tratamiento implica que se entregue al interesado una reproducción auténtica e inteligible de todos esos datos. Este derecho incluye el de obtener copia de extractos de documentos, o incluso de documentos enteros, o de extractos de bases de datos, que contengan, entre otros, dichos datos, si la entrega de tal copia es indispensable para permitir al interesado ejercer efectivamente los derechos que le confiere ese Reglamento. Debe subrayarse asimismo la necesidad de que se tengan en cuenta, a este respecto, los derechos y libertades de los terceros. 2) El artículo 15, apartado 3, tercera frase, del Reglamento 2016/679 debe interpretarse en el sentido de que el concepto de «información» que contempla se refiere exclusivamente a los datos personales de los que el responsable del tratamiento debe facilitar una copia con arreglo a la primera frase de dicho apartado.” Por ello, según la interpretación que del derecho de acceso ha hecho el Tribunal de Justicia de la Unión Europea, así como lo que se establecen en las Directrices 1/2022 precitadas, la parte reclamante ha ejercitado el derecho de acceso respecto de los datos personales que le conciernen y la parte reclamada tendría que facilitar a la parte reclamante su derecho de acceso en los términos previstos en el RGPD. Procede entonces entrar en el fondo del asunto y analizar si fueron procedentes los motivos de desestimación esgrimidos por la parte reclamada. Ello, sin considerar las estipulaciones convenidas por las partes en el contrato que reguló su relación negocial respecto de la documentación generada por la prestación de servicios de asesoramiento fiscal, laboral y contable, que constan reseñadas en el antecedente cuarto, al no corresponder a esta AEPD valorar su cumplimiento o incumplimiento. A este respecto, cabe aplicar lo dispuesto en las Directrices 1/2022, anteriormente citadas, cuyo punto 4.2 concreta el alcance de los datos personales que comprende el derecho de acceso, haciendo mención específica a los datos que le conciernen al interesado, advirtiendo del peligro de realizar una interpretación “demasiado restrictiva” para denegarlos automáticamente. Estas Directrices establecen lo siguiente: “4.2 Los datos personales a los que se refiere el derecho de acceso 102. Según el artículo 15, apartado 1, del RGPD, «[e]l interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información» (énfasis añadido). Varios elementos se desprenden del párrafo 1 del artículo 15 del RGPD. En el apartado se refiere expressis verbis a «los datos personales que le conciernen» (4.2.1), que «están siendo tratados» (4.2.2) por el responsable del tratamiento: 4.2.1. «datos personales que le conciernen» C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/18 104. El derecho de acceso puede ejercerse exclusivamente con respecto a los datos personales relativos al interesado que solicita el acceso o, en su caso, por una persona autorizada o un representante autorizado (véase la sección 3.4). También existen situaciones en las que los datos no tienen un vínculo con la persona que ejerce el derecho de acceso, sino con otra persona. Sin embargo, el interesado solo tiene derecho a los datos personales relativos a sí mismo, con exclusión de los datos que conciernen exclusivamente a otra persona. 105. Sin embargo, la calificación de los datos como datos personales relativos al interesado no depende del hecho de que esos datos personales se refieran también a otra persona. Por lo tanto, es posible que los datos personales se refieran a más de una persona al mismo tiempo. Esto no significa automáticamente que deba concederse el acceso a datos personales también relacionados con otra persona, ya que el responsable del tratamiento debe cumplir lo dispuesto en el artículo 15, apartado 4, del RGPD. 106. Los responsables del tratamiento no deben interpretar la expresión «datos personales que le incumban» de manera «excesivamente restrictiva», como ya indicó el Grupo de Trabajo del Artículo 29 en relación con el derecho a la portabilidad de los datos. Aplicado al derecho de acceso, el CEPD considera, por ejemplo, que las grabaciones de conversaciones telefónicas (y su transcripción) entre el interesado que solicita acceso y el responsable del tratamiento pueden estar comprendidas en el derecho de acceso siempre que estas últimas sean datos personales. (…)” Como ya se ha indicado anteriormente, hay que tener en cuenta la STJUE de 4 de mayo de 2023, que declara que “(…) el derecho de acceso debe interpretarse en el sentido de que el derecho a obtener del responsable del tratamiento una copia de los datos personales objeto de tratamiento implica que se entregue al interesado una reproducción auténtica e inteligible de todos esos datos. Este derecho incluye el de obtener copia de extractos de documentos, o incluso de documentos enteros, o de extractos de bases de datos, que contengan, entre otros, dichos datos, si la entrega de tal copia es indispensable para permitir al interesado ejercer efectivamente los derechos que le confiere ese Reglamento. Debe subrayarse asimismo la necesidad de que se tengan en cuenta, a este respecto, los derechos y libertades de los terceros.” En definitiva, en el presente caso la parte reclamante tiene derecho a que se le facilite su derecho de acceso a sus datos personales en relación con el ejercicio formulado ante la parte reclamada, referido específicamente a sus datos personales y a las facturas registradas en el sistema de la parte reclamada, especialmente las correspondientes al cuarto trimestre de 2023; sin que conste prueba documental alguna que permita considerar que la parte reclamada haya facilitado, o denegado motivadamente, dichos datos a la parte reclamante. Obviamente, no cabe aceptar que la solicitud de acceso a datos personales pueda desestimarse simplemente indicando al interesado “Nosotros no tenemos ninguna información de tu propiedad”, cuando consta acreditada una relación negocial que conlleva el tratamiento de datos personales; ni que la atención de dicha solicitud se condicione al cumplimiento de otras obligaciones de pago que pudieran corresponder a la parte reclamante, cuya sustanciación deberá promoverse por la vía que corresponda. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/18 Por tanto, procede estimar la reclamación que originó el presente procedimiento. Esta Agencia no es competente para analizar y valorar el cumplimiento o incumplimiento de las condiciones contractuales entre las partes, debiendo dirigirse a las instancias correspondientes para su valoración. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por A.A.A. al considerar que se ha infringido lo dispuesto en el artículo 15 del RGPD e instar a ASESORÍA Y CONSULTORÍA PARA EMPRESAS YOU, S.L. con NIF B09893983, para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita a la parte reclamante certificación en la que se atienda el derecho solicitado o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de una infracción del art. 83.6 del RGPD, calificada como muy grave a los efectos de prescripción en el artículo 72.1.
- m)de la LOPDGDD, que se sancionará de acuerdo con el art. 58.2 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a ASESORÍA Y CONSULTORÍA PARA EMPRESAS YOU, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1381-090823 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es