PD-00241-2025

(15)días hábiles para formular alegaciones y aportar la documentación que estimara oportuna. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/19 • Que, en fecha 1 de septiembre de 2025, esta entidad solicitó formalmente la ampliación del plazo concedido, así como copia del expediente administrativo, con el fin de poder atender adecuadamente el requerimiento formulado. • Que, al no haberse recibido respuesta oficial a dicha solicitud a la entidad de AXA actualmente en vigor, procede a presentar el presente escrito de alegaciones dentro del plazo inicialmente conferido en la notificación, dando cumplimiento al trámite en tiempo y forma. ALEGACIONES PRIMERA. - En primer lugar, AXA desea dejar constancia de que todas las solicitudes formuladas por el Reclamante han sido atendidas conforme a la normativa vigente en materia de protección de datos, garantizando en todo momento el respeto a los derechos que le asisten. (…) SEGUNDA. - Que, de acuerdo con lo manifestado por esta Autoridad en la notificación a la que se formulan las presentes alegaciones, con anterioridad a la misma, se trasladó a esta entidad la reclamación de A.A.A. y se notificó por medios electrónicos un requerimiento de información relativo a su caso. En este sentido, y al no haberse accedido a dicha notificación dentro del plazo máximo establecido, se entendió rechazada. A este respecto, esta entidad desea manifestar que en ningún momento existió voluntad por parte de AXA en desatender dicha comunicación. Sino que, tras revisar lo ocurrido, se ha podido constatar que la notificación fue remitida a la entidad “AXA AURORA IBERICA, S.A. DE SEGUROS Y REASEGUROS”, en la dirección postal sita en ***DIRECCIÓN.1, la cual dejó de existir en el año 2018, al haber sido absorbida en el marco de un proceso de reestructuración societaria por “AXA AURORA VIDA, S.A. DE SEGUROS Y REASEGUROS”, con domicilio en ***DIRECCIÓN.2. Como consecuencia de ello, AXA no tuvo constancia fehaciente de la notificación inicial, lo que impidió atender en tiempo el requerimiento efectuado. No obstante, tras la recepción de la presente notificación, como es habitual, se activaron los protocolos internos, iniciándose una revisión e investigación interna del caso para esclarecer la situación ocurrida con A.A.A.. En el marco de dicho proceso, se detectó que la copia remitida por correo postal a AXA AURORA IBERICA, S.A. DE SEGUROS Y REASEGUROS que indica la Autoridad, fue registrada en el área de reclamaciones. No obstante, dado que en ese momento se estaban tramitando diversas solicitudes de A.A.A., los equipos internos interpretaron dicha comunicación como una reclamación más del interesado, sin procederse, como habitualmente y exigen los procedimientos internos, a poner en conocimiento estos hechos al equipo correspondiente de AXA para su correcta y conveniente gestión. Además, debe señalarse que la recepción por correo postal —un canal excepcional y distinto al previsto legalmente— dificultó la identificación de la comunicación como un acto oficial de la AEPD. En consecuencia, el uso de un canal no habitual, unido al envío a una entidad ya extinguida, explica que la comunicación no fuera canalizada por los procedimientos internos correspondientes, sin que esta circunstancia pueda imputarse a AXA. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/19 (…) No obstante, y a pesar de que el requerimiento no fue recibido de forma fehaciente por AXA —al haber sido dirigido electrónicamente a una entidad ya extinguida—, todas las cuestiones planteadas por esta Autoridad en dicha notificación han quedado debidamente abordadas en el presente escrito de alegaciones, como podrá comprobarse más adelante. (…) TERCERA. - Que, en fecha 14 de junio de 2024, se recibieron diversas peticiones en distintos buzones de correo electrónico de AXA —entre ellas, la destinada a la gestión de reclamaciones relativas al ejercicio de derechos en materia de protección de datos—por parte del Reclamante. Se acompaña como Documento n.º 1 la solicitud formulada por el Reclamante, dirigida a direcciones de correo electrónico de AXA vinculadas a la gestión de datos de clientes de la entidad. CUARTA. - Que, en fecha 9 de julio de 2024, y dentro del plazo legal de un mes previsto para dar respuesta y atender a las solicitudes de ejercicio de derechos, AXA comunicó al Reclamante lo siguiente: “Por la presente le informamos de que hemos procedido a gestionar la supresión de sus datos personales, en cumplimiento con la legislación vigente.” En este sentido, los datos de A.A.A. fueron debidamente bloqueados, en estricto cumplimiento de lo dispuesto en el artículo 17 del Reglamento (UE) 2016/679, de 27 de abril (en adelante, “RGPD”), así como en los artículos 15 y 32 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, “LOPDGDD”). Se adjunta Documento n. 2: Respuesta dada por AXA al reclamante confirmando la tramitación positiva de su petición. Asimismo, esta circunstancia queda evidenciada por las propias manifestaciones del Reclamante ante la AEPD, al afirmar que “El gerente comercial de AXA (...) confirmó que no puede leer mis datos. Que ya están borrados.”, lo que demuestra que la supresión y el bloqueo de sus datos fueron efectivamente realizados conforme a la normativa aplicable. QUINTA. - Que, posteriormente, tras haber respondido y atendido el ejercicio de derecho de supresión de A.A.A. tal y como ha quedado evidenciado, se recibe una nueva comunicación de fecha 31 de enero de 2025, manifestándose por el Reclamante su sorpresa tras haber tenido conocimiento de que se había aportado documentación suya en un procedimiento judicial abierto entre las partes. Se adjunta Documento n. 3: Correo de A.A.A. de fecha 31 de enero de 2025 Con el fin de contextualizar adecuadamente a esta Autoridad, debe señalarse que el procedimiento judicial -actualmente en curso- tiene su origen en una demanda interpuesta por A.A.A. contra AXA, en la que se solicitaba la prestación de indemnización por invalidez correspondiente a su seguro de vida. En ejercicio del legítimo derecho de defensa, esta entidad contestó a la demanda a través de su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/19 representación procesal, aportando la documentación que se consideró pertinente y necesaria para la adecuada defensa de sus intereses. Para ello, fue preciso proceder al desbloqueo de determinada información relativa al propio Reclamante, cuya inclusión en el procedimiento resultaba no solo legítima, sino también imprescindible, dado que los hechos objeto de litigio derivan directamente de la relación contractual existente entre ambas partes. No obstante, AXA procedió a responder a su comunicación, en aras de facilitar al Reclamante una mejor comprensión del marco normativo aplicable en materia de protección de datos, indicándole que la situación planteada traía causa del procedimiento judicial previamente mencionado. Asimismo, se le aclaró que, en consecuencia, la aportación de información previamente bloqueada —en atención al ejercicio de su derecho de supresión— se realizó al amparo de lo previsto en el artículo 32 de la LOPDGDD, que permite el tratamiento de datos personales cuando resulte necesario para la formulación, el ejercicio o la defensa de reclamaciones. Se adjunta Documento n. 4: Contestación de AXA a A.A.A. de fecha 19 de febrero de 2025. Posteriormente, como se indicaba al inicio del presente escrito, la copia de la notificación del requerimiento de la AEPD —recibida por vía postal en fecha 23 de abril de 2025— fue interpretada por los equipos internos de AXA como una comunicación adicional de A.A.A., en el contexto de las diversas solicitudes que venía formulando. Esta interpretación se sustentó —entre otras razones ya expuestas— en el hecho de que dicha notificación reproducía los hechos ya trasladados por el Reclamante en su comunicación de enero de 2025, entendiéndose como una reiteración de las manifestaciones previamente efectuadas, sin que —por su forma ni por su canal de entrada— pudiera identificarse como una actuación formal de la AEPD. A pesar de que, por las circunstancias ya expuestas —esto es, la remisión electrónica del requerimiento a una entidad inexistente y la posterior recepción por vía postal de una copia que, por su formato y contenido, no permitía identificar su procedencia como comunicación oficial de la AEPD— no fue posible atender dicho requerimiento conforme al cauce habitual, AXA sí procedió a dar respuesta al propio Reclamante en fecha 30 de abril de 2025. En dicha contestación se reiteró lo ya manifestado en la respuesta anterior, informándole nuevamente que los hechos planteados no obedecían a otra causa que a la aplicación directa del artículo 32 de la LOPDGDD, que ampara el tratamiento de datos personales cuando resulte necesario para la formulación, el ejercicio o la defensa de reclamaciones, manteniéndose así —como no podía ser de otro modo— el compromiso de AXA de colaborar y atender diligentemente cada una de las comunicaciones recibidas. Se adjunta Documento n. 5: Contestación de AXA a A.A.A. de fecha 30 de abril de 2025. SEXTA. - Que, a raíz de lo expuesto en la alegación anterior y a la luz del caso, este último hecho -es decir, la aportación de documentación por parte de AXA en el marco del procedimiento judicial-, parece ser el único motivo que habría impulsado la presentación de la reclamación de A.A.A. ante esta Autoridad, con la aparente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/19 finalidad de impedir que AXA pudiera disponer de documentación necesaria para su defensa en sede judicial. Esta interpretación cobra aún más fuerza si se considera, en primer lugar, que el derecho de supresión ejercido por el Reclamante fue debidamente atendido por AXA en tiempo y forma desde julio de 2024, como ha quedado acreditado en este escrito. Y, en segundo, por el contenido del propio procedimiento judicial, del que se desprende con claridad la intención del Reclamante de evitar que AXA pudiera utilizar su información personal en dicho contexto, alegando —según su planteamiento— la falta de una base legítima que lo justificara. Tal pretensión resultaba manifiestamente infundada, pues el tratamiento de datos objeto de controversia deriva directamente de la ejecución de un contrato de seguro, lo que constituye una base jurídica legítima conforme al artículo 6.1.

1. b)del RGPD. En consecuencia, dicho tratamiento, así como el desbloqueo temporal previsto en el artículo 32 de la LOPDGDD, son necesarios no solo para la gestión contractual, sino también para la formulación, el ejercicio y la defensa de reclamaciones derivadas de dicha relación contractual. En este contexto, la posición sostenida por el Reclamante se basaría en una interpretación errónea, ya que, como se mencionaba anterior e igualmente se le comunicó, la normativa aplicable —artículo 32 de la LOPDGDD— prevé expresamente la posibilidad de desbloquear temporalmente datos previamente bloqueados cuando resulte necesario para la defensa de los intereses legítimos de la entidad, como ocurrió en el presente caso. (…)” La parte reclamada ha aportado la siguiente documentación: - Documento n.º 1: “Solicitud formulada por el Reclamante, dirigida a direcciones de correo electrónico de AXA vinculadas a la gestión de datos de clientes de la entidad.” Correo electrónico de fecha 14/06/2024 de la parte reclamante remitido a AXA_BE_SM_Privacy.axaservices; CL`FR Dataprivacy; legal compliance@axaxl.com; Data Privacy; Buzon Lopd; AES_ES_SM_dpo_Axa; B.B.B.; Buzon Siniestros Vida; AES_ES_SM_axa_Quejas_Reclamaciones; atención.cliente@axa.es; AES_ES_SM_Contacto_Oficial; C.C.C.; D.D.D.-(...); Buzon Web Formularios; dataprivacy@axa-im.com, y con CC a E.E.E., solicitando: 1. “Quiero conocer qué antecedente o antecedentes no conocéis antes de hacerme el seguro. Burofax fechado 23/02/2024. 2. Quiero una copia, de todos los documentos que tengáis míos. 3. Quiero que eliminen todos mis archivos. Derechos Reglamento General de Protección de Datos. No autoricé, ni consentí el uso de mis datos para otro fin que no fuera la realización de mi seguro.” Adjunta un formulario de derecho de supresión en el que solicita al responsable del tratamiento “AXA AURORA VIDA S.A. DE SEGURO Y REASEGUROS”: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/19 “Que se proceda a contestar a la cuestión: 1º ¿Qué antecedentes argumentan para negar el cobro del seguro? 2º Deseo que me entreguen copia de todos mis audios, informes medios y documentación. Entregué esta información antes del contrato y también después del aviso del burofax que envié, a acordar la supresión de sus datos personales en el plazo de un mes a contar desde envió petición formal de inicio cobro del seguro. 3º Deseo que conforme a la ley y sin perjuicio de mis intereses, eliminen todos mis informes médicos y documentación para proteger mi intimidad. Desde la recepción de esta solicitud, y que se me notifique de forma escrita el resultado de la supresión practicada. Que en caso de que se acuerde que no procede practicar total o parcialmente la supresión solicitada, se me comunique motivadamente a fin de, en su caso, reclamar ante la Autoridad de control que corresponda. (…)” - Documento n.º 2: “Respuesta dada por AXA al reclamante confirmando la tramitación positiva de su petición.” Escrito fechado el 09 de julio de 2024 y firmado por la Directora de Atención de “Axa (Dpto. LOPD)”, dirigido a la parte reclamante indicando: “Nos ponemos en contacto con usted en respuesta a su petición de derecho de supresión de datos personales de conformidad con lo establecido en la normativa de protección de datos de carácter personal. Por la presente le informamos de que hemos procedido a gestionar la supresión de sus datos personales, en cumplimiento con la legislación vigente. Le informamos así mismo de que sus datos personales han sido tratados con el único fin de hacer posible la ejecución de su contrato, que no han sido comunicados a terceros que no fueran imprescindibles para dicha ejecución y siempre han sido tratados con la debida confidencialidad. (…)” - Documento n.º 3: Correo de A.A.A. de fecha 31 de enero de 2025. Correo electrónico remitido por la parte reclamante, con fecha 31 de enero de 2025, a buzon.lopd@axa.com y con Copia a ***EMAIL.1; y a AES_ES_SM_AXA_Quejas_Reclamaciones centro.reclamaciones@axa.es indicando que: “Me anularon las pólizas de seguro, sin avisarme. Incumpliendo lo que dice la Ley del Seguro. Les envié burofax y emails. Para ejercer mi derecho y que eliminaran todos mis datos. El gerente comercial de AXA (...), confirmó que no puede leer mis datos. Que ya están borrados. No me pudo ayudar con un parte del automóvil. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/19 Pero en cambio, continúan teniendo mis informes médicos y contratos y datos con otras empresas míos. Lo aportan en procedimiento judicial iniciado posteriormente ***REFERENCIA.1. Solicitamos a Centros médicos, a la agencia de protección de datos, que ustedes me expulsaron del seguro y no teníais permitido acceder a mis datos. En cambio, compruebo que continuáis teniéndolos. Y es falso argumentar que fuera para procedimiento y el procedimiento de automóvil lo iniciamos creo recordar apenas hace 15 días aproximadamente. (…)” - Documento n.º 4: Contestación de AXA a A.A.A. de fecha 19 de febrero de 2025. Correo electrónico de fecha 19 de febrero de 2025 remitido a la parte reclamante desde buzon.lopd@axa.es indicando “(…) como bien es conocido por usted, en estos momentos hay un procedimiento judicial abierto como consecuencia de la demanda que usted ha interpuesto contra esta entidad. AXA atendió su ejercicio de derecho y en todo momento ha actuado de acuerdo con el artículo 32 de la LOPDGDD, y se abstiene de hacer más comentarios o valoraciones en tanto el procedimiento judicial esté en curso.” - Documento n.º 5: Contestación de AXA a A.A.A. de fecha 30 de abril de 2025. Correo electrónico remitido desde “Buzon Lopd” de Axa a la parte reclamante con un texto similar al ya enviado con fecha 19 de febrero indicando que se abstienen de hacer más comentarios o valoraciones. CUARTO: Examinado el escrito presentado por la parte reclamada, se trasladó a la parte reclamante, para que, en el plazo de quince días hábiles formulase las alegaciones que considerase oportunas. La parte reclamante, con fecha 8 de octubre de 2025, presentó un escrito ante esta Agencia indicando, en síntesis, que no es cierto lo alegado por la parte reclamada, y solicita que “(…) sancionen a AXA por tener documentación de terceras empresas y personas relacionadas con un cliente que ellos expulsaron. ¿Como obtuvieron esta documentación de otras empresas y yo? ¿Por qué conservaron durante años antes de comenzar este pleito esta documentación que no les pertinencia?” QUINTO: Con fecha 10 de octubre de 2025 tuvo entrada en esta Agencia un escrito presentado por AXA en el que reitera que “las entidades AXA VIDA, S.A DE SEGUROS Y REASEGUROS (actual AXA AURORA VIDA) y AXA SEGUROS GENERALES,S.A. DE SEGUROS Y REASEGUROS, otorgaron ante notario escritura de protocolización de acuerdos sociales, por la que se produce la escisión total de AXA AURORA IBERICA, con la consiguiente extinción de la citada sociedad, pasando todo su patrimonio a las sociedades mercantiles AXA VIDA, S.A DE SEGUROS Y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/19 REASEGUROS y REASEGUROS. AXA SEGUROS GENERALES, S.A. DE SEGUROS Y Asimismo, cabe mencionar que a posteriori, AXA VIDA, S.A DE SEGUROS Y REASEGUROS fue absorbida por la sociedad AXA AURORA VIDA, quedando por tanto extinguida y con el consiguiente traspaso de la totalidad de su patrimonio social a la entidad AXA AURORA VIDA, quien ha adquirido por sucesión a título universal, todos los derechos y obligaciones integrantes de dicho patrimonio.” La parte reclamada manifiesta que el escrito que le trasladó esta Agencia como respuesta a su petición de copia de expediente “a pesar de que la dirección de correo a la que se remite la comunicación pretende a AXA AURORA VIDA, dado que la notificación se dirige a AXA AURORA IBERICA, resulta imposible su apertura, debido a que esta sociedad se encuentra extinguida y, consecuentemente, no existe un certificado electrónico que permita abrir las notificaciones dirigidas a la misma. • Que, en consecuencia, y como ya se puso en conocimiento de la AEPD, resulta imposible actualmente la apertura de las notificaciones dirigidas a nombre de dicha entidad.” “Que, por el presente escrito, viene a reiterarse la necesidad de que se corrija la notificación realizada y las siguientes que pudieran existir, dirigiéndola debidamente a AXA AURORA VIDA.” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/19 obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, siguiendo el trámite previsto en el artículo 65.4 de la LOPDGDD, con carácter previo a la admisión a trámite de la reclamación de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, que da lugar al presente procedimiento, se dio traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida. El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 1 de mayo de 2025, a los efectos previstos en su artículo 64.1 y 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. Dicha admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento.” III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/19 Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. IV Derecho de acceso Conforme a lo establecido en el artículo 15 del RGPD y artículo 13 de la LOPDGDD, "el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales". Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los "datos o actividades de tratamiento a los que se refiere la solicitud". El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo 15 del RGPD). El ejercicio de este derecho se podrá considerar repetitivo si se ejerce en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos personales de que se trate, los destinatarios o categorías de destinatarios a los que podrán comunicarse los datos, el plazo previsto o criterios de conservación, la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/19 posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la autoridad de control, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular), la existencia de decisiones automatizadas, incluida la elaboración de perfiles, e información sobre transferencias de datos personales a un tercer país o a una organización internacional. La posibilidad de obtener copia de los datos personales objeto de tratamiento no afectará negativamente a los derechos y libertades de otros. V Derecho de supresión El artículo 17 del RGPD, que regula el derecho de supresión de los datos personales, establece lo siguiente: "1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
2. a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
3. b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
4. c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
5. d)los datos personales hayan sido tratados ilícitamente;
6. e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
7. f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. 2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos. 3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
8. a)para ejercer el derecho a la libertad de expresión e información;
9. b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/19
10. c)por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras
11. h)e i), y apartado 3;
12. d)con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
13. e)para la formulación, el ejercicio o la defensa de reclamaciones". VI Conclusión El procedimiento de derechos se instruye como consecuencia de la falta de atención de alguno de los derechos regulados en la normativa de protección de datos. Por ello, en el presente caso sólo se analizarán y valorarán los hechos relativos al ejercicio de estos derechos, quedando fuera el resto de cuestiones planteadas por las partes. En el presente caso, y por lo que al presente procedimiento interesa, ha quedado acreditado que, en el intercambio de correos electrónicos entre las partes, con fecha 14 de junio de 2024 la parte reclamante solicitó a la parte reclamada el acceso a sus datos personales, “1º ¿Qué antecedentes argumentan para negar el cobro del seguro? 2º Deseo que me entreguen copia de todos mis audios, informes medios y documentación. Entregué esta información antes del contrato”, así como la supresión de los mismos, y que, con fecha 9 de julio de 2024 la parte reclamada le contestó indicando: “Nos ponemos en contacto con usted en respuesta a su petición de derecho de supresión de datos personales de conformidad con lo establecido en la normativa de protección de datos de carácter personal. Por la presente le informamos de que hemos procedido a gestionar la supresión de sus datos personales, en cumplimiento con la legislación vigente. Le informamos así mismo de que sus datos personales han sido tratados con el único fin de hacer posible la ejecución de su contrato, que no han sido comunicados a terceros que no fueran imprescindibles para dicha ejecución y siempre han sido tratados con la debida confidencialidad. (…)” - Respecto del derecho de acceso a sus datos personales “1º ¿Qué antecedentes argumentan para negar el cobro del seguro? 2º Deseo que me entreguen copia de todos mis audios, informes medios y documentación. Entregué esta información antes del contrato”, del examen de las comunicaciones intercambiadas entre las partes, no consta que la parte reclamada haya contestado respecto a dicho derecho. El artículo 15 del RGPD, Derecho de acceso del interesado, dispone que “1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/19 en tal caso, derecho de acceso a los datos personales y a la siguiente información:
14. a)los fines del tratamiento;
15. b)las categorías de datos personales de que se trate;
16. c)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros u organizaciones internacionales;
17. d)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
18. e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
19. f)el derecho a presentar una reclamación ante una autoridad de control;
20. g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
21. h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros.” Asimismo, la LOPDGDD regula el derecho en su artículo 13, en los siguientes términos: 1. El derecho de acceso del afectado se ejercitará de acuerdo con lo establecido en el artículo 15 del Reglamento (UE) 2016/679. Cuando el responsable trate una gran cantidad de datos relativos al afectado y este ejercite su derecho de acceso sin especificar si se refiere a todos o a una parte de los datos, el responsable podrá solicitarle, antes de facilitar la información, que el afectado especifique los datos o actividades de tratamiento a los que se refiere la solicitud. 2. El derecho de acceso se entenderá otorgado si el responsable del tratamiento facilitara al afectado un sistema de acceso remoto, directo y seguro a los datos personales que garantice, de modo permanente, el acceso a su totalidad. A tales efectos, la comunicación por el responsable al afectado del modo en que este C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/19 podrá acceder a dicho sistema bastará para tener por atendida la solicitud de ejercicio del derecho. No obstante, el interesado podrá solicitar del responsable la información referida a los extremos previstos en el artículo 15.1 del Reglamento (UE) 2016/679 que no se incluyese en el sistema de acceso remoto. 3. A los efectos establecidos en el artículo 12.5 del Reglamento (UE) 2016/679 se podrá considerar repetitivo el ejercicio del derecho de acceso en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. 4. Cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, la solicitud será considerada excesiva, por lo que dicho afectado asumirá el exceso de costes que su elección comporte. En este caso, solo será exigible al responsable del tratamiento la satisfacción del derecho de acceso sin dilaciones indebidas.” En relación con lo expuesto, se hace necesario traer a colación la Sentencia del Tribunal de Justicia de 4 de mayo de 2023, en el asunto C-487/21, la cual determina que “28 Por lo tanto, del análisis literal del artículo 15, apartado 3, primera frase, del RGPD resulta que esta disposición confiere al interesado el derecho a obtener una reproducción auténtica de sus datos personales, entendidos en un sentido amplio, que sean objeto de operaciones que deben calificarse de tratamiento por parte del responsable de ese tratamiento. (…) 32 Por consiguiente, el artículo 15 del RGPD no puede interpretarse en el sentido de que consagra, en su apartado 3, primera frase, un derecho distinto del previsto en su apartado 1. Por otra parte, como ha señalado la Comisión Europea en sus observaciones escritas, el término «copia» no se refiere a un documento como tal, sino a los datos personales que contiene y que deben ser completos. Por lo tanto, la copia debe contener todos los datos personales objeto de tratamiento. (…) 44 Por lo tanto, como ha subrayado el Abogado General en el punto 61 de sus conclusiones, en caso de conflicto entre, por un lado, el ejercicio del derecho de acceso pleno y completo a los datos personales y, por otro, los derechos o libertades de otros, procede efectuar una ponderación entre los derechos y libertades en cuestión. Siempre que sea posible, ha de optarse por modalidades de comunicación de datos personales que no vulneren los derechos o libertades de otros, teniendo en cuenta que, como se desprende del considerando 63 del RGPD, esas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/19 consideraciones no deben «tener como resultado la negativa a prestar toda la información al interesado». 45 Habida cuenta de las consideraciones anteriores, procede responder a las cuestiones prejudiciales primera a tercera que el artículo 15, apartado 3, primera frase, del RGPD debe interpretarse en el sentido de que el derecho a obtener del responsable del tratamiento una copia de los datos personales objeto de tratamiento implica que se entregue al interesado una reproducción auténtica e inteligible de todos esos datos. Este derecho incluye el de obtener copia de extractos de documentos, o incluso de documentos enteros, o de extractos de bases de datos, que contengan, entre otros, dichos datos, si la entrega de tal copia es indispensable para permitir al interesado ejercer efectivamente los derechos que le confiere ese Reglamento. Debe subrayarse asimismo la necesidad de que se tengan en cuenta, a este respecto, los derechos y libertades de los terceros”. En el mismo sentido, la Sentencia del Tribunal de Justicia de la Unión Europea de 22 de junio de 2023, en el asunto C.579/2021, indica que, “64 A este respecto, el Tribunal de Justicia ya ha declarado que el concepto de «copia» así empleado designa la reproducción o transcripción auténtica de un original, de modo que una descripción puramente general de los datos objeto de tratamiento o una remisión a categorías de datos personales no se correspondería con esta definición. Además, del tenor del artículo 15, apartado 3, primera frase, de ese Reglamento se desprende que la obligación de comunicación está vinculada a los datos personales que son objeto del tratamiento en cuestión (véase, en este sentido, la sentencia de 4 de mayo de 2023, Österreichische Datenschutzbehörde y CRIF, C-487/21, EU:C:2023:369, apartado 21). 65 La copia que el responsable del tratamiento tiene que facilitar debe contener todos los datos personales objeto de tratamiento, presentar todas las características que permitan al interesado ejercer efectivamente sus derechos en virtud de dicho Reglamento y, por consiguiente, reproducir de forma íntegra y auténtica esos datos (véase, en este sentido, la sentencia de 4 de mayo de 2023, Österreichische Datenschutzbehörde y CRIF, C-487/21, EU:C:2023:369, apartados 32 y 39).” El derecho de acceso en su modalidad de copia implica “…que se entregue al interesado una reproducción auténtica e inteligible de todos esos datos”, y, asimismo “Este derecho incluye el de obtener copia de extractos de documentos, o incluso de documentos enteros, o de extractos de bases de datos, que contengan, entre otros, dichos datos, si la entrega de tal copia es indispensable para permitir al interesado ejercer efectivamente los derechos que le confiere ese Reglamento. Debe subrayarse asimismo la necesidad de que se tengan en cuenta, a este respecto, los derechos y libertades de los terceros”, conllevando, esto último, que deba examinarse cada caso concreto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/19 Cabe señalar que, cuando se ejercita el derecho de acceso, no cabe aceptar que, en caso de que los datos personales solicitados se encuentren bloqueados, se pretenda dejar sin respuesta el derecho de acceso ejercitado. A este respecto, conviene indicar que los datos personales que se encuentran bloqueados impide el tratamiento de los mismos, salvo para la puesta a disposición de las autoridades competentes. Sin embargo, dicho bloqueo no implica que no se puedan facilitar al afectado tales datos personales que el responsable dispuso y trató mientras perduró la relación contractual, por si de ello, como sucede en el presente caso, pudieran surgir responsabilidades derivadas de su tratamiento. Conforme a la normativa de protección de datos de carácter personal, la supresión de los datos, según lo establecido en el artículo 32 de la LOPDGDD, debe llevarse a cabo mediante el bloqueo. Por lo tanto, la supresión de los datos personales al haber dejado de ser necesarios para la finalidad que justificó su tratamiento no implicará automáticamente su borrado físico. Esta actuación está sometida a determinadas condiciones con las que se pretende asegurar y garantizar el derecho del afectado a la protección de sus datos de carácter personal. Los datos bloqueados quedarán a disposición de los Tribunales, el Ministerio Fiscal u otras Administraciones públicas competentes, en particular las autoridades de protección de datos personales, para las exigencias de posibles responsabilidades derivadas del tratamiento y por el plazo de prescripción de estas. Por todo lo expuesto, al haber ejercitado la parte reclamante su derecho de acceso respecto de los datos personales que le conciernen, la parte reclamada tendría que haber atendido desde la primera solicitud dicho derecho de acceso sin afectar negativamente a los derechos y libertades de otras personas, todo ello de conformidad con los términos previstos en el RGPD. En consecuencia, de lo anteriormente expuesto, procede estimar la reclamación presentada respecto del derecho de acceso a los datos personales al no haber quedado acreditado que la parte reclamada haya atendido, o denegado motivadamente, el acceso solicitado. Respecto del derecho de supresión, una vez recibida la solicitud de supresión de la parte reclamante, la parte reclamada le contestó atendiendo el citado derecho, procediendo, en consecuencia, la desestimación de la reclamación presentada. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por A.A.A. al considerar que se ha infringido lo dispuesto en el artículo 15 del RGPD e instar a AXA AURORA VIDA, S.A. DE SEGUROS Y REASEGUROS con NIF A48464606, para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita a la parte reclamante certificación en la que se atienda el derecho solicitado o se deniegue C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/19 motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de una infracción del artículo 83.6 del RGPD, calificada como muy grave a los efectos de prescripción en el artículo 72.1.
22. m)de la LOPDGDD, que se sancionará de acuerdo con el artículo 58.2 del RGPD. SEGUNDO: DESESTIMAR la reclamación formulada por A.A.A. contra AXA AURORA VIDA, S.A. DE SEGUROS Y REASEGUROS con NIF A48464606 respecto del derecho de supresión. TERCERO: NOTIFICAR la presente resolución a A.A.A. y a AXA AURORA VIDA, S.A. DE SEGUROS Y REASEGUROS. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1381-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es