PD-00299-2025

1/27  Expediente N.º: EXP202509766 (PD/00299/2025) RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vistos los escritos de reclamación presentados ante esta Agencia Española de Protección de Datos (en lo sucesivo, AEPD) y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: A.A.A. (en lo sucesivo, la parte reclamante) ejerció el derecho de acceso frente a la AGENCIA ESTATAL DE ADMINISTRACIÓN TRIBUTARIA con CIF.: Q2826000H, (en lo sucesivo, AEAT o la parte reclamada). La parte reclamante, en su escrito de fecha 13/05/2025, manifiesta que la AEAT, ha denegado el acceso a datos personales que le conciernen. Expone que el 24/03/2025 y el 12/04/2025 presentó sendas solicitudes de acceso relativas a la utilización por su parte de vehículos de la AEAT (periodos 2000-2022 y 2023-2025), amparándose tanto en el Reglamento (UE) 2016/679 como en la Ley 19/2013 y su DA 5.ª. Señala que la AEAT respondió denegando el acceso en una única resolución, motivada exclusivamente en criterios de la normativa de transparencia (incluida la causa de “reelaboración” del CI 007/2015 del CTBG), sin justificar por qué no procedía el acceso conforme a la normativa de protección de datos. Alega que la información solicitada ya existe en las aplicaciones internas —en particular, ***APP.1— y que su obtención resulta inmediata mediante filtros y exportación a Excel/PDF, por lo que no requeriría elaborar un nuevo documento ni supone esfuerzo organizativo, funcional o presupuestario relevante; invoca para ello su experiencia en la propia AEAT. Por otra parte, manifiesta que la conservación de estos registros durante 25 años vulneraría el principio de minimización del artículo 5.

1. c)del RGPD y permitiría inferencias invasivas sobre la vida privada y relaciones de los empleados, por lo que solicita que la AEPD examine ese tratamiento prolongado sin perjuicio de su derecho de acceso previo. En consecuencia, pide que la AEPD investigue los hechos y que se reconozca su derecho de acceso íntegro a la información pedida en los escritos de 24/03/2025 y 12/04/2025 conforme a criterios de la AEPD y al RD 1720/2007. Junto al escrito de reclamación se acompaña la siguiente documentación: - Fechado el 24/03/2025, escrito de solicitud de acceso presentado por el reclamante ante la Delegación Especial de la AEAT en Cataluña – Unidad de Vigilancia Aduanera de Tarragona, asunto: “EJERCICIO DE DERECHOS”, en el que solicita, al amparo del RGPD, la Ley 19/2013 y la LO 3/2018, el acceso a los partes de utilización de vehículos oficiales en 2000, 2001 y 2002. - Fechado el 12/04/2025, escrito de solicitud de acceso dirigido a la Dirección General de la AEAT (Madrid), asunto: “EJERCICIO DE DERECHOS”, donde C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/27 amplía su petición anterior solicitando los partes de vehículos oficiales que utilizó entre 2003 y el 11/02/2025. - Fechado el 08/05/2025, resolución denegatoria de la AEAT, firmada electrónicamente por el Director del Servicio de Planificación y Relaciones Institucionales. En ella se acuerda inadmitir ambas solicitudes por considerar que no constituyen una solicitud de acceso a la información pública en el sentido del Capítulo III del Título I de la Ley 19/2013, sino una consulta particular que requeriría la elaboración de un nuevo documento. Fundamenta la inadmisión en los artículos 13 y 18.1.
2. e)de la Ley 19/2013, citando los criterios interpretativos del Consejo de Transparencia y Buen Gobierno (CI/003/2016). SEGUNDO: En fecha 25 de mayo de 2025, el reclamante remite a esta AEPD un nuevo escrito adjuntando la siguiente documentación: - Fechado el 25/03/2025, escrito de solicitud de acceso a información presentado por el reclamante ante el Departamento de Informática de la AEAT, titulado “Ejercicio de derechos. Reglamento UE 2016/679, Ley 19/2013, de transparencia y buen gobierno”. El interesado solicita acceder a los registros de sesiones y alertas informáticas generadas por sus conexiones en movilidad (fuera de los edificios de la AEAT) desde 2020, así como a los protocolos de seguridad aplicados y al número total de alertas anuales en la AEAT. - Fechado el 22/05/2025, resolución dictada por el Administrador de Seguridad Regional de Cataluña de la AEAT, en el procedimiento “Tratamiento de datos personales – Ejercicio de derechos”. La resolución estima formalmente la solicitud de acceso presentada por el reclamante el 25/03/2025, y comunica que, “teniendo en cuenta la cantidad de información resultante”, ha creado un expediente electrónico accesible durante un mes a través de la sede electrónica, mediante identificación digital y el CSV. - Archivo Excel titulado “Conexiones remotas en horario inusual”, elaborado por el reclamante, que contiene el listado de conexiones informáticas a los sistemas de la AEAT realizadas desde ubicaciones externas (“en movilidad”). - Archivo Excel titulado “Sesiones de acceso remoto”, elaborado por el reclamante que recoge el detalle de las sesiones de acceso remoto a los sistemas informáticos de la AEAT. - Documento titulado “Documento ficción”, fechado el 25/05/2025, elaborado por el reclamante, que reproduce a modo de ejemplo el formato que, a su juicio, debería haber empleado la AEAT al facilitarle la información solicitada. En el escrito que acompaña con la documentación, el reclamante explica que la resolución de 22/05/2025 dictada por el Administrador de Seguridad Regional de Cataluña de la AEAT —notificada el 23/05/2025—, y que formalmente estima su solicitud de acceso presentada el 25/03/2025 relativa a sus accesos a los sistemas informáticos de la AEAT bajo el régimen de trabajo a distancia desde 2020, constituye en realidad una falsa estimación, ya que no se le ha facilitado la información en la forma solicitada pues la resolución únicamente le permite acceder a un expediente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/27 electrónico alojado en su espacio personal de la sede electrónica de la AEAT, de carácter temporal y sin valor probatorio, en lugar de entregarle copias auténticas en papel y PDF con firma, sello, código seguro de verificación y archivos Excel asociados con huella digital HASH SHA-1, tal como había solicitado al amparo del Reglamento (UE) 2016/679, la Ley Orgánica 3/2018 y el RD 1720/2007. Afirma que los documentos facilitados carecen de firma, CSV y garantías de autenticidad, lo que vulnera los arts. 27, 37, 40, 41, 53 y 88 de la Ley 39/2015, así como los principios del Esquema Nacional de Interoperabilidad y Seguridad. Denuncia además que el modo de notificación empleado —mediante expediente accesible solo a él, sin posibilidad de verificación pública— impide que la documentación pueda ser utilizada como prueba, configurando, a su juicio, una argucia administrativa destinada a aparentar cumplimiento de la ley sin garantizar su efectividad. TERCERO: En fecha 9 de junio de 2025, el reclamante remite a esta AEPD un nuevo escrito adjuntando la siguiente documentación: - Fechado el 13/04/2025, escrito de solicitud de acceso a información personal presentado por el reclamante y dirigido a la Dirección General de la Agencia Estatal de Administración Tributaria (Madrid). El interesado solicita el acceso a los datos relativos a sus vacaciones, permisos, licencias, bajas y ausencias disfrutados desde el año 2000 hasta la actualidad, amparándose en el RGPD, la Ley 19/2013, la LO 3/2018, la LO 4/2001, la Ley 39/2015 y el RD 1720/2007. En el escrito que acompaña con la documentación, el reclamante manifiesta que la AEAT no ha respondido en plazo legal a su solicitud de acceso de 13/04/2025, mediante la cual, como empleado público de la propia AEAT, pidió acceder a los datos relativos a sus vacaciones y demás permisos desde el año 2000. Alega que la información existe y es de muy fácil obtención en la aplicación interna ***APP.1. Afirma que los datos fueron aportados por él mismo (al pedir permisos) y son personales, critica la conservación de registros durante 25 años por vulnerar el principio de minimización del art. 5.
3. c)RGPD y denuncia la conculcación de los deberes de información y de respuesta en plazo previstos en el RGPD. CUARTO: En fecha 11 y 12 de junio de 2025, el reclamante presenta sendos escritos en esta AEPD en el que manifiesta nuevamente que la AEAT no ha contestado en plazo a su solicitud de 13/04/2025 de acceso a datos personales, aportando como anexos la solicitud y su justificante; sostiene que la inacción se integra en una pauta obstructiva de determinados gestores dirigida a impedir su derecho de defensa y el uso de pruebas (art. 24.2 CE), pues en otras peticiones previas la AEAT no respondió, denegó o remitió ficheros sin garantías de autenticidad ni validez erga omnes. Alega, además, que la información solicitada existe y es de obtención sencilla en la aplicación interna ***APP.1 mediante filtros y exportación a Excel/PDF, por lo que no concurre causa de reelaboración relevante según el CI/007/2015 del CTBG; justifica que planteó la petición bajo doble base normativa (RGPD/LO 3/2018 y Ley 19/2013). Al escrito se adjunta el documento fechado el 13/04/2025, de solicitud de acceso a información personal presentado por el reclamante y dirigido a la Dirección General de la Agencia Estatal de Administración Tributaria (Madrid), indicado anteriormente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/27 QUINTO: En fecha 24 de junio de 2025, de conformidad con el artículo 65.4 de la LOPDGDD, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), el 24 de junio de 2025, como consta en el justificante de recibo que figura en el expediente. SEXTO: En fecha 24 de julio de 2025, la entidad reclamada remite a esta Agencia escrito de respuesta a la solicitud de información manifestando, en síntesis: - Que el reclamante es funcionario en activo y que, desde febrero de 2025, ha presentado numerosas solicitudes y reclamaciones (44 en total), por diversas vías (registro, correos, llamadas), muchas de ellas repetitivas y con contenido similar. Señala que entre marzo y julio de 2025 se presentaron 13 escritos relacionados con la normativa de protección de datos, algunos en un mismo día, lo que ha generado carga administrativa y dificultad de gestión. - Subraya que el reclamante formula sus peticiones invocando simultáneamente la Ley de Transparencia y la normativa de Protección de Datos, lo que genera confusión procedimental, dado que son regímenes jurídicos distintos con órganos de control diferentes (AEPD y Consejo de Transparencia y Buen Gobierno). Asimismo, indica que el reclamante tiene acceso directo a gran parte de la información solicitada a través de la intranet corporativa (Oficina Virtual del Personal), donde puede consultar sus datos personales sobre control horario, vacaciones, permisos, nóminas, etc. - Se resumen las cinco reclamaciones presentadas: C/ Jorge Juan, 6 28001 – Madrid o Primera reclamación (vehículos oficiales): Solicitó datos sobre vehículos oficiales usados entre 2000 y 2025. La AEAT contestó por la vía de Transparencia, inadmitiendo la solicitud al considerar que el reclamante puede acceder a la información a través de la intranet. (Anexo 1). o Segunda reclamación (accesos remotos a sistemas): Solicitó información sobre accesos a los sistemas de la AEAT en horarios inusuales. La AEAT contestó por la vía de Protección de Datos y facilitó la información mediante expediente electrónico, considerando así atendido el derecho conforme al art. 13.2 LOPDGDD. Añade que los ficheros electrónicos iban firmados con índice electrónico y huellas hash, garantizando la integridad y autenticidad conforme a la Norma Técnica de Interoperabilidad y la Ley 11/2007. (Anexo 2). o Tercera reclamación (vacaciones y permisos): Solicitó sus registros desde el año 2000. Se respondió por la vía de Transparencia, www.aepd.es sedeaepd.gob.es 5/27 inadmitiendo la solicitud e indicando que puede acceder a esos datos en la intranet corporativa. (Anexo 3). o Cuarta reclamación (uso del teléfono corporativo y SMS): Solicitó información sobre llamadas y mensajes (incluidas alertas de contenedores) del número ***TELÉFONO.1 desde el año 2000. Se tramitó como solicitud de Protección de Datos, aplicando prórroga por acumulación de solicitudes. Reconoce un error material al no incluir todos los registros en la prórroga. (Anexo 4). o Quinta reclamación (horas extras): Solicitó información sobre horas extras cobradas por él y otros funcionarios. Se inadmitió por la vía de Transparencia, al requerir reelaboración y al no ser accesible la información de terceros según RGPD. (Anexo 5). - Recepción de las solicitudes: Todas las solicitudes se recibieron y fueron tramitadas según la normativa correspondiente. Se adjuntan las cinco contestaciones hechas (Anexos 1 a 5). - Por último, recuerda que la AEAT es infraestructura crítica conforme a la Ley 8/2011, por lo que debe proteger información sensible sobre sistemas y aplicaciones internas. Afirma que cumple la normativa vigente en materia de seguridad de la información, el Esquema Nacional de Seguridad, el Reglamento eIDAS, y su Política de Seguridad. Junto al escrito de contestación, se presenta la siguiente documentación: - Anexo 1. La Unidad Gestora del Derecho de Acceso de la AEAT dictó resolución, acumulando por conexión los expedientes ***REFERENCIA.1 y ***REFERENCIA.2, derivados de las solicitudes registradas los días 24 de marzo de 2025 (***REFERENCIA.3) y 12 de abril de 2025 (***REFERENCIA.4). En ambas, el reclamante solicitaba acceso a los partes de utilización de vehículos oficiales en los que había intervenido, correspondientes a los años 2000 a 2002 y 2003 hasta el 11 de febrero de 2025. La AEAT acordó la inadmisión de las solicitudes al considerar que no constituyen una petición de acceso a información pública conforme al artículo 13 de la Ley 19/2013, de Transparencia, Acceso a la Información Pública y Buen Gobierno (LTAIBG), sino una consulta de carácter particular que requeriría la elaboración de un nuevo documento. En consecuencia, aplicó la causa de inadmisión prevista en el artículo 18.1.
4. e)LTAIBG (carácter abusivo o no justificado con la finalidad de transparencia) y ofreció al interesado los recursos procedentes. - Anexo 2. Mediante resolución de la Jefatura de la Dependencia Regional de Informática (DRI) de Barcelona, Delegación Especial de Cataluña, se estimó el ejercicio del derecho de acceso a datos personales presentado por el reclamante con fecha 25 de marzo de 2025 (***REFERENCIA.5), en virtud de los artículos 15 y siguientes del RGPD y la LOPDGDD. La AEAT informó al reclamante de que, debido al volumen de la información solicitada, se había creado un expediente electrónico disponible en la Sede Electrónica de la AEAT, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/27 con dos notificaciones: una primera comunicando la estimación de la solicitud y otra informando de la puesta de manifiesto del expediente electrónico. Dicho expediente, accesible durante un mes mediante Código Seguro de Verificación (CSV), contenía la grabación solicitada. - Anexos 3 y 4. Con fechas 30 de junio de 2025 (Dirección General de la AEAT) y 23 de junio de 2025 (DRI Barcelona), se dictaron resoluciones en el expediente ***REFERENCIA.6, tramitado en el Portal de Transparencia a raíz de la solicitud presentada por el reclamante el 13 de abril de 2025 (***REFERENCIA.7). El interesado pedía información relativa a sus vacaciones, licencias, permisos y bajas desde el año 2000 hasta la actualidad. La AEAT resolvió inadmitir la solicitud, al no considerarla comprendida en el concepto de “información pública” del artículo 13 LTAIBG, ya que se refiere a datos personales del propio solicitante y no a información generada por la Administración en el ejercicio de sus funciones. La inadmisión se fundamenta en el artículo 18.1.
5. e)LTAIBG, por tratarse de una consulta particular carente de finalidad de transparencia, conforme al criterio interpretativo CI/003/2016 del Consejo de Transparencia y Buen Gobierno. Se informó además de que dicha información se encuentra disponible para el empleado a través de la Oficina Virtual de Personal mediante la herramienta MIRAte, que permite consultar nóminas, horarios, permisos y vacaciones. La resolución incluye los recursos procedentes. - Anexo 5. Con fecha 9 de junio de 2025, la AEAT dictó resolución en el expediente ***REFERENCIA.8, correspondiente a la solicitud registrada el 13 de abril de 2025 (***REFERENCIA.9), en la que el reclamante pedía información detallada sobre las horas extraordinarias realizadas y abonadas a funcionarios del Servicio de Vigilancia Aduanera (SVA) desde el año 2000 hasta febrero de 2025. La AEAT resolvió inadmitir la solicitud, al considerar que los datos requeridos no pueden proporcionarse sin una reelaboración compleja de información descentralizada procedente de las distintas Delegaciones y unidades de nóminas, lo que excede el derecho de acceso a información pública. La decisión se fundamenta en el artículo 18.1.
6. c)LTAIBG, que permite rechazar solicitudes cuya atención implique una acción previa de reelaboración. La resolución cita la Resolución CI/007/2015 del Consejo de Transparencia y Buen Gobierno, así como diversas sentencias judiciales (JCA nº 2 de León, AN de 24/01/2017 y TSJ de Galicia de 14/02/2020), que precisan que el derecho de acceso no faculta a los ciudadanos a exigir la elaboración de informes a medida. Finalmente, se hace constar que parte de la información solicitada ha sido destruida conforme al Real Decreto 1708/2011 y a la Resolución AEAT de 18 de febrero de 2020, que establece un plazo de conservación de seis años para la documentación de nóminas. - Anexo 6. Con fecha 6 de junio de 2025, la Jefatura de la Dependencia Regional de Informática (DRI) de la AEAT dictó resolución en un procedimiento de ejercicio de derechos en materia de protección de datos personales, iniciado tras dos solicitudes presentadas el 6 de abril de 2025 (***REFERENCIA.10 y ***REFERENCIA.11). El reclamante solicitaba ejercer sus derechos de acceso, rectificación, supresión reconocidos en el RGPD. La AEAT comprobó que la petición hacía referencia a una carpeta de almacenamiento de archivos en red C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/27 compartida, utilizada en el entorno laboral, y no a un espacio personal. Conforme a la Norma de Uso de los Recursos y Sistemas de Información y al Código Ético de la AEAT, estos espacios son propiedad de la Administración y solo pueden emplearse para fines laborales, siendo objeto de copias de seguridad gestionadas por la AEAT. Se concluye que la carpeta no constituye un espacio personal del solicitante, sino un recurso institucional, por lo que la solicitud no se ampara en el derecho de acceso a datos personales. En consecuencia, la petición se desestima, informándose al interesado de su derecho a presentar reclamación ante el DPD de la AEAT o a la AEPD. - Anexo 7. Con fecha 27 de junio de 2025, la Jefatura de la Dependencia Regional de Informática (DRI) de Cataluña resolvió una nueva solicitud de ejercicio de derechos en materia de protección de datos personales, registrada el 20 de junio de 2025 (***REFERENCIA.12). En dicha solicitud, el interesado pedía la devolución de objetos y documentos personales que habían quedado en un vehículo de servicio, así como información sobre quién accedió al mismo sin su consentimiento. La AEAT determinó que la solicitud no se corresponde con ninguno de los derechos reconocidos en el RGPD, ya que no se refiere al tratamiento de datos personales, sino a una cuestión material o patrimonial. Asimismo, se recuerda al interesado que el procedimiento FZ08 está destinado exclusivamente al ejercicio de derechos en materia de protección de datos, no a reclamaciones de otro tipo. Por todo ello, la AEAT desestima la solicitud, informando de la posibilidad de presentar reclamación ante el Delegado de Protección de Datos o la AEPD. SÉPTIMO: En fecha 13 de agosto de 2025, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. OCTAVO: Con fecha 6 de septiembre de 2025 se recibe en esta AEPD escrito del reclamante en el que manifiesta, el incumplimiento del plazo y de la prórroga comunicada por la AEAT, así como la irregularidad formal del acuerdo de ampliación del plazo, adoptado por un órgano que —a su juicio— carecía de competencia, argumentándolo en los siguientes puntos: - El 01/07/2025 el reclamante recibió una notificación del Jefe de la Dependencia Regional de Informática de Cataluña, fechada el 23 de junio de 2025, en la que se le comunicaba la prórroga del plazo de respuesta por dos meses, invocando el artículo 12.3 del RGPD. El reclamante sostiene que dicha prórroga se dictó fuera de plazo y por autoridad no competente, y que no se ha dado respuesta alguna transcurrido el nuevo plazo ampliado. - Alega que el Jefe de la Dependencia Regional de Informática no puede acordar la prórroga de un procedimiento iniciado ante la Dirección General de la AEAT, y que, conforme al artículo 12.3 del RGPD, la comunicación de prórroga solo puede efectuarla el responsable del tratamiento. - Indica que, conforme al artículo 12.3 RGPD, la prórroga debe notificarse antes de que transcurra un mes desde la recepción de la solicitud. Sin embargo, la AEAT lo hizo más de mes y medio después, vulnerando el plazo reglamentario. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/27 - Argumenta que la justificación de la prórroga por “complejidad” no se ajusta a la realidad, dado que su solicitud era sencilla y la información estaba ya disponible en los sistemas de la AEAT. Reitera lo expresado en su reclamación inicial: que la Administración dispone de los datos solicitados y su obtención es “sencillísima y más rápida que la lectura del propio escrito”. - Señala que, incluso habiendo concedido la AEAT una prórroga de dos meses, tampoco se ha emitido respuesta una vez vencido dicho plazo, lo que constituye una omisión contraria al RGPD. Adjunta como documentación complementaria: - Fechado el 23/06/2025, comunicación de la AEAT al reclamante, en el marco de un procedimiento de ejercicio de derechos en materia de protección de datos personales, conforme al RGPD donde manifiesta que con fecha 13/04/2025, la AEAT recibió una solicitud del interesado, registrada con número ***REFERENCIA.13, mediante la cual éste ejerce alguno de los derechos previstos en los artículos 15 a 22 del RGPD y que en aplicación del artículo 12.3 del RGPD, la AEAT comunica que, debido a la complejidad de la solicitud, no puede responder en el plazo ordinario de un mes y, por tanto, acuerda una prórroga de dos meses adicionales para emitir respuesta. NOVENO: En fecha 24 de septiembre de 2025, El Consejo de Transparencia y Buen Gobierno presenta ante esta Agencia la siguiente documentación: Con número de registro de entrada ***REFERENCIA.14: - Escrito presentado ante el Consejo de Transparencia y Buen Gobierno (CTBG), al amparo del artículo 24 de la Ley 19/2013, impugnando la resolución de la Agencia Estatal de Administración Tributaria (AEAT) sobre su solicitud de acceso a información pública relativa a accesos informáticos en movilidad desde 2020 y donde el reclamante sostiene que la AEAT declaró estimada su solicitud, pero sin proporcionar la información en la forma exigida (documentos firmados, con CSV, hash, etc.) y solicita que el CTBG le reconozca su derecho de acceso pleno a las tres peticiones que formuló. - Resolución emitida por la AEAT (Delegación Especial Cataluña), en el marco del procedimiento de ejercicio de derechos RGPD. La AEAT estima la solicitud del interesado y pone a su disposición un expediente electrónico mediante acceso en sede electrónica. Informa sobre cómo acceder a la documentación y los medios de tutela ante desacuerdo. Incluye también una notificación complementaria relacionada con la puesta de manifiesto del expediente, con CSV para acceder a grabaciones e información adicional. - Justificante de registro electrónico (***REFERENCIA.5) de la AEAT, por el que consta la presentación del ejercicio de derechos RGPD por parte de A.A.A. el 25/03/2025. Incluye datos del trámite, asunto (accesos en movilidad), así como la relación de archivos anexados, su huella digital y CSV. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/27 - Certificación emitida por DEHÚ acreditando que A.A.A. accedió a una notificación de la AEAT relacionada con una notificación administrativa (identificador concreto). Incluye datos de la puesta a disposición (22/05/2025) y de acceso (23/05/2025), con CSV para cotejo. Con número de registro de entrada ***REFERENCIA.15: - Formulario oficial firmado electrónicamente ante el CTBG, mediante el cual el reclamante interpone una reclamación frente a la AEAT. Señala que presentó 3 solicitudes de acceso a información pública, pero solo obtuvo respuesta parcial y en modalidad distinta a la solicitada, sin garantías de seguridad jurídica. - Documento de registro de salida del CTBG (24/09/2025), indicando que se remite el envío 3 y último relativo al expediente 1097/2025 a la AEPD. Con número de registro de entrada ***REFERENCIA.16: - Resolución del Consejo de Transparencia y Buen Gobierno (CTBG) sobre la reclamación presentada al amparo del artículo 24 de la Ley 19/2013 (transparencia) por el reclamante frente a la AEAT, y en el que, el reclamante solicitó información relativa a conexiones remotas y alertas (tres solicitudes). La AEAT estimó parcialmente la solicitud y puso a disposición del reclamante un expediente electrónico. El CTBG concluye que la solicitud versa sobre datos personales propios (conexiones, accesos, alertas), y por tanto corresponde a la AEPD su resolución y por ello, traslada la reclamación a la AEPD, entendiendo que el acceso solicitado constituye ejercicio del derecho de acceso del art. 15 RGPD. Con número de registro de entrada ***REFERENCIA.17: - Resolución del Consejo de Transparencia y Buen Gobierno (CTBG) relativa al expediente 1097/2025, promovido por el reclamante y donde éste había solicitado a la AEAT información sobre: Conexiones remotas a aplicaciones de la AEAT, Alertas en horarios de riesgo, y Número total de alertas. Por su parte, la AEAT contestó estimando parcialmente la solicitud, y puso la información a disposición en un expediente electrónico. El reclamante recurrió ante el CTBG señalando que: La información no fue entregada en la forma solicitada (copia auténtica CSV y hash) y no se respondió a la tercera solicitud. El CTBG declara que la información solicitada implica datos personales propios y que el cauce competente no es transparencia, sino el ejercicio del derecho de acceso del art. 15 RGPD y por tanto, remite la reclamación a la AEPD al carecer de competencia. - ANEXO_4, Conexiones_remotas_en_horarios_inusuales_y_alertas_enviadas.xlsx (archivo contiene datos en formato Excel relativos a conexiones remotas en horarios inusuales a sistemas de la AEAT y mensajes de alerta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/27 - ANEXO_5, Sesiones_de_acceso_remoto.xlsx. Este archivo contiene datos en Excel relativos a sesiones de acceso remoto realizadas por el reclamante fuera de instalaciones de la AEAT, con detalle de fecha, hora de inicio y finalización. DÉCIMO: En fecha 28 de septiembre de 2025, el reclamante presenta escrito ante esta AEPD en el que formula alegaciones adicionales en relación con la reclamación/denuncia presentada ante la AEPD el 25/05/2025 dirigida contra la AEAT y contra el funcionario responsable de no haber facilitado el acceso a la información relativa a los datos personales del interesado a través del medio formalmente solicitado en escrito de 25/03/2025. El reclamante sostiene que la AEAT no ha proporcionado acceso a los datos personales vinculados a sus accesos en movilidad por el medio y formato adecuados, pese a haberlo solicitado expresamente. Afirma que dicha información fue requerida, por economía procedimental, en un único escrito formulado al amparo tanto de la normativa en materia de protección de datos como de la legislación de transparencia. Hace constar que el Consejo de Transparencia y Buen Gobierno (CTBG) dictó resolución de 23/09/2025, notificada el 28/09/2025, en cuyo seno acordó remitir el expediente 1097/2025 a la AEPD. Según indica, el CTBG concluyó que la información solicitada constituye datos personales propios del interesado y, en consecuencia, su conocimiento se enmarca en el ejercicio del derecho de acceso reconocido en el artículo 15 RGPD, siendo por ello incompetente para resolver y debiendo conocer del asunto esta Agencia. No obstante, el reclamante declara no compartir plenamente este criterio, al considerar que la información relativa a sus datos personales constituye únicamente una parte de la información global a la que entiende tener derecho, invocando además que su tercera solicitud de información —relativa a datos de carácter general— no fue analizada en el fondo por el CTBG. A la vista de lo anterior, el reclamante entiende que la conclusión del CTBG debe actuar en beneficio de la admisibilidad de la reclamación ya presentada ante la AEPD. Alega, asimismo, que ha transcurrido en exceso el plazo de tres meses previsto en el artículo 65.5 de la LO 3/2018 (LOPDGDD) sin que se le haya notificado resolución expresa sobre la admisión a trámite, por lo que sostiene que ésta debe considerarse producida por silencio. El reclamante manifiesta que la AEAT ha reconocido implícitamente el tratamiento de sus datos personales al haberle entregado parte de la información solicitada, si bien de forma que considera indebida. En consecuencia, afirma que le asiste el derecho de acceso reconocido por el artículo 15 del RGPD, así como el derecho a que la información le sea facilitada en el formato y con el nivel de detalle solicitados, invocando para ello el artículo 28.1 del RD 1720/2007, el documento de la AEPD “20 años de Protección de Datos” y la Guía de la AEPD sobre el deber de informar. DÉCIMO PRIMERO: En fecha 9 de octubre de 2025, el reclamante presenta ante esta AEPD nuevo escrito en el que explica que en su escrito original incluyó por error un párrafo en el que pedía acceso a la información relativa a las horas extraordinarias que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/27 había realizado. Explica que dicho contenido no guarda relación con la reclamación presentada, por lo que solicita expresamente su supresión y sustitución. En su lugar, la redacción correcta debe referirse a la petición de acceso a los datos vinculados al número de teléfono ***TELÉFONO.1, solicitando que la AEAT filtre la información existente en sus sistemas por dicho número y por períodos temporales concretos, dado que esos datos son los que afectan directamente a su persona. Junto con el escrito se adjunta un documento que, según el reclamante, tiene como finalidad respaldar las alegaciones ya formuladas, relativas a un presunto patrón de negativa sistemática de la AEAT a atender solicitudes de acceso a información pública y de protección de datos. DÉCIMO SEGUNDO: En fecha 17 de octubre de 2025 se concedió a la parte reclamada trámite de audiencia, para que en el plazo de quince días hábiles presentase las alegaciones que estimara convenientes. DÉCIMO TERCERO: En fecha 22 de octubre de 2025, el Consejo de Transparencia y Buen Gobierno (con número de registro de entrada ***REFERENCIA.18) presenta la siguiente documentación: - Formulario oficial presentado ante el Consejo de Transparencia y Buen Gobierno (CTBG), suscrito por el reclamante, mediante el cual interpone reclamación del art. 24 de la Ley 19/2013 contra la AEAT por ausencia de respuesta a una solicitud de acceso a información pública y donde manifiesta no haber recibido contestación a dicha solicitud. - Justificante de registro electrónico (***REFERENCIA.9) correspondiente a la presentación realizada ante la AEAT el 13/04/2025, relativa al procedimiento FZ08 – Tratamiento de datos personales (RGPD), con asunto “HORAS EXTRAS”. Incluye detalle del archivo aportado “HORAS EXTRAS.pdf”. - Justificante de registro de entrada del CTBG, acreditando la presentación de una reclamación frente a la AEAT por el reclamante y que consta la autenticación del interesado mediante Cl@ve y se relacionan los documentos aportados: Reclamación contra la AEAT (original); ANEXO 1 – SOLICITUD (copia simple) y ANEXO 2 – Justificante REGISTRO (copia simple). DÉCIMO CUARTO: En fecha 24 de octubre de 2025, el reclamante presenta ante esta AEPD la siguiente documentación: Con número de registro de entrada ***REFERENCIA.19: - Escrito presentado ante el Consejo de Transparencia y Buen Gobierno (CTBG) por el reclamante el 12/06/2025, mediante el cual formula reclamación al amparo del art. 24 de la Ley 19/2013 frente a la AEAT por falta de respuesta a una solicitud de acceso a información pública (registro AEAT ***REFERENCIA.9). El reclamante manifiesta la ausencia de resolución en plazo y expone que dicha falta constituye una vulneración grave, acompañando un extenso razonamiento jurídico sobre la obligación de resolver, los efectos del silencio, y posibles responsabilidades disciplinarias o penales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/27 - Resolución del CTBG dictada en el expediente 1220/2025, por la que se examina la reclamación relacionada con la solicitud de acceso a información pública presentada ante la AEAT relativa al número de horas extraordinarias, por años, de determinados cuerpos del SVA y del propio interesado. Constatada la falta de respuesta, se analiza la inadmisión posterior por parte de la AEAT (art. 18.1.
7. c)LTAIBG) y se concluye: Parte de la información solicitada constituye datos personales propios, correspondiendo su tutela a la AEPD (art. 15 RGPD). En consecuencia, se traslada la reclamación a la AEPD respecto a dichos datos. En lo relativo a información pública general, se examinan límites y cuestiones de reelaboración. - Comunicación oficial del CTBG (22/10/2025) mediante la cual se notifica resolución recaída sobre la reclamación presentada por el interesado y se traslada la reclamación y la documentación a la AEPD, por considerarse que la cuestión es de su competencia (derechos vinculados a datos personales). Con número de registro de entrada ***REFERENCIA.20: - Formulario presentado ante el Consejo de Transparencia y Buen Gobierno (CTBG) mediante el que el reclamante una reclamación del artículo 24 de la Ley 19/2013 contra la AEAT por no haber recibido respuesta a su solicitud de acceso a información pública y donde se identifica como documentación aportada: Reclamación contra la AEAT (“Vacaciones”). - ANEXO_2-Justificante_de_REGISTRO. Justificante de registro electrónico de la AEAT (***REFERENCIA.7 – 13/04/2025) correspondiente a una solicitud presentada bajo el procedimiento FZ08 – Tratamiento de datos personales (RGPD), con asunto: Información sobre vacaciones y permisos. Incluye identificación del interesado, fecha, vía de entrada y detalle del documento presentado (“Información vacaciones y permisos.pdf”), huella digital y CSV. DÉCIMO QUINTO: En fecha 27 de octubre de 2025, el reclamante presenta ante esta AEPD (registro ***REFERENCIA.21) la siguiente documentación: - Escrito presentado por el reclamante ante la AEAT el 13/04/2025, mediante el cual formula ejercicio del derecho de acceso tanto al amparo de la Ley 19/2013 (transparencia) como del RGPD/LOPDGDD, solicitando información detallada sobre vacaciones, días por asuntos propios, licencias, bajas y permisos disfrutados desde el año 2000 hasta la fecha. Solicita su entrega: En papel y en PDF firmado y sellado, con CSV, Con tabla fecha–motivo, Acompañada de archivo Excel con hash SHA-1. - Reclamación presentada por el reclamante ante el CTBG (07/06/2025) contra la AEAT por ausencia de resolución a la solicitud del 13/04/2025 sobre información relativa a vacaciones y permisos. Argumenta que: La información existe en las aplicaciones internas (***APP.1), es fácilmente accesible y exportable. La negativa o falta de respuesta busca obstaculizar su derecho de defensa. Debe reconocerse su derecho a la información solicitada en virtud de la Ley 19/2013 y el silencio administrativo (art. 20 LTAIBG). Solicita que el CTBG declare su derecho a acceder a la información. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/27 - Resolución del Consejo de Transparencia y Buen Gobierno (CTBG) dictada en el expediente 1200/2025, relativo a la solicitud anterior. Se constata la falta de respuesta de la AEAT en plazo. Posteriormente, la AEAT inadmite la solicitud por no constituir información pública (art. 13 LTAIBG) y considerarla abusiva (art. 18.1.e LTAIBG). El CTBG concluye que lo solicitado constituye datos personales propios del interesado. En consecuencia, considera que la cuestión corresponde al ejercicio del derecho de acceso del art. 15 RGPD, de competencia de la AEPD. Por ello, remite la reclamación a la AEPD al carecer de competencia para pronunciarse sobre el fondo. - Oficio del CTBG, fechado el 24/10/2025, dirigido a la AEPD, mediante el cual se comunica que el CTBG ha dictado resolución en el expediente 1200/2025. Se da traslado de la reclamación y la documentación a la AEPD, por corresponder la materia a su competencia (datos personales). DÉCIMO SEXTO: En fecha 31 de octubre de 2025, la parte reclamada presenta escrito de alegaciones ante esta Agencia en el que manifiesta: - Expone que el reclamante ha venido formulando, desde febrero de 2025, diversas solicitudes relativas al acceso a datos personales y a información en materia de transparencia, señalando que dichos requerimientos se vinculaban, en gran parte, a su puesto de trabajo y a correos electrónicos internos sobre la organización. - Indica que la presente reclamación trae causa de solicitudes cursadas entre el 24/03/2025 y el 06/07/2025, reiterando que determinados correos ya fueron contestados anteriormente, el 13/04/2025. - Sostiene que el reclamante ha presentado solicitudes sustancialmente idénticas apoyadas en normativa de protección de datos y transparencia, lo que, a su juicio, complica innecesariamente su análisis y gestión. - Afirma que el responsable del tratamiento puede negar la solicitud cuando resulte manifiestamente infundada o excesiva, especialmente por su carácter repetitivo, o exigir una compensación económica. De igual modo, alega que el reclamante habría tenido acceso directo a la información solicitada, por lo que, a su entender, no resultaba exigible una nueva actuación administrativa destinada a suministrar la documentación en los términos requeridos. - Sobre la exigencia de un formato específico, manifiesta que las solicitudes de acceso formuladas por el interesado reclaman la entrega de la información bajo formatos, criterios y soportes concretos, cuya exigencia no se encuentra amparada en norma jurídica alguna. A este respecto, se afirma que la normativa de protección de datos no exige que la información sea suministrada en los formatos específicos reclamados, siempre que se facilite de forma adecuada y suficiente para hacer efectivo el derecho de acceso. Con carácter argumental, se acoge al Considerando 63 del RGPD, según el cual el ejercicio del derecho de acceso se entiende debidamente cumplido si el responsable C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/27 facilita la información mediante un sistema remoto, directo y seguro, especialmente tratándose de datos personales. - Sobre la contestación a las solicitudes, afirma haber dado respuesta a las solicitudes del reclamante, tanto bajo normativa de protección de datos como de transparencia. Señala haber remitido las contestaciones materiales correspondientes a: Primera reclamación (ANEXO 1); Tercera reclamación (ANEXO 2); Quinta reclamación (ANEXO 3). Asimismo, indica que la respuesta relativa a la Cuarta reclamación ha sido incorporada posteriormente como ANEXO 4, al encontrarse inicialmente el plazo prorrogado. Junto al escrito de alegaciones, se presenta la siguiente documentación. - ANEXO 1. Respuesta relativa a solicitudes presentadas por el reclamante los días 24/03/2025 y 12/04/2025 (n.º registro ***REFERENCIA.3 y ***REFERENCIA.4) para ejercer el derecho de acceso tanto bajo normativa de transparencia como bajo normativa de protección de datos. La solicitud fue contestada conforme a la Ley de Transparencia el 08/05/2025. La información solicitada puede ser consultada directamente por el interesado a través de la intranet corporativa, en concreto: Inicio → Aplicaciones Específicas → Aduanas e Impuestos Especiales → Vigilancia Aduanera → GEMMA – Gestión de Medios Materiales → Programa Terrestre → “Disponibilidad vehículos hoy (Alta de Partes)”. Se destaca que el interesado dispone de acceso autorizado desde 2001. Se estima la solicitud en los términos indicados. En esencia, se instruye al reclamante sobre cómo acceder por sí mismo, vía intranet, a la información sobre partes de vehículos oficiales. - ANEXO 2. Respuesta a solicitud presentada el 13/04/2025 (registro ***REFERENCIA.7) para ejercer el derecho de acceso tanto por transparencia como por RGPD. La solicitud fue contestada conforme a la Ley de Transparencia el 30/06/2025. El interesado puede acceder a la información solicitada a través de la intranet corporativa, específicamente: Inicio → Información al personal → Oficina Virtual del Personal. Se cita el Considerando 63 RGPD y el art. 13.2 LOPDGDD para justificar que el acceso remoto directo y seguro a los datos personales satisface el derecho de acceso. En esencia, se facilita acceso a vacaciones y permisos a través de la Oficina Virtual. - ANEXO 3. Respuesta a la solicitud presentada el 13/04/2025 (registro ***REFERENCIA.9) para acceso solicitado bajo transparencia y RGPD. La solicitud fue contestada por transparencia el 09/06/2025. Parte de la información solicitada no se refiere exclusivamente al interesado, por lo que no procede facilitar la relativa a terceros. Se insiste en que el interesado tiene acceso a su propia información mediante intranet. Se recuerda que solo el interesado o sus representantes pueden ejercer derechos art. 15–22 RGPD (art. 12.1 LOPDGDD). Se indica que la información sobre horas extras puede consultarse en su nómina desde: Inicio → Información al personal → Oficina Virtual del Personal. En esencia, se facilita vía intranet únicamente la información personal sobre horas extraordinarias. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/27 - ANEXO 4. Respuesta a solicitud presentada el 13/04/2025 (registro ***REFERENCIA.22) para acceso bajo transparencia y RGPD. Fue remitida posteriormente por haberse prorrogado el plazo. La solicitud fue contestada por transparencia el 08/05/2025. El 23/06/2025 se envió prórroga para la respuesta bajo RGPD. Se proporciona listado de SMS enviados por la AEAT al teléfono del reclamante desde 2018, incluyendo fecha y hora de cada comunicación. También se aportan datos sobre notificaciones relativas a contenedores entre 2022 y 2023. En esencia, se entregan los registros de SMS enviados al interesado por la AEAT desde 2018 y eventos asociados a contenedores. DÉCIMO SÉPTIMO: En fecha 11 de noviembre de 2025, el reclamante presenta ante esta AEPD (registro ***REFERENCIA.23) la siguiente documentación: - Resolución de la AEAT, Delegación Especial de Cataluña, de fecha 31 de octubre de 2025, por el Administrador de Seguridad Regional de la Delegación Especial de la Agencia Estatal de Administración Tributaria en Cataluña, en respuesta a dos solicitudes de acceso formuladas por el interesado los días 24 de marzo y 12 de abril de 2025, relativas al acceso a información al amparo de la normativa de transparencia y de protección de datos personales. En la resolución se hace constar que dichas solicitudes fueron contestadas conforme a la Ley de Transparencia el 8 de mayo de 2025 y que la información solicitada se encuentra disponible para el interesado a través de aplicaciones de la intranet corporativa de la AEAT. Invocando el Considerando 63 del RGPD y el artículo 13.2 de la Ley Orgánica 3/2018, se señala que el derecho de acceso se entiende atendido cuando se facilita un sistema de acceso remoto, directo y seguro a los datos personales, indicándose una ruta concreta de la intranet para la consulta de los partes de vehículos oficiales. La resolución afirma que el interesado dispone de autorizaciones de acceso desde julio de 2001 y concluye estimando la solicitud, informando de los recursos administrativos y acciones judiciales procedentes - Escrito de alegaciones adicionales presentado ante la AEPD, de fecha 11 de noviembre de 2025, en el marco del expediente 202509766, con ocasión de la resolución dictada por la AEAT el 31 de octubre de 2025. En dicho escrito el interesado sostiene la nulidad de pleno derecho de la resolución por haber sido dictada, a su juicio, por un órgano manifiestamente incompetente, al no ser el responsable del tratamiento ni existir delegación de competencias, invocando los artículos 8 de la Ley 40/2015 y 47 de la Ley 39/2015, así como la vulneración de derechos reconocidos en la Constitución y en la normativa de protección de datos. Asimismo, manifiesta que, pese a declararse estimadas sus solicitudes, no se le proporciona la información en el formato solicitado ni se le garantiza un acceso real, directo y completo a la totalidad de los datos, considerando que la indicación de una ruta de acceso en la intranet no satisface materialmente el derecho de acceso. El interesado expone que carece de los permisos informáticos necesarios para acceder a la aplicación y que dicha circunstancia era conocida por el firmante de la resolución. DÉCIMO OCTAVO: En fecha 12 de noviembre de 2025, el reclamante presenta ante esta AEPD (registro ***REFERENCIA.24) la siguiente documentación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/27 - Escrito de alegaciones adicionales presentado ante la AEPD, de fecha 12 de noviembre de 2025, en relación con la reclamación formulada el 12 de junio de 2025 contra la AEAT por la falta de acceso a datos personales relativos a horas extraordinarias. El interesado impugna la resolución dictada el 31 de octubre de 2025 por el Administrador de Seguridad Regional de Cataluña, alegando su nulidad de pleno derecho por incompetencia del órgano firmante y vulneración de la normativa de protección de datos y de derechos fundamentales. Asimismo, sostiene que la resolución, pese a declarar estimada la solicitud, no le proporciona un acceso real, directo y completo a la información solicitada, al limitarse a señalar una vía de consulta en la intranet que considera ineficaz. - Resolución de la AEAT, Delegación Especial de Cataluña, de fecha 31 de octubre de 2025 por el Administrador de Seguridad Regional de la Delegación Especial de la Agencia Estatal de Administración Tributaria en Cataluña, relativa a la solicitud de acceso presentada por el interesado el 13 de abril de 2025 sobre información referente a horas extraordinarias. En la resolución se indica que la solicitud fue atendida conforme a la normativa de transparencia y que la información relativa a los datos personales del interesado puede ser consultada por este a través de las aplicaciones disponibles en la intranet corporativa, concretamente mediante la Oficina Virtual del Personal. Invocando la normativa de protección de datos, la resolución concluye estimando la solicitud e informa al interesado de las vías de reclamación. DÉCIMO NOVENO: En fecha 24 de noviembre de 2025, el reclamante presenta ante esta AEPD (registro ***REFERENCIA.25) la siguiente documentación: - Escrito de alegaciones adicionales ante la AEPD, de fecha 22 de noviembre de 2025, en relación con la reclamación formulada el 12 de junio de 2025 contra la Agencia Estatal de Administración Tributaria por falta de acceso a datos personales relativos a horas extraordinarias. El interesado manifiesta su disconformidad con la resolución dictada por la AEAT el 31 de octubre de 2025, alegando su nulidad de pleno derecho por incompetencia del órgano firmante y por no garantizar un acceso directo, permanente, sencillo ni completo a la información solicitada, al limitarse a indicar una ruta genérica en la intranet corporativa. Solicita que la AEPD no considere cumplida la obligación de la AEAT, entre en el fondo del asunto y tutele su derecho de acceso - Resolución de la AEAT, Delegación Especial de Cataluña, de fecha 31 de octubre de 2025 por el Administrador de Seguridad Regional de la Delegación Especial de la Agencia Estatal de Administración Tributaria en Cataluña, relativa a la solicitud de acceso presentada por el interesado el 13 de abril de 2025 sobre información referente a horas extraordinarias. En la resolución se indica que la solicitud fue atendida conforme a la normativa de transparencia y que la información relativa a los datos personales del interesado puede ser consultada a través de la Oficina Virtual del Personal en la intranet de la AEAT. La resolución concluye estimando la solicitud e informa de las vías de reclamación administrativa y judicial disponibles C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/27 VIGÉSIMO: En fecha 24 de noviembre de 2025, el reclamante presenta ante esta AEPD (registro ***REFERENCIA.26) la siguiente documentación: - Escrito presentado por el reclamante, en relación con la reclamación formulada el 12 de junio de 2025, mediante el cual comunica que en la misma fecha ha presentado alegaciones adicionales que resultan en parte reiterativas de otras alegaciones ya formuladas con anterioridad. Manifiesta que la duplicidad se produjo por error, solicita disculpas por ello y aclara que los distintos escritos no son copias literales, sino complementarios, destacando además que el último escrito incorpora una consulta adicional. Solicita que dicho escrito no sea retirado y continúe su tramitación en atención a su contenido. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, (en adelante, RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, siguiendo el trámite previsto en el artículo 65.4 de la LOPDGDD, con carácter previo a la admisión a trámite de la reclamación de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, que da lugar al presente procedimiento, se dio traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/27 El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 13 de agosto de 2025, a los efectos previstos en su artículo 64.1 y 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. Dicha admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la AEPD una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del RGPD. III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y ss. del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/27 IV Derecho de acceso Conforme a lo establecido en el artículo 15 del RGPD y artículo 13 de la LOPDGDD, "el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales". Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los "datos o actividades de tratamiento a los que se refiere la solicitud". El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo 15 del RGPD). El ejercicio de este derecho se podrá considerar repetitivo si se ejerce en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos personales de que se trate, los destinatarios o categorías de destinatarios a los que podrán comunicarse los datos, el plazo previsto o criterios de conservación, la posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la autoridad de control, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular), la existencia de decisiones automatizadas, incluida la elaboración de perfiles, e información sobre transferencias de datos personales a un tercer país o a una organización internacional. La posibilidad de obtener copia de los datos personales objeto de tratamiento no afectará negativamente a los derechos y libertades de otros. V Conclusión Primero.- Sobre las solicitudes de acceso a los datos personales. El presente asunto trae causa de diversas solicitudes de acceso a datos formuladas por el reclamante frente a la AEAT durante la primavera de 2025, articulándose esencialmente en dos ejes materiales diferenciados. En primer lugar, el interesado dirigió, el 25 de marzo de 2025, una solicitud de acceso vinculada a los datos generados en el marco de su trabajo en movilidad, concretamente relativos a registros de accesos remotos, sesiones informáticas y alertas de seguridad. Disconforme con la respuesta recibida, denunció que la AEAT habría incurrido en una estimación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/27 meramente aparente, al facilitar un expediente electrónico temporal en sede electrónica, en lugar de entregar los datos en los formatos solicitados (papel, PDF firmado con CSV, hash y ficheros Excel asociados). Esta pretensión centrada en el formato de entrega fue reiterada en sucesivos escritos de 25 de mayo de 2025, 28 de septiembre de 2025 —mediante alegaciones adicionales—, así como el 9 de octubre de 2025, donde el reclamante reformuló su solicitud para incidir, además, los datos relativos al uso de su número corporativo, especialmente llamadas y SMS. En segundo término, mediante escrito de 13 de abril de 2025, el interesado ejerció su derecho de acceso respecto de vacaciones, permisos, licencias y ausencias desde el año 2000, denunciando posteriormente que no se había dado respuesta en el plazo legal. Esta solicitud fue presentada nuevamente los días 11 y 12 de junio de 2025, acompañando sustancialmente la misma documentación y argumentando que los datos requeridos existían en los sistemas internos —particularmente en la aplicación ***APP.1— y resultaban de extracción sencilla. Por su parte, la AEAT sostuvo en sus alegaciones haber dado una contestación técnica, ordenada y coherente, encauzando cada solicitud por el procedimiento correspondiente; así, tramitó determinadas peticiones conforme a la Ley 19/2013 (Transparencia), inadmitiéndolas por referirse a datos personales propios y remitiendo al interesado a los canales internos habilitados; y otras, bajo el RGPD, estimándolas y habilitando el acceso a través de expedientes electrónicos. A tal fin, defendió que el derecho de acceso quedaba materialmente satisfecho mediante el acceso remoto, directo y seguro a los datos personales del interesado, citando el Considerando 63 del RGPD y el artículo 13.2 LOPDGDD, e indicando rutas internas que permitían al reclamante acceder directamente a su información (v. gr., GEMMA para partes de vehículos; Oficina Virtual del Personal para control horario, vacaciones, permisos y nóminas). Añadió, asimismo, que había aportado información concreta en los supuestos en que procedía, como el listado de SMS y determinadas notificaciones vinculadas a contenedores. Pues bien, el responsable del tratamiento, ex artículos 12 RGPD y 12 LOPDGDD, debe atender las solicitudes de ejercicio de derechos a más tardar en el plazo de un mes desde su recepción, pudiendo ampliarlo por dos meses adicionales cuando resulte necesario por razón de la complejidad o del número de solicitudes, siempre que dicha ampliación se notifique dentro del primer mes, justificando su adopción. En el presente caso, de la documentación obrante resulta que la AEAT respondió a las solicitudes bajo una doble vía procedimental: (
8. i)por transparencia, inadmitiéndolas al versar sobre dato personal propio y remitiendo al interesado a los canales internos de consulta; y (
9. ii)por RGPD, estimando el derecho y facilitando acceso a la información mediante expediente electrónico o intranet (Oficina Virtual del Personal; GEMMA; expedientes electrónicos con CSV). El Considerando 63 RGPD proclama que el interesado debe poder acceder con facilidad —y con una periodicidad razonable— a los datos personales que le conciernan, a fin de conocer y verificar la licitud del tratamiento; ello incluye datos de especial significación (p. ej., salud) y comprende el derecho a conocer, entre otros extremos, los fines del tratamiento, el plazo de conservación, destinatarios, lógica de tratamientos automatizados y, en caso de perfiles, sus consecuencias. Asimismo, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/27 prevé que el responsable pueda facilitar acceso remoto seguro, siempre que dicho acceso permita consultar directamente los datos personales, aclarando que la protección de derechos de terceros (v. gr., secretos comerciales o propiedad intelectual) no puede justificar una negativa absoluta de información. Finalmente, cuando el responsable trate gran cantidad de información, podrá solicitar al interesado que concrete los datos o actividades de tratamiento afectadas. De lo anterior se desprende que el derecho de acceso se entiende satisfecho cuando el responsable facilita acceso remoto, directo y seguro a los datos personales. El RGPD no exige la entrega en un formato específico (papel, PDF firmado, CSV, hash), salvo que ello resulte indispensable para garantizar la efectividad del derecho, lo que no se aprecia en los presentes hechos, puesto que la AEAT habilitó canales autenticados que permitían al reclamante consultar la información requerida. El artículo 15 RGPD reconoce el derecho a obtener copia de los datos, pero no impone forma o soporte predeterminado, siendo suficiente que el acceso sea efectivo. Por su parte, el artículo 13.2 LOPDGDD aclara expresamente: “… que el derecho de acceso se entenderá otorgado si el responsable del tratamiento facilitara al afectado un sistema de acceso remoto, directo y seguro a los datos personales que garantice, de modo permanente, el acceso a su totalidad. A tales efectos, la comunicación por el responsable al afectado del modo en que este podrá acceder a dicho sistema bastará para tener por atendida la solicitud de ejercicio del derecho…” Por tanto, de lo anterior se desprende que, a los efectos de entender satisfecho el derecho de acceso, no resulta exigible la entrega en los formatos cerrados pretendidos por el interesado (papel, PDF con CSV, hash, o ficheros Excel específicos), bastando con que el acceso ofrecido sea efectivo, adecuado y seguro conforme al Considerando 63 del RGPD y al artículo 13.2 de la LOPDGDD. Por consiguiente, al haberse atendido materialmente el derecho de acceso y no acreditarse un incumplimiento de las obligaciones legales, procede desestimar la reclamación. Segundo.- Sobre la cuestión relacionada con las prórrogas Este apartado tiene su origen en la solicitud presentada por la parte reclamante el 13 de abril de 2025, mediante la cual ejercitó su derecho de acceso a datos personales relativos a vacaciones, permisos, licencias, bajas y ausencias desde el año 2000. En el curso de su tramitación, la Dependencia Regional de Informática de Cataluña comunicó al interesado, mediante escrito fechado el 23 de junio de 2025 y notificado el 1 de julio de 2025 (dos meses y medio después), que, atendiendo a la complejidad de la petición y a la acumulación de solicitudes registradas en los mismos términos, procedía a hacer uso de la prórroga de dos meses adicionales prevista en el artículo 12.3 del RGPD, a fin de resolver adecuadamente su contenido. Frente a ello, la parte reclamante alegó que dicha prórroga resultaba inválida, por tres motivos principales: en primer lugar, porque habría sido dictada por un órgano carente de competencia, al haberse dirigido la solicitud originaria a la Dirección General de la AEAT en Madrid; en segundo lugar, porque se habría adoptado fuera del plazo máximo de un mes desde la presentación de la solicitud, vulnerándose así el citado artículo 12.3 del RGPD; y, por último, porque la referencia a la complejidad carecería de sustento, ya que —a su juicio— la información solicitada es accesible de forma C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/27 inmediata a través de las aplicaciones internas (***APP.1), y, por tanto, no justificaría la ampliación del plazo. Asimismo, sostuvo que, aun concedida la prórroga, la AEAT habría incumplido el nuevo plazo ampliado. Consta además una referencia indirecta a la aplicación de prórroga respecto de la información vinculada al número de teléfono corporativo del reclamante, particularmente el acceso a mensajes SMS y alertas relativas a contenedores, igualmente encuadrada en solicitud formulada el 13 de abril de 2025. En este supuesto, la prórroga se habría justificado por la existencia de una acumulación de solicitudes RGPD, y habría permitido a la AEAT aportar finalmente la información solicitada —listado de SMS desde 2018 y eventos relacionados con contenedores entre 2022 y 2023—, si bien la controversia posterior se centró no tanto en la prórroga, cuanto en el formato de entrega de la información. El artículo 12.3 del RGPD exige que el responsable del tratamiento responda a las solicitudes de ejercicio de derechos “sin dilación indebida y, a más tardar, en el plazo de un mes a partir de la recepción de la solicitud”, pudiendo ampliar dicho plazo por dos meses adicionales cuando sea necesario atendiendo a la complejidad o al número de solicitudes, siempre que dicha ampliación sea notificada al interesado dentro del plazo de un mes desde la recepción de la solicitud e indicando los motivos. En el presente caso, la prórroga fue acordada el 23 de junio de 2025 y notificada el 1 de julio de 2025, sin que conste acreditado que hubiese sido comunicada dentro del plazo máximo de un mes contado desde la presentación de la solicitud de 13 de abril de 2025. Toda vez que entre la solicitud y la comunicación de prórroga transcurrió un plazo manifiestamente superior al previsto en el artículo 12.3 del RGPD, la ampliación del plazo no podría considerarse válidamente efectuada. Si bien la parte reclamada invocó motivos de complejidad y acumulación de solicitudes para justificar la ampliación, dicha fundamentación no corrige la extemporaneidad apreciada ni convalida la prórroga, por cuanto la notificación debió producirse dentro del plazo inicial de un mes desde la solicitud. No obstante, consta asimismo que la parte reclamada ofreció alguna respuesta material y facilitó vías de acceso remoto, directo y seguro a los datos personales, lo que, conforme al Considerando 63 del RGPD y al artículo 13.2 LOPDGDD, puede resultar suficiente para dar cumplimiento al derecho de acceso. Sin embargo, a los exclusivos efectos del examen del artículo 12.3 del RGPD, lo relevante es la regularidad formal de la prórroga. En consecuencia, debe concluirse que, aun habiéndose atendido materialmente parte del derecho ejercido, la ampliación del plazo regulado en el artículo 12.3 RGPD no se notificó dentro del mes siguiente a la recepción de la solicitud, por lo que no produjo efectos válidos. Por tal motivo, procede considerar que la parte reclamada no se ajustó plenamente a las exigencias temporales derivadas del citado precepto, resultando procedente estimar por motivos formales la reclamación en cuanto al incumplimiento del plazo previsto en el artículo 12.3 del RGPD. En relación con la alegación de incompetencia del órgano que acordó la prórroga, por haberse comunicado desde la Dependencia Regional de Informática de Cataluña una ampliación respecto de una solicitud dirigida a la Dirección General de la AEAT, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/27 procede señalar que, constatada la extemporaneidad de la prórroga conforme al artículo 12.3 del RGPD, la eventual falta de competencia interna no añade consecuencias jurídicas adicionales en el marco de este procedimiento, centrado exclusivamente en la falta de atención del derecho de acceso. Del mismo modo, tampoco tiene incidencia en el fondo la invocación del artículo 65.5 de la LOPDGDD respecto del eventual silencio administrativo sobre la admisión a trámite, toda vez que dicha admisión se produjo de forma expresa con fecha 13 de agosto de 2025 y, en cualquier caso, ninguna de tales consideraciones varía las obligaciones sustantivas del responsable en cuanto a la atención del derecho ejercido. Tercero.- Sobre las solicitudes reiteradas, idénticas o excesivas Del análisis de las actuaciones practicadas se constata que la parte reclamante presentó múltiples solicitudes sustancialmente idénticas en un breve lapso temporal, reiterando incluso en días consecutivos las mismas pretensiones y aportando idéntica documentación, sin introducir variaciones materiales ni nuevos elementos de juicio. Tal patrón de conducta se aprecia de forma especialmente significativa respecto de la solicitud de acceso de 13 de abril de 2025, la cual fue reproducida nuevamente los días 11 y 12 de junio de 2025, manteniendo el mismo objeto —acceso a datos personales relativos a vacaciones, permisos, licencias y ausencias desde el año 2000 — y los mismos anexos justificativos. Este comportamiento encaja plenamente en los supuestos previstos en el artículo 12.5 del RGPD y en el artículo 13.3.
10. b)de la LOPDGDD, los cuales facultan al responsable del tratamiento a negar o condicionar aquellas solicitudes que resulten “manifiestamente infundadas o excesivas, en particular por su carácter repetitivo”. Además, el artículo 13 LOPDGDD establece que el ejercicio del derecho de acceso podrá considerarse repetitivo cuando se formule más de una vez en el plazo de seis meses, salvo que concurra causa legítima que justifique su reiteración, circunstancia que no ha quedado acreditada en este caso. Por tanto, a la luz de la normativa aplicable, la AEAT se encontraba habilitada para modular, limitar o incluso denegar las peticiones reiteradas, especialmente cuando el reclamante había recibido previamente indicaciones claras sobre los canales internos habilitados para consultar la información (v.gr.: Oficina Virtual del Personal y sistema GEMMA) y, pese a ello, persistió en reproducir las mismas solicitudes al amparo tanto del RGPD como de la Ley 19/2013. Ello permite concluir que la posición adoptada por la parte reclamada frente al carácter repetitivo y excesivo de las solicitudes resulta jurídicamente razonable. Asimismo, se observa que la AEAT diferenció correctamente entre aquellas solicitudes que versaban sobre datos personales propios, cuya competencia correspondería a esta Agencia, y otras cuyo objeto excedía el ámbito estrictamente personal y exigía una reelaboración de información o afectaba a datos de terceros. En estos últimos supuestos, el organismo denegó o inadmitió la solicitud al amparo de los artículos 18.1.
11. c)y
12. e)de la Ley 19/2013, por tratarse bien de información cuya obtención requería la elaboración de un documento ad hoc —no exigible en vía de transparencia —, bien de peticiones carentes de finalidad de transparencia al circunscribirse a datos estrictamente particulares del solicitante o de terceros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/27 Dicha actuación se ajusta igualmente al carácter personalísimo del derecho de acceso reconocido en los artículos 15 y siguientes del RGPD, que impide su ejercicio respecto de información vinculada a terceros o cuya atención suponga comprometer derechos o libertades ajenas, máxime cuando no concurren los presupuestos legales que autoricen su comunicación. En consecuencia, se concluye que la AEAT actuó de forma congruente y conforme a Derecho al limitar las solicitudes en lo relativo tanto a su condición reiterativa o excesiva, como a la imposibilidad de atender requerimientos que afectaran a terceros o que implicasen una reelaboración no exigible conforme al ordenamiento jurídico. Cuarto.- Otras cuestiones planteadas El reclamante sostuvo que la eventual conservación durante más de veinticinco años de los datos relativos a partes de utilización de vehículos vulneraría el principio de minimización previsto en el artículo 5.1.
13. c)del RGPD y permitiría inferencias indebidas sobre su esfera privada. No obstante, tal cuestión excede del ámbito objetivo del procedimiento, limitado a examinar el cumplimiento por el responsable del deber de atender en plazo y forma una solicitud de acceso conforme a los artículos 12 y 15 del RGPD, sin que en esta sede proceda pronunciamiento alguno sobre la licitud o proporcionalidad de los plazos de conservación aplicables, sin perjuicio de su eventual valoración en otros cauces. Igualmente, el reclamante invocó la normativa administrativa común —con referencia a los artículos 27, 37, 40, 41, 53 y 88 de la Ley 39/2015—, el Esquema Nacional de Interoperabilidad y de Seguridad, así como la necesidad de aportación de copias auténticas dotadas de CSV o huella digital HASH, reprochando la supuesta falta de validez probatoria de los documentos facilitados. Tales argumentos tampoco inciden en la satisfacción material del derecho de acceso, habida cuenta de que dicho derecho no garantiza la entrega de la información en un soporte o formato específico destinado a su eventual utilización procesal o probatoria, sino la posibilidad de acceder a los datos personales objeto de tratamiento. En todo caso, la reclamación versa sobre el deber de resolver y de facilitar acceso efectivo a los datos personales, y no sobre la eficacia jurídica ulterior de los documentos descargados, extremo que escapa a la competencia de esta autoridad en la presente vía. De igual forma, la parte reclamante atribuyó a la actuación de la AEAT un patrón obstructivo presuntamente dirigido a impedir su derecho de defensa, e incluso insinuó eventuales responsabilidades disciplinarias o penales, citando el artículo 24.2 CE y diversa jurisprudencia. Tales alegaciones carecen de relevancia en el marco del procedimiento previsto en el artículo 64.1 LOPDGDD, que se limita al análisis del cumplimiento del deber de atender las solicitudes de acceso en los términos establecidos por los artículos 12 y 15 del RGPD, sin que esta autoridad deba entrar a valorar eventuales responsabilidades de otra naturaleza, ajenas a su competencia. Asimismo, el reclamante manifestó que parte de su solicitud —en particular, la denominada “tercera solicitud”— se refería a información de carácter general no vinculada estrictamente a sus datos personales y que no habría sido examinada por el Consejo de Transparencia y Buen Gobierno. Sin embargo, debe reiterarse que el presente procedimiento se circunscribe al eventual incumplimiento del derecho de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/27 acceso previsto en los artículos 15 RGPD y 13 LOPDGDD, lo cual excluye la competencia de esta Agencia respecto de solicitudes de acceso a información pública de carácter general sometidas al régimen jurídico de la Ley 19/2013. Finalmente, en cuanto a la insistencia del reclamante en que la información debía ser facilitada con el nivel de detalle y estructuración por él solicitados, procede indicar que el responsable puede recabar del interesado la concreción de los datos o actividades de tratamiento objeto de su solicitud cuando exista una gran cantidad de información (art. 13.2 LOPDGDD), y que el derecho de acceso no comporta la obligación de elaborar información ad hoc ni de estructurarla conforme a criterios impuestos unilateralmente por el solicitante, siempre que se garantice un acceso efectivo, adecuado y seguro a los datos personales objeto de tratamiento. En consecuencia, las alegaciones expuestas, ya sea por exceder del objeto del procedimiento, por ser ajenas a la competencia de esta Agencia o por resultar irrelevantes para la determinación del cumplimiento del derecho de acceso ejercitado, no alteran las conclusiones alcanzadas en la presente resolución. Quinto.- Sobre las resoluciones de 31/10/2025 y las alegaciones de nulidad de pleno derecho De la documentación incorporada en los hechos décimo séptimo a vigésimo resulta, en síntesis, que la AEAT ha dictado, con fecha 31/10/2025, diversas resoluciones estimatorias en materia de ejercicio del derecho de acceso: (
14. i)una relativa a las solicitudes de 24 de marzo y 12 de abril de 2025 sobre partes de utilización de vehículos oficiales, y (
15. ii)otra relativa a la solicitud de 13 de abril de 2025 sobre horas extraordinarias. En ambas se indica que las peticiones ya habían sido contestadas por la vía de la transparencia y que la información personal del reclamante se encuentra accesible para él a través de la intranet corporativa (aplicaciones GEMMA y Oficina Virtual del Personal), invocándose el Considerando 63 del RGPD y el artículo 13.2 de la LOPDGDD, y concluyendo que el derecho de acceso debe entenderse satisfecho mediante el acceso remoto, directo y seguro a los datos personales. Frente a ello, el reclamante formula sucesivos escritos de alegaciones adicionales en los que:
16. a)sostiene la nulidad de pleno derecho de dichas resoluciones por haber sido dictadas por el Administrador de Seguridad Regional de Cataluña, a quien reputa “manifiestamente incompetente” al no ostentar la condición de responsable del tratamiento ni existir, a su juicio, delegación expresa publicada; y
17. b)insiste en que las resoluciones no le proporcionan un acceso “real, directo, permanente, sencillo y completo” a los datos, al limitarse a señalar una ruta en la intranet corporativa, afirmando que carecería de permisos efectivos para acceder a determinadas aplicaciones. En cuanto a la alegada nulidad de pleno derecho por incompetencia del órgano firmante, debe reiterarse que el RGPD identifica al “responsable del tratamiento” como sujeto obligado a atender las solicitudes de ejercicio de derechos, pero no impide que, en el marco de la organización interna de una Administración, se habiliten unidades y órganos concretos para tramitar y resolver tales solicitudes, siempre que actúen en nombre y por cuenta del responsable. Las cuestiones relativas a la concreta distribución interna de competencias entre servicios centrales y dependencias C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/27 territoriales tienen naturaleza estrictamente organizativa y, salvo que se acreditase una verdadera denegación de derechos derivada de dicha distribución, carecen de relevancia material a efectos del presente procedimiento, cuyo objeto es valorar si el derecho de acceso ha sido o no atendido conforme a los artículos 12 y 15 del RGPD. En el caso concreto, no se ha acreditado que las resoluciones de 31/10/2025 hayan supuesto una limitación sustantiva del derecho de acceso, más allá de las discrepancias del reclamante sobre el formato y el órgano firmante. Antes al contrario, tales resoluciones se limitan a reiterar la posibilidad de acceso remoto a los datos personales a través de sistemas internos ya analizados en esta resolución (GEMMA, Oficina Virtual del Personal). Por tanto, aun cuando se cuestione la competencia interna del Administrador de Seguridad Regional, ello no determina, en esta sede, la nulidad de las actuaciones ni una vulneración adicional del derecho ejercitado. En cuanto a la supuesta insuficiencia del acceso remoto vía intranet, el reclamante insiste en que el acceso facilitado no sería “directo” ni permitiría obtener de forma “sencilla e inmediata la totalidad” de la información, particularmente respecto de las horas extraordinarias, al requerir consultas mensuales sucesivas y no mostrar siempre un concepto específico de “horas extras” en nómina. A este respecto, procede remitirse a lo ya razonado en el apartado primero de esta resolución: el artículo 13.2 de la LOPDGDD establece que el derecho de acceso se entiende otorgado si el responsable facilita un sistema de acceso remoto, directo y seguro a los datos personales que garantice, de modo permanente, el acceso a su totalidad, bastando la comunicación del modo de acceso para tener por atendida la solicitud. De la documentación obrante no puede inferirse que la AEAT haya denegado el acceso a los datos personales del reclamante; por el contrario, ha habilitado canales autenticados de consulta (expedientes electrónicos con CSV, aplicaciones corporativas de personal, módulos específicos de gestión de vehículos, etc.) y ha indicado expresamente las rutas de acceso. El hecho de que el reclamante discrepe sobre la comodidad, el diseño o el grado de agregación de la información disponible (p.ej., necesidad de revisar múltiples nóminas para identificar un determinado concepto) no convierte en incumplido el derecho de acceso, siempre que los datos personales sean efectivamente consultables de forma razonable. El RGPD no impone la obligación de generar informes ad hoc, tablas o resúmenes personalizados al gusto del interesado, ni de estructurar los datos bajo el formato exacto (Excel con determinadas columnas, PDF con determinadas rúbricas, etc.) que este proponga, sino de garantizar un acceso efectivo a los datos objeto de tratamiento. Respecto de la alegación de falta de permisos informáticos para acceder a determinadas aplicaciones, se trata de una afirmación unilateral del reclamante que no viene acompañada de elementos objetivos de prueba que permitan constatar una imposibilidad real, prolongada y general de acceso. Frente a ello, la AEAT sostiene que el reclamante dispone de autorización desde hace años y que las aplicaciones indicadas son accesibles con sus credenciales corporativas. En este contexto, y a falta de prueba en contrario, no puede concluirse que exista un incumplimiento sobrevenido del derecho de acceso derivado de una ausencia de permisos de usuario, máxime cuando el propio reclamante ha venido utilizando otros canales electrónicos (expedientes en sede, DEHÚ, etc.) sin que conste una imposibilidad técnica acreditada. En consecuencia, las nuevas resoluciones de 31/10/2025 y las sucesivas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/27 alegaciones de noviembre de 2025 no alteran las conclusiones ya alcanzadas en esta resolución respecto de la suficiencia del acceso remoto, directo y seguro ofrecido por la AEAT para entender satisfecho el derecho de acceso a los datos personales; la inexistencia de un derecho del reclamante a imponer un formato específico cerrado (papel, PDF con CSV, hash, Excel) cuando ya se ha habilitado un acceso efectivo a sus datos; y el carácter eminentemente organizativo de las cuestiones relativas al órgano concreto que firma las resoluciones dentro de la estructura del responsable del tratamiento. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR la reclamación formulada por A.A.A. frente a la AGENCIA ESTATAL DE ADMINISTRACIÓN TRIBUTARIA con NIF.: Q2826000H, en lo relativo al ejercicio del derecho de acceso a datos personales, al constar que la AEAT habilitó acceso remoto directo a los datos personales. SEGUNDO: ESTIMAR por motivos formales la reclamación formulada por A.A.A. frente a la AGENCIA ESTATAL DE ADMINISTRACIÓN TRIBUTARIA con NIF.: Q2826000H, en lo relativo a la tramitación de la prórroga del plazo para atender la solicitud de acceso presentada el 13 de abril de 2025, por haberse vulnerado lo dispuesto en el artículo 12.3 del RGPD. No obstante, no procede la emisión de nueva certificación por parte de la parte reclamada, al haberse emitido la respuesta extemporáneamente, sin que se requiera la realización de actuaciones adicionales por parte del responsable. TERCERO: NOTIFICAR la presente resolución a A.A.A. y a la AGENCIA ESTATAL DE ADMINISTRACIÓN TRIBUTARIA. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución se haya notificado a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es