PD-00328-2025

1/15  Expediente N.º: EXP202515681 (PD/00328/2025) RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 13 de julio de 2025 ante esta Agencia Española de Protección de Datos (en lo sucesivo, AEPD) y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: A.A.A. (en lo sucesivo, la parte reclamante) ejerció el derecho de acceso frente a la TESORERÍA GENERAL DE LA SEGURIDAD SOCIAL con CIF.: Q2827003A (en lo sucesivo, TGSS o la parte reclamada). El reclamante expone que, con fecha 19 de mayo de 2025, solicitó a la TGSS el acceso a todos sus datos, incluida copia del expediente de generación de deuda, de los distintos recursos de alzada que había presentado y de todos los pagos efectuados mediante embargo de cuentas, sueldos y salarios. Señala que no ha recibido respuesta alguna por parte de la reclamada. Junto al escrito de reclamación presenta la siguiente documentación: - Solicitud fechada el 19/05/2025 presentada por el reclamante ante la TGSS mediante la cual ejerce el derecho de acceso solicitando que se le facilite copia de todos los datos personales tratados por dicho organismo y justificante de presentación telemática emitido por la TGSS. SEGUNDO: En fecha 30 de septiembre de 2025, de conformidad con el artículo 65.4 de la LOPDGDD, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. TERCERO: En fecha 1 de octubre de 2025, la reclamada remite a esta Agencia escrito de respuesta a la solicitud de información en el que manifiesta que, con fecha 30 de septiembre de 2025, la TGSS recibió la reclamación presentada por el reclamante, pero el anexo que la acompaña estaba incompleto, y se solicita que se remita nuevamente el anexo de forma completa. CUARTO: En fecha 13 de octubre de 2025, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. QUINTO: En fecha 7 de noviembre de 2025, se concedió a la parte reclamada trámite de audiencia, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes. SEXTO: En fecha 12 de noviembre de 2025, la parte reclamada presenta escrito de alegaciones en el que manifiesta, en síntesis, lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/15 - Informa que la reclamación fue recibida el 30/09/2025, si bien el anexo remitido inicialmente se encontraba incompleto. A continuación, la Unidad de Impugnaciones detalla las gestiones realizadas para verificar la situación del reclamante, constatándose que no había existido contestación previa a su solicitud de acceso formulada el 19/05/

1. - Informa que, tras comprobar la existencia de una solicitud presentada el 19/05/2025 por el reclamante para acceder a sus datos personales y a los expedientes vinculados a una orden de embargo, se puso en contacto el 17/10/2025 con la Unidad de Recaudación Ejecutiva (URE) responsable del expediente de apremio ***REFERENCIA.
2. La URE confirmó que no se había dado respuesta al interesado y, por ello, entre los días 21 y 29 de octubre de 2025 remitió al reclamante, mediante diversas comunicaciones electrónicas, copia íntegra del expediente de apremio, incluyendo todas las diligencias de embargo y notificaciones practicadas. Entre la documentación trasladada figura la diligencia de desglose del expediente, de 26/05/2025, donde constan los importes de las deudas perseguidas y los débitos pendientes, así como la última diligencia emitida: la notificación del levantamiento del embargo sobre salarios de 01/10/2025, puesta a disposición por medios electrónicos y aceptada por el interesado el 02/10/2025 a través de la DEHÚ. Asimismo, indica que respecto de la copia del expediente de generación de deuda debe remitirse al SEPE, organismo competente en tanto parte de la deuda deriva de una prestación indebidamente percibida, recordando que ya en 2016 se había informado al interesado de que debía dirigirse al citado organismo. - Asimismo, informa de que la URE ha resuelto únicamente dos recursos de alzada presentados por el interesado, ambos con resultado desestimatorio, detallando los fundamentos jurídicos de dichas resoluciones, especialmente la validez de las notificaciones realizadas —tanto por medios electrónicos como mediante envíos al domicilio constando aviso en buzón—, la adecuación de las diligencias y la legitimidad de los actos del procedimiento de apremio. El documento incorpora un análisis sobre la validez de las notificaciones en el ámbito del procedimiento administrativo común, recordando la obligatoriedad de la notificación electrónica y las consecuencias del acceso o puesta a disposición en sede electrónica, conforme al artículo 43.2 de la Ley 39/
3. - Finalmente, se concluye que, a efectos de la reclamación ante la AEPD, el escrito de contestación del interesado fue recibido en la TGSS el 16/10/2025 y que la documentación requerida fue efectivamente trasladada al reclamante por los canales ordinarios. SÉPTIMO: En fecha 17 de noviembre de 2025, la parte reclamada presente un nuevo escrito de alegaciones en que manifiesta, en síntesis, lo siguiente: - Expone que la Agencia Española de Protección de Datos demoró de forma significativa la comunicación de la reclamación presentada por el interesado. Aunque la reclamación tuvo entrada en la AEPD el 13 de julio de 2025, la TGSS no fue notificada hasta el 30 de septiembre de 2025, produciendo un perjuicio inicial en el cómputo de plazos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/15 - Señala que la documentación remitida por la AEPD resultó incompleta: únicamente se incluyó un fragmento de la solicitud de acceso del reclamante, sin contenerse la petición íntegra. Esta falta de información impidió a la TGSS acceder a la solicitud completa o recabar los datos necesarios para valorar el caso hasta el 1 de octubre de 2025, fecha en la que la TGSS pudo visualizar el justificante de registro y los escritos elaborados por el reclamante. - Indica que, a partir del fragmento disponible, parte de la solicitud del interesado se refiere no a datos personales en los términos del artículo 15 del RGPD, sino a documentación administrativa relacionada con deudas, recursos y embargos. Para estas cuestiones, entiende que el interesado debe acudir a los cauces previstos en la Ley 39/2015, como parte interesada en un procedimiento administrativo, y acceder a su expediente a través de la Sede Electrónica (SEDESS) o mediante atención presencial. - Recuerda que el derecho de acceso del artículo 15 del RGPD se limita a información relativa al tratamiento de datos personales (fines, base jurídica, categorías, destinatarios, conservación, medidas de seguridad, etc.) y que dicha información se encuentra disponible en el Registro de Actividades de Tratamiento de la Seguridad Social. Aporta enlace a dicho registro, así como la documentación donde se describen los tratamientos que afectan a la TGSS. - Por último, afirma que toda la información relativa a los tratamientos de su competencia está publicada y accesible, y que el interesado puede consultarla en la Sede Electrónica para conocer detalladamente las bases jurídicas, finalidades, categorías de datos, destinatarios y demás extremos exigidos por la normativa de protección de datos. través del siguiente enlace: (…) OCTAVO: En fecha 25 de noviembre de 2025, la Dirección Provincial de la Tesorería General de la Seguridad Social en Salamanca remitió a esta Agencia oficio de contestación —referencia ***REFERENCIA.1— en relación con el Trámite de Alegaciones notificado por la AEPD y registrado en la TGSS el 18/11/
4. En dicho oficio se informa de que las resoluciones dictadas en los dos recursos de alzada interpuestos por el reclamante fueron debidamente notificadas, tanto mediante acceso por el propio interesado al contenido de las notificaciones en la Dirección Electrónica Habilitada Única (DEHÚ), como mediante remisión por correo postal. Asimismo, se hace constar que el 12/11/2025 la Unidad de Impugnaciones emitió un escrito de contestación dirigido tanto al reclamante como a esta Agencia. Respecto a las actuaciones asociadas al expediente de apremio, el documento señala que, aunque no se dio respuesta a la solicitud de acceso presentada por el reclamante el 19/05/2025, el jefe de la Unidad de Recaudación Ejecutiva mantuvo contacto telefónico con aquel, informándole de que todas las actuaciones ejecutivas constaban correctamente a su disposición en sede electrónica. Indica que el reclamante manifestó dificultades para acceder a las notificaciones, acordándose entonces que la documentación solicitada le sería remitida por correo electrónico, actuación que se llevó a efecto. Finalmente, se indica que se adjunta toda C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/15 la documentación relacionada con el asunto, aportada tanto por la Unidad de Impugnaciones como por la Unidad de Recaudación Ejecutiva. Junto al escrito de alegaciones se presenta, entre otra, la siguiente documentación: - Requerimiento de bienes (***REFERENCIA.2) de fecha 31/05/2016 emitido por la Unidad de Recaudación Ejecutiva Nº ***REFERENCIA.3 mediante el cual se requiere al reclamante para que declare sus bienes conforme al artículo 89 del Reglamento General de Recaudación, advirtiéndole de la existencia de deudas pendientes y de las consecuencias de no atender el requerimiento. - Diligencia de embargo de bienes inmuebles (***REFERENCIA.4) de fecha 09/06/2016, por la que la TGSS declara embargada la participación del reclamante en un inmueble debido a la falta de pago de las deudas ejecutadas. - Escrito presentado por el reclamante ante la TGSS de fecha 14/06/2016, en el que expone los hechos relativos a la tramitación de su prestación por desempleo desde 2014 y solicita el reconocimiento de su derecho al subsidio y la retirada de los embargos. - Intentos de notificación de la TGSS con acuse de recibo de correos (11/06/2016 y 14/06/2016) y recepción de fecha 22/06/
5. Se identifica al reclamante como destinatario y consta su firma, la fecha de recepción. - Oficio TGSS. Devolución de escrito de fecha 16/06/2016, mediante el cual se devuelve al reclamante el escrito que había dirigido a la TGSS, informándole de que debe presentarlo ante el SEPE por ser el órgano competente en materia de prestaciones por desempleo. - Diligencia de levantamiento de embargo de bienes inmuebles (***REFERENCIA.5) de fecha 07/02/2018, al haberse cancelado la deuda que motivó la medida. - Diligencia de embargo de cuentas corrientes (***REFERENCIA.6) de fecha 03/02/2021, donde se notifica al reclamante el embargo de un saldo existente en una cuenta bancaria, dentro del expediente de apremio ***REFERENCIA.1, una vez notificadas y firmes las providencias de apremio. - Diligencia de embargo de cuentas corrientes (***REFERENCIA.6) de fecha 02/03/2021 donde se comunica al reclamante el embargo en una cuenta bancaria, continuando la ejecución de la deuda reclamada. - Diligencia de embargo de sueldos y salarios (***REFERENCIA.7) de fecha 24/04/2025, donde la TGSS declara embargadas las percepciones salariales del reclamante, de conformidad con el artículo 607 de la LEC. - Diligencia de embargo de dietas e indemnizaciones (***REFERENCIA.8) de fecha 24/04/2025, donde la TGSS acuerda el embargo íntegro de dietas, indemnizaciones y demás conceptos abonados al reclamante por su empresa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/15 - Diligencia de embargo de cuentas corrientes (***REFERENCIA.6) de fecha 03/05/2025, donde se notifica al reclamante el embargo ejecutado el 29/04/2025 sobre una de sus cuentas bancarias. - Justificante de presentación de Derecho de acceso, de fecha 19/05/2025, donde se acredita la presentación telemática por el reclamante de una solicitud de acceso a sus datos personales y a los expedientes vinculados a una orden de embargo. Asunto: “Aportación de documentos y contestar requerimientos”. - Diligencia de desglose del expediente de apremio (***REFERENCIA.9) de fecha 26/05/2025, emitida por la URE en la que se detalla el desglose del expediente de apremio ***REFERENCIA.1, incluyendo el cálculo del importe total de la deuda, las cantidades ya cobradas y el importe pendiente actualizado. - Diligencia de embargo de cuentas corrientes (***REFERENCIA.6) de fecha 03/06/2025, donde la TGSS notifica al reclamante el embargo de saldos en dos cuentas bancarias ejecutado el 29/05/
6. - Diligencia de embargo de cuentas corrientes (***REFERENCIA.6) de fecha 02/07/2025, donde se notifica un nuevo embargo practicado el 27/06/
7. - Notificación de embargo de cuentas (***REFERENCIA.6) de fecha 01/08/2025, donde se comunica el embargo efectuado el 29/07/2025 de una cuenta del reclamante. - Acuse DEHÚ del embargo de cuentas de fecha 02/08/2025, donde se certifica que el reclamante accedió, el 02/08/2025, a una notificación electrónica relativa al embargo de cuentas corrientes y de ahorro. - Notificación de embargo de cuentas (***REFERENCIA.6) de fecha 02/09/2025, donde se informa al reclamante del embargo practicado el 28/08/
8. - Acuse DEHÚ – Embargo de cuentas (03/09/2025 / 04/09/2025), donde se acredita el acceso del reclamante a una notificación referente a un embargo de cuentas corrientes y ahorro. - Notificación de levantamiento de embargo de sueldos (***REFERENCIA.10) de fecha 01/10/2025, donde la TGSS ordena el levantamiento del embargo de salarios aplicado al reclamante al haberse cancelado la deuda, notificándolo tanto al interesado como a la empresa pagadora. - Diligencia de levantamiento de embargo de dietas e indemnizaciones (***REFERENCIA.11) de fecha 01/10/2025, donde la TGSS deja sin efecto el embargo de dietas, indemnizaciones y conceptos extrasalariales, por haber quedado liquidada la deuda ejecutada. - Acuse DEHÚ – Levantamiento de embargo de fecha 02/10/2025, donde se certifica que el reclamante accedió a la notificación electrónica relativa al levantamiento del embargo de salarios y prestaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/15 - Correos electrónicos de fecha 21/10/2025, enviados por la URE al reclamante con el desglose del expediente e informándole de que el expediente completo aparecerá en sede electrónica y se queda a disposición para resolver dudas. - Correo electrónico de fecha 23/10/2025, remitido por la URE al reclamante en el que se indica que verifique si puede visualizar el expediente en sede electrónica y se le vuelve a remitir la diligencia de desglose del expediente. - Correo electrónico de fecha 29/10/2025, remitido por la URE al reclamante con más de 20 documentos relativos al expediente de apremio, tras indicar éste que no podía visualizarlos en sede electrónica. - Oficio de la Unidad de Impugnaciones al reclamante de fecha 12/11/2025, donde se contiene la respuesta a la solicitud de acceso del reclamante, detallando actuaciones, notificaciones, diligencias y resoluciones dictadas. - Acuse DEHÚ de aceptación de notificación de fecha 12/11/2025, que acredita el acceso del reclamante a la notificación electrónica remitida por la TGSS. NOVENO: En fecha 9 de enero de 2026, se concedió a la parte reclamante trámite de audiencia, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes. La notificación del trámite de audiencia se practicó conforme a las normas establecidas en la LPACAP, mediante notificación electrónica el 10/01/2026, como consta en el justificante de recibo que figura en el expediente. No consta respuesta a dicho trámite de audiencia por parte del reclamante. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, (en adelante, RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/15 II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, siguiendo el trámite previsto en el artículo 65.4 de la LOPDGDD, con carácter previo a la admisión a trámite de la reclamación de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, que da lugar al presente procedimiento, se dio traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida. El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 13 de octubre de 2025, a los efectos previstos en su artículo 64.1 y 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. Dicha admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la AEPD una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/15 III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y ss. del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. IV Derecho de acceso Conforme a lo establecido en el artículo 15 del RGPD y artículo 13 de la LOPDGDD, "el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales". Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los "datos o actividades de tratamiento a los que se refiere la solicitud". El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo 15 del RGPD). El ejercicio de este derecho se podrá considerar repetitivo si se ejerce en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/15 Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos personales de que se trate, los destinatarios o categorías de destinatarios a los que podrán comunicarse los datos, el plazo previsto o criterios de conservación, la posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la autoridad de control, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular), la existencia de decisiones automatizadas, incluida la elaboración de perfiles, e información sobre transferencias de datos personales a un tercer país o a una organización internacional. La posibilidad de obtener copia de los datos personales objeto de tratamiento no afectará negativamente a los derechos y libertades de otros. V Conclusión El procedimiento de derechos se instruye como consecuencia de la falta de atención de alguno de los derechos regulados en la normativa de protección de datos. Por ello, en el presente caso sólo se analizarán y valorarán los hechos relativos al ejercicio de estos derechos, quedando fuera el resto de cuestiones planteadas por las partes. En el presente caso, consta acreditado que el reclamante ejerció el derecho de acceso frente a la TGSS mediante solicitud registrada el 19/05/2025, en la que interesaba, en lo que afecta a la protección de datos, el acceso a todos sus datos personales. Además, solicitaba una copia del expediente de generación de deuda, de los recursos de alzada formulados y de los pagos efectuados mediante embargos de cuentas, sueldos y salarios. En su escrito de reclamación ante esta Agencia afirma no haber recibido respuesta alguna por parte del responsable del tratamiento. En sus alegaciones de 12/11/2025, la TGSS reconoce que dicha solicitud no fue atendida en el plazo previsto en la normativa en materia de protección de datos. Señala que, tras advertirse la falta de contestación, la Unidad de Impugnaciones contactó el 17/10/2025 con la Unidad de Recaudación Ejecutiva competente en el expediente de apremio ***REFERENCIA.1, la cual confirmó la ausencia de respuesta. A partir de dicha fecha, y tal como acreditan los correos electrónicos de 21, 23 y 29 de octubre de 2025, así como la documentación anexa, la URE remitió al reclamante copia extensa del expediente de apremio, incluyendo diligencias de embargo, notificaciones practicadas —entre ellas los distintos embargos de cuentas y salarios y las posteriores diligencias de levantamiento—, la diligencia de desglose de 26/05/2025 y la documentación relativa a la liquidación final de la deuda. Consta igualmente, a través de múltiples certificaciones DEHÚ y acuses de Correos obrantes en el expediente, que el interesado accedió en distintas fechas tanto a las notificaciones de embargo como a las de levantamiento, así como a la documentación que le fue remitida posteriormente por medios electrónicos. Asimismo, la TGSS sostiene que la documentación relativa al expediente de generación de deuda corresponde al SEPE y que, en relación con dicha parte, el interesado ya había sido informado en 2016 de que debía dirigirse a dicho organismo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/15 Sin embargo, como ya se ha señalado, la cuestión que aquí se examina es estrictamente la de determinar si la TGSS atendió en plazo y forma la solicitud de ejercicio del derecho de acceso formulada el 19/05/2025, en los términos establecidos en los artículos 12 y 15 del RGPD. Así, en aquellos casos en los que una solicitud versara sobre datos que no son objeto de tratamiento por el responsable, este no deberá dejarla sin respuesta, sino deberá atender la solicitud y confirmarle que sus datos no están siendo tratados. En este sentido se pronuncian las Directrices 01/2022: “
9. Otros casos en los que la aplicabilidad del artículo 12, apartado 5, del RGPD, es cuestionable son las solicitudes relacionadas con actividades de información o tratamiento que no están clara y obviamente objeto de las actividades de tratamiento del responsable del tratamiento” En cuanto a la alegación relativa que la demora en la respuesta a la solicitud es consecuencia de una eventual demora en la comunicación de la reclamación por parte de esta Agencia, aun cuando se admitiera a efectos meramente dialécticos la existencia de dicho retraso, ello no exonera al responsable de la obligación de responder al interesado en el plazo máximo de un mes previsto en el artículo 12.3 del RGPD, plazo que comienza a computarse desde la fecha de recepción de la solicitud por el responsable del tratamiento. En este caso, ese plazo se inició el 19/05/2025, fecha de registro de la solicitud de la parte reclamante en la TGSS, y transcurrió sobradamente sin que la parte reclamada emitiera contestación. Respecto de la alegación relativa al carácter “incompleto” del anexo recibido en el traslado del artículo 65.4 de la LOPDGDD, debe señalarse que la propia TGSS reconoce que no emitió respuesta alguna al interesado durante más de cinco meses. En consecuencia, tal circunstancia carece de relevancia frente al incumplimiento objetivo del deber de responder dentro del mes legalmente previsto. La ausencia de respuesta en plazo se debe exclusivamente a la falta de actuación del responsable y no puede imputarse ni al procedimiento seguido por esta Agencia ni a la documentación remitida en el marco del traslado previsto en el artículo 65.4 de la LOPDGDD. Tampoco puede acogerse a efectos de justificar una demora en la atención de la solicitud de acceso, la tesis de la TGSS según la cual parte de la documentación solicitada no constituirían datos personales, sino el acceso a un expediente administrativo y, por ello, debería solicitarse a través de los cauces de la Ley 39/
10. La solicitud presentada el 19/05/2025 fue expresamente tramitada como ejercicio del derecho de acceso del artículo 15 del RGPD, a través del procedimiento específico habilitado por la propia TGSS bajo el asunto “Obtener el acceso a mis datos personales”. En consecuencia, respecto a todo aquello que resultara excesivo y no estuviera amparado por el derecho de acceso, la parte reclamada habría de haber denegado el acceso de forma motivada, en el plazo de un mes desde la recepción de la solicitud, conforme a los artículos 12.4 y 15 del RGPD. Todo ello sin perjuicio de que, además, correspondía al responsable atender, al menos, la parte referida a los datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/15 En este sentido, se subraya que el derecho de acceso a los datos personales no debe confundirse con otros derechos de acceso, como el derecho de acceso a la información pública o el derecho de acceso a un expediente administrativo por parte del interesado. Así, conviene subrayar que si bien el artículo 15.3 del RGPD establece la obligación del responsable del tratamiento de facilitar una copia de los datos, esta no debe entenderse como un derecho adicional del interesado, sino como una modalidad de facilitar el acceso a los datos. En este sentido se pronuncian las Directrices 1/2022: “
11. En este contexto, es importante recordar que existe una distinción entre el derecho a obtener acceso en virtud del artículo 15 del RGPD y el derecho a recibir una copia de los documentos administrativos regulados por el Derecho nacional, siendo este último un derecho a recibir siempre una copia del documento real. Esto no significa que el derecho de acceso previsto en el artículo 15 del RGPD excluya la posibilidad de recibir una copia del documento o de los medios en los que aparecen los datos personales.
12. En algunos casos, los propios datos personales establecen los requisitos en qué formato deben facilitarse los datos personales. Cuando los datos personales constituyen, por ejemplo, información manuscrita por el interesado, en algunos casos el interesado debe recibir una fotocopia de dicha información manuscrita, ya que la propia escritura es datos personales. Ese podría ser especialmente el caso cuando la escritura a mano es algo que importa para el procesamiento, por ejemplo, análisis de escrituras. Lo mismo se aplica en general a las grabaciones de audio, ya que la voz del propio interesado son datos personales. Sin embargo, en algunos casos puede darse acceso proporcionando una transcripción de la conversación, por ejemplo, si se acuerda entre el interesado y el responsable del tratamiento”. En relación con lo expuesto, se hace necesario traer a colación la Sentencia del Tribunal de Justicia de 4 de mayo de 2023, en el asunto C-487/21, la cual determina: “
13. Por lo tanto, del análisis literal del artículo 15, apartado 3, primera frase, del RGPD resulta que esta disposición confiere al interesado el derecho a obtener una reproducción auténtica de sus datos personales, entendidos en un sentido amplio, que sean objeto de operaciones que deben calificarse de tratamiento por parte del responsable de ese tratamiento. (…)
14. Por consiguiente, el artículo 15 del RGPD no puede interpretarse en el sentido de que consagra, en su apartado 3, primera frase, un derecho distinto del previsto en su apartado
15. Por otra parte, como ha señalado la Comisión Europea en sus observaciones escritas, el término «copia» no se refiere a un documento como tal, sino a los datos personales que contiene y que deben ser completos. Por lo tanto, la copia debe contener todos los datos personales objeto de tratamiento. (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/15
16. Habida cuenta de las consideraciones anteriores, procede responder a las cuestiones prejudiciales primera a tercera que el artículo 15, apartado 3, primera frase, del RGPD debe interpretarse en el sentido de que el derecho a obtener del responsable del tratamiento una copia de los datos personales objeto de tratamiento implica que se entregue al interesado una reproducción auténtica e inteligible de todos esos datos. Este derecho incluye el de obtener copia de extractos de documentos, o incluso de documentos enteros, o de extractos de bases de datos, que contengan, entre otros, dichos datos, si la entrega de tal copia es indispensable para permitir al interesado ejercer efectivamente los derechos que le confiere ese Reglamento. Debe subrayarse asimismo la necesidad de que se tengan en cuenta, a este respecto, los derechos y libertades de los terceros”. En el mismo sentido, la Sentencia del Tribunal de Justicia de la Unión Europea de 22 de junio de 2023, en el asunto C.579/2021, indica que, “
17. A este respecto, el Tribunal de Justicia ya ha declarado que el concepto de «copia» así empleado designa la reproducción o transcripción auténtica de un original, de modo que una descripción puramente general de los datos objeto de tratamiento o una remisión a categorías de datos personales no se correspondería con esta definición. Además, del tenor del artículo 15, apartado 3, primera frase, de ese Reglamento se desprende que la obligación de comunicación está vinculada a los datos personales que son objeto del tratamiento en cuestión (véase, en este sentido, la sentencia de 4 de mayo de 2023, Österreichische Datenschutzbehörde y CRIF, C-487/21, EU:C:2023:369, apartado 21).
18. La copia que el responsable del tratamiento tiene que facilitar debe contener todos los datos personales objeto de tratamiento, presentar todas las características que permitan al interesado ejercer efectivamente sus derechos en virtud de dicho Reglamento y, por consiguiente, reproducir de forma íntegra y auténtica esos datos (véase, en este sentido, la sentencia de 4 de mayo de 2023, Österreichische Datenschutzbehörde y CRIF, C-487/21, EU:C:2023:369, apartados 32 y 39).” En definitiva, el derecho de acceso en su modalidad de copia implica “…que se entregue al interesado una reproducción auténtica e inteligible de todos esos datos”, y, asimismo “Este derecho incluye el de obtener copia de extractos de documentos, o incluso de documentos enteros, o de extractos de bases de datos, que contengan, entre otros, dichos datos, si la entrega de tal copia es indispensable para permitir al interesado ejercer efectivamente los derechos que le confiere ese Reglamento. Debe subrayarse asimismo la necesidad de que se tengan en cuenta, a este respecto, los derechos y libertades de los terceros”, conllevando, esto último, que deba examinarse cada caso. Todo lo anterior conduce a apreciar que la TGSS incumplió su obligación de responder en plazo a la solicitud de acceso presentada el 19/05/
19. Ahora bien, durante la tramitación del procedimiento, la TGSS ha presentado abundante documentación procedimiento —oficios, diligencias de embargo y de levantamiento, acuses de Correos, certificaciones DEHÚ y correos electrónicos remitidos al reclamante en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/15 octubre de 2025— a efectos de acreditar que, aunque de manera extemporánea, la solicitud de derecho de acceso de la parte reclamante fue atendida. Procede, por tanto, analizar si la documentación remitida a la parte reclamante puede entenderse como una respuesta a la solicitud del derecho de acceso en los términos exigidos por la normativa vigente. Las Directrices 01/2022 sobre los derechos de los interesados — Derecho de acceso del Comité Europeo de Protección de Datos establecen que el derecho de acceso incluye tres componentes diferentes: (i) confirmación de si se tratan o no datos sobre la persona; (ii) acceso a estos datos personales; y (iii) acceso a la información sobre el tratamiento, como los fines, las categorías de datos y los destinatarios, la duración del tratamiento, los derechos de los interesados y las garantías adecuadas en caso de transferencias de terceros países. Así, para entender que una solicitud de acceso ha sido atendida correctamente, habrá de analizarse si contiene los tres elementos anteriores. En el presente caso, de la diversa documentación obrante en el expediente, se observa que la parte reclamada facilitó copia de la práctica totalidad de las actuaciones ejecutivas vinculadas a la deuda que este sostenía, así como al procedimiento de apremio del que era interesado. Así, podría entenderse que la parte reclamada confirmó el tratamiento de los datos personales de la parte reclamante, así como que decidió facilitar el acceso a los datos mediante el acceso a la copia íntegra de todos los documentos administrativos (contuvieran o no datos personales). No obstante, no se observa que en ninguno de los documentos facilitados a la parte reclamante se remitiera el tercero de los elementos que conforman el derecho de acceso, esto es, el acceso a la información sobre el tratamiento, a la información contenida en los artículos 15.1 a) a h) y 15.2 del RGPD. La única referencia existente sobre esta materia en los escritos remitidos a esta Agencia se encuentra en una respuesta de la TGSS a la AEPD de 17/11/2025: “Para conocer toda la información prevista en el antedicho artículo respecto de los tratamientos responsabilidad de esta TGSS el interesado ha de acudir al Registro de Actividades de Tratamiento publicado en el apartado “Seguridad Social – Protección de datos” de la Sede Electrónica de la Seguridad Social (SEDESS) a través del siguiente enlace: (…)” A este respecto, las Directrices 01/2022 recuerdan que el derecho de acceso exige atender la información establecida en el artículo 15.1 a) a h) y 15.2 del RGPD mediante una respuesta individualizada sobre el tratamiento concreto de los datos personales del interesado. La publicación de información general constituye una medida de transparencia, pero no satisface las obligaciones derivadas de un ejercicio del derecho de acceso (el subrayado es de la AEPD): “
20. Además del acceso a los propios datos personales, el responsable del tratamiento debe facilitar información sobre el tratamiento y sobre los derechos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/15 de los interesados de conformidad con el artículo 15, apartado 1, letras a) a h), y el artículo 15, apartado 2, del RGPD. La mayor parte de la información sobre esos puntos específicos ya se recoge, al menos en forma general, en el registro del responsable del tratamiento de las actividades de tratamiento a que se refiere el artículo 30 del RGPD o en su declaración de confidencialidad elaborada de conformidad con los artículos 12 a 14 del RGPD. Por lo tanto, podría ser útil, como primer paso, consultar las «Directrices sobre la transparencia en virtud del Reglamento (UE) 2016/679»67 del Grupo de Trabajo del Artículo 29 en relación con el contenido de la información que debe facilitarse en virtud de los artículos 13 y 14 del RGPD.
21. A fin de cumplir lo dispuesto en el artículo 15, apartado 1, letras a) a h), y en el artículo 15, apartado 2, los responsables del tratamiento podrán utilizar cuidadosamente módulos de texto de su declaración de confidencialidad siempre que se aseguren de que están actualizados y son precisos en relación con la solicitud del interesado. Antes o al principio del tratamiento de los datos, a menudo no puede facilitarse alguna información, como la identificación de destinatarios específicos o la duración específica del tratamiento de datos. Parte de la información, como, por ejemplo, el derecho a presentar una reclamación ante una autoridad de control [véase el artículo 15, apartado 1, letra f)], no cambia en función de la persona que presenta la solicitud de acceso. Por lo tanto, puede comunicarse en términos generales, como también se hace en la declaración de confidencialidad. Otros tipos de información, como la relativa a los destinatarios, a las categorías y a la fuente de los datos, pueden variar en función de quién realice la solicitud y de cuál sea su alcance. En el contexto de una solicitud de acceso en virtud del artículo 15, es posible que la información sobre el tratamiento de que disponga el responsable del tratamiento deba actualizarse y adaptarse a las operaciones de tratamiento realmente realizadas en relación con el interesado que presente la solicitud. Así pues, la referencia a la formulación de su política de privacidad no sería suficiente para que el responsable del tratamiento facilite la información exigida por el artículo 15, apartado 1, letras a) a h), y apartado 2, a menos que la información «personalizada y actualizada» sea la misma que la información facilitada al inicio del tratamiento. Al explicar qué información se refiere a la persona solicitante, el responsable del tratamiento podría, en su caso, hacer referencia a determinadas actividades (como «si ha utilizado este servicio...», «si ha pagado por factura»), siempre que sea evidente para los interesados si les afecta”. Por tanto, la remisión de la parte reclamante al RAT, no constituiría en ningún caso, la manera en que el responsable debe facilitar la información prevista en el artículo 15.1 a) a h) y 15.2 del RGPD a los interesados. Así, no consta que ninguno de los escritos facilitados a la parte reclamada durante la tramitación del presente procedimiento incluya de manera específica la información a la que hacen referencia los artículos 15.1 a) a h) y 15.2 del RGPD, esto es, la información relativa a los fines, las categorías de datos, los destinatarios (indicando, en su caso, en qué supuestos para facilitar el cumplimiento de las obligaciones del responsable), así como el resto de los elementos señalados por esos artículos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/15 En consecuencia, cabe concluir que, del examen de la documentación aportada la TGSS durante la instrucción del presente procedimiento, ha quedado acreditado que el acceso facilitado a la parte reclamante resulta incompleto, debido a la ausencia de acceso a la información prevista en el art. 15.1 y 15.2 del RGPD. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por A.A.A. frente a la TESORERÍA GENERAL DE LA SEGURIDAD SOCIAL con CIF.Q2827003A, e instar a la TESORERÍA GENERAL DE LA SEGURIDAD SOCIAL para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita a la parte reclamante certificación en la que se atienda el derecho solicitado o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de una infracción del artículo 83.6 del RGPD, calificada como muy grave a los efectos de prescripción en el artículo 72.1.m) de la LOPDGDD, que se sancionará de acuerdo con el artículo 58.2 del RGPD SEGUNDO: NOTIFICAR la presente resolución a A.A.A. GENERAL DE LA SEGURIDAD SOCIAL. y a la TESORERÍA De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez se haya notificado a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es