1/23 Expediente N.º: EXP202515640 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 6 de agosto de 2025 ante esta Agencia y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: Con fecha 6 de agosto de 2025 tuvo entrada en esta Agencia reclamación presentada por A.A.A. (en adelante, la parte reclamante) contra ILERNA ON LINE, S.L. (en adelante, la parte reclamada) por no haber sido debidamente atendido el derecho de acceso. La parte reclamante indica que ejerció el derecho de acceso ante la parte reclamada, el 23 de junio de 2025, solicitando acceso a todos los datos personales tratados sobre ella y en el contexto de su relación laboral, incluyendo actas, logs de actividad, informes técnicos, trazabilidad de accesos, y contenidos audiovisuales generados con su imagen y voz. La parte reclamante nos informa que la parte reclamada respondió, el 22 de julio de 2025, de modo parcial e incompleto, denegando o excluyendo datos personales relevantes como:
- a)registros de ActivTrak utilizados para emitir un expediente disciplinario en su contra (incluyendo eventos, patrones de uso, logs de productividad y automatismos);
- b)informes técnicos elaborados con sus datos, incluyendo menciones al uso de java.awt.Robot en Eclipse;
- c)capturas de pantalla, archivos CSV y análisis que fueron subidos a ChatGPT sin anonimización, base legal ni contrato de encargado de tratamiento;
- d)grabaciones de clases realizadas mediante Zoom institucional de la empresa reclamada, vinculadas a su cuenta profesional, que siguen accesibles a estudiantes en el campus, y no han sido reconocidas ni incluidas en la relación de contenidos audiovisuales. La parte reclamante aporta, entre otros documentos, - Ejercicio de acceso de la parte reclamante firmada el 21 de junio de 2025, remitida por correo electrónico el 23 de junio de 2025, y dirigida a la parte reclamada solicitando: “1. Copia de mis datos personales que son objeto de tratamiento por ILERNA ONLINE, S.L., incluyendo: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/23 ● Actas de calificación y evaluación de ciclos formativos en los que figure como profesor, (…) u otra función asignada a mi persona. ● Convenios y documentación presentada ante la Conselleria d’Educació de Cataluña en los que figure mi intervención ya sean convenios de prácticas u otra documentación docente. ● Logs, archivos, exportaciones de datos, informes y registros generados en las siguientes herramientas utilizadas por la empresa: ○ ActivTrak, ○ Google WorkSpace, ○ NinjaOne, ○ así como cualquier otra herramienta de análisis de productividad, actividad o control remoto. ● Informe pericial o técnico informático que respalde las acusaciones vertidas en la carta de despido de fecha ***FECHA.1, así como cualquier informe digital, log, auditoría o archivo que haya sido utilizado para elaborar el expediente disciplinario, especialmente si se hace mención a simulación de actividad con java.awt.Robot, clics automáticos, o actividades sospechosas en Eclipse IDE. ● Trazabilidad de accesos, firmas electrónicas, y cualquier metadato o rastro digital generado en procesos como firma de actas o acceso a sistemas docentes/académicos. ● Listado de los contenidos creados para la empresa en los que aparezca físicamente o se utilice mi voz y/o mi imagen. 2. Además, solicito información relativa a: ● Los fines del tratamiento, así como las categorías de datos personales tratados. ● Los destinatarios o categorías de destinatarios a los que se han comunicado mis datos personales, incluidos terceros u organizaciones internacionales tanto presencial como telemáticamente. ● En su caso, las garantías relativas a transferencias internacionales de datos por parte de la empresa y protocolos para evitar este tipo de transferencias si no están permitidas. ● El plazo previsto de conservación de los datos, o de no ser posible, los criterios utilizados para establecerlo. ● La existencia de decisiones automatizadas, incluida elaboración de perfiles, la lógica aplicada, y consecuencias previstas. ● Si mis datos no han sido obtenidos directamente de mí, información sobre su origen. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/23 ● Información sobre mi derecho a solicitar la rectificación, supresión o limitación del tratamiento, o a oponerme al mismo. ● Información sobre mi derecho a presentar una reclamación ante la Agencia Española de Protección de Datos. - Respuesta de la parte reclamada de 22 de julio de 2025, en la que, en síntesis, le indican que, respecto a 1. Actas de calificación y evaluación de ciclos formativos en los que figure como profesor, (…) u otra función asignada. 2. Convenios y documentación presentada ante la Conselleria d’Educació de Cataluña en los que figure mi intervención, incluyendo convenios de prácticas y otros documentos docentes. 3. Logs, archivos, exportaciones de datos, informes y registros generados en las siguientes herramientas: a. ActivTrak b. Google WorkSpace c. NinjaOne d. Así como cualquier otra herramienta de análisis de productividad, control de actividad o control remoto utilizada por la empresa. 4. Informe pericial o técnico informático que respalde las afirmaciones contenidas en la carta de despido fechada el ***FECHA.1, así como cualquier log, archivo, auditoría o documento digital que haya sido empleado en el expediente disciplinario, incluyendo mención a herramientas como java.awt.Robot, clics automatizados o actividad anómala en Eclipse IDE. 5. Trazabilidad de accesos, firmas electrónicas y cualquier metadato o rastro digital relativo a procesos como la firma de actas o el acceso a sistemas académicos. que “(…) No es pertinente aportar los elementos solicitados ya que el derecho de acceso no comprende aquellos datos generados en el desarrollo de una relación contractual laboral ni permite la obtención de copias de documentos concretos para cuya obtención existen otros cauces específicos” Además, en relación con la trazabilidad de los accesos, firmas electrónicas y cualquier metadato o rastro digital relativo a procesos como la firma de actas o el acceso a sistemas académicos, se indica que estos elementos no contienen datos personales. En cuanto a la relación de contenidos digitales creados para la empresa en los que aparezca su imagen, voz o figura, le informan que “(…) No se dispone de contenidos digitales creados para ILERNA donde pueda aparecer su imagen, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/23 voz o figura. Los datos personales no han sido destinados para finalidades de creación de contenidos digitales” “En relación con los elementos o datos solicitados y no aportados, conviene señalar que la Agencia Española de Protección de Datos ha publicado resoluciones en las que aclara que el derecho de acceso incluye los datos de base que son objeto de tratamiento, pero no comprende aquellos generados en el desarrollo de una relación contractual laboral. En la R/00061/2021 se indica que el derecho de acceso consiste en obtener información de los datos personales de base registrados y que, por tanto, la obtención de datos derivados de la relación contractual laboral queda fuera del derecho de acceso configurado en la normativa de protección de datos, todo ello, con independencia de que la normativa sectorial ampare la obtención de dichos datos. El derecho de acceso tampoco permite a una persona obtener copias de documentos concretos para cuya obtención existen otros cauces específicos de acceso o que podrían contener datos de terceros tal y como se menciona en la R/00151/2021. El derecho de acceso no incluye el listado de personas que han consultado los datos del afectado en el entorno de una organización. Por estos motivos no es pertinente aportar algunos de los documentos o elementos que se solicitan en la presente solicitud de acceso.” En relación a la solicitud de información adicional relativa a los tratamientos realizados, le informan: de las finalidades, que no se han realizado transferencias internacionales de datos, de los plazos previstos de conservación de los datos o criterios utilizados para determinarlos, No se han realizado tratamientos que impliquen la toma de decisiones automatizadas ni aquellos que impliquen perfilado o la elaboración de perfiles, La información ha sido facilitada directamente por el titular de los datos. Asimismo, le informan: “Datos: Se conservan copia de los documentos exigibles por Inspección de trabajo, Seguridad Social y Agencia Tributaria y sus datos de contacto por si algún requerimiento de la administración implique contactar con el interesado. En particular, se dispone de los siguientes documentos o registros con datos personales: • Contrato laboral: o Datos identificativos (nombre y apellidos, número de DNI) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/23 o Datos de contacto (dirección postal y correo electrónico) o Nacionalidad. o Nº de afiliación a la Seguridad Social. o Datos laborales (contrato laboral / Categoría laboral). o Salario bruto. • Documentos con datos identificativos básicos generados al inicio de la relación laboral: o Comunicado sobre ActiveTrack o Anexo I al contrato de trabajo sobre titularidad de los derechos sobre las creaciones o Anexo II al contrato de trabajo sobre participación de los trabajadores en campañas publicitarias de Ilerna Online o Contrato del programa Teachers At Home • Documentos con datos identificativos básicos generados durante el desarrollo de la relación laboral: o Registro de formación de prevención de riesgos laborales en Plataforma del proveedor. o Documento de ofrecimiento/reconocimiento de examen vigilancia de la salud. o Documento de asignación de número de la seguridad social. • Datos económicos (datos contables de pagos de nóminas). Además de haber detallado las finalidades y datos personales tratados, atendiendo a la argumentación expuesta sobre que el derecho de acceso no comprende aquellos documentos generados en el desarrollo de una relación contractual laboral, se aporta copia del contrato laboral y documentos anexos al contrato generados al inicio de la relación laboral. 2. Destinatarios o categorías de destinatarios a los que se han comunicado mis datos, incluyendo terceros o entidades internacionales. Aquellas cesiones necesarias para el mantenimiento de la relación laboral: o Administraciones Públicas o Entidad bancaria para el pago de nóminas. o Empresas de prevención de riesgos laborales. o Acceso a datos por proveedores para la prestación de servicios auxiliares: Informáticos y jurídicos. o No se han realizado transferencias internacionales de datos. Encargados de tratamiento: o (…) SEGUNDO: De conformidad con el artículo 65.4 de la LOPDGDD, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/23 La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 30 de septiembre de 2025 como consta en el acuse de recibo que obra en el expediente. Con fecha 27 de octubre de 2025 se recibe en esta Agencia escrito de respuesta indicando, en síntesis, que: “Se ha recibido la solicitud del ejercicio de derechos por parte del reclamante a fecha 23/06/2025 y esta fue respondida en tiempo y forma, en fecha 22/07/2025. En esta respuesta se ha facilitado toda la información que podía ser solicitada acorde al derecho de acceso de la normativa de protección de datos. (…) Se ha dado respuesta a la solicitud de derechos de la parte reclamante. Se adjunta la acreditación de la respuesta facilitada como ANEXO I, el contenido de la respuesta del derecho de acceso como ANEXO II y la documentación facilitada ANEXO III. (…) Los datos personales se encuentran actualmente bloqueados, con excepción de aquellos que son estrictamente pertinentes para los procesos judiciales en curso. Dado que existen varios juicios y procedimientos legales abiertos relacionados con la parte reclamante, únicamente se ha procedido al bloqueo de la información que no resulta necesaria para el desarrollo de dichos procesos, garantizando así el cumplimiento de las obligaciones legales y la protección de los datos conforme a la normativa vigente.” (…) En este supuesto es extremadamente importante conocer las causas que han motivado la incidencia que ha originado la reclamación. Es muy relevante pues la reclamación viene originada porque la parte reclamante ha sido despedida por la parte reclamada y se trata de un despido disciplinario por incumplimientos laborales muy graves. (…) La persona reclamante pertenecía al colectivo de "Teachers at home", profesores que trabajan a distancia y se ha detectado, encontrado y se disponen de abundantes pruebas que demuestran ha empleado técnicas para simular trabajo a distancia. Se ha detectado el uso de automatismos (scripts) para simular actividad, simulando largos periodos de aparente trabajo en documentos cuando realmente no había interacción humana real.” TERCERO: De acuerdo con los artículos 64.1 y 65.5 de la LOPDGDD, la decisión sobre la admisión o inadmisión a trámite de la reclamación, deberá notificarse a la parte reclamante en el plazo de tres meses. Si transcurrido este plazo no se produjera dicha notificación, cuando la reclamación verse sobre la falta de atención de una solicitud de ejercicio de derechos, el procedimiento se considerará iniciado a partir de la fecha en que se cumplan tres meses desde que la reclamación tuvo entrada en la Agencia. Según lo expuesto, y teniendo en cuenta que la reclamación se presentó en esta Agencia en fecha 6 de agosto de 2025, el procedimiento de atención de solicitud de ejercicio de derechos se considera iniciado al haber transcurrido tres meses desde que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/23 la misma tuvo entrada en la AEPD. Con fecha 6 de noviembre de 2025, se produjo la admisión a trámite de la reclamación presentada. Mediante acuerdo de la Presidencia de la Agencia Española de Protección de Datos de fecha 14 de noviembre de 2025, se concedió a la parte reclamada trámite de audiencia, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes. La parte reclamada presentó un escrito ante esta Agencia con fecha 27 de noviembre de 2025 en el que señala, en síntesis, que: “En este supuesto es extremadamente importante conocer las causas que han motivado la incidencia que ha originado la reclamación. Es muy relevante pues la reclamación viene originada porque la parte reclamante ha sido despedida por la parte reclamada y se trata de un despido disciplinario por incumplimientos laborales muy graves. (…) La reclamación en el supuesto que nos atañe no se trata de un caso de incumplimiento normativo si no de un conflicto personal, con un doble propósito, el de hacer daño a la parte reclamada y el de aprovechar el ejercicio del derecho de acceso para solicitar información que no tiene nada que ver con el tratamiento de sus datos personales, no amparada por el derecho de acceso y/o que debería obtenerse en todo caso por las vías pertinentes. Por eso la parte reclamante alega que el derecho se ha respondido de forma incompleta o parcial al no haber recibido toda la información solicitaba, pero en realidad recibió toda la información personal solicitada a excepción de aquella no pertinente de facilitar a través de una solicitud de acceso, pues la parte reclamante abusó en la petición del acceso solicitando información que no se debe facilitar/solicitar por dicha vía. (…) Que, en la búsqueda de contenidos audiovisuales, una de las muchas peticiones recibidas, no se pudo encontrar nada en relación con la parte reclamante y así se le indicó en la respuesta del derecho, facilitándole el resto de información posible que había solicitado. Pero tras una posterior búsqueda, dado que hablamos de miles de videos, se han podido encontrar contenidos donde aparece. Por ello, se ha procedido a ampliar la respuesta del derecho de acceso que se le facilitó a la parte reclamante y en esta se le ha indicado que finalmente si hemos podido encontrar contenidos audiovisuales donde aparece, solicitando disculpas al no haberse encontrado nada inicialmente dada la cantidad de información solicitada y todos los contenidos que debían revisarse. También en esta ampliación del derecho se indica que no es posible facilitar estos contenidos ya que: 1) Es material de ILERNA, todos los videos solicitados son titularidad de ILERNA pues la parte reclamante ha firmado un contrato en el que reconocen que la titularidad de todas las creaciones susceptibles de protección por derechos de propiedad intelectual o industrial, que la persona trabajadora pudiera desarrollar o haber desarrollado de manera individual o junto con otras personas, dentro del contexto de la relación laboral existente entre las Partes y durante la vigencia de esta, son titularidad exclusiva de ILERNA ONLINE. Se aporta ANEXO I con el contrato firmado donde se regula la titularidad de las creaciones a favor de ILERNA. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/23 2) No aportan ningún tipo de información personal adicional ya que solamente tienen su imagen y su voz hablando de contenido formativo titularidad de ILERNA. 3) Estos videos contienen gran cantidad de datos personales de terceros y no es técnicamente posible anonimizar esta información, hablamos de gran cantidad de videos que además llevan incrustados los chats de la sesión o tutoría, chats que contienen nombre/apellidos de todos los asistentes como también todo lo que se ha hablado por el chat. Incluso se ha aportado una captura de pantalla para que quede constancia que estos contenidos audiovisuales no aportan ningún tipo de información nueva y que no procede facilitarlos, especialmente cuando hay datos de terceros que no se pueden eliminar. Aun así, también se le indica que ILERNA queda a su disposición por si quiere visualizar o acceder a estos contenidos y que si se es solicitado se buscará alguna manera viable para mostrarlos, como por ejemplo presencialmente o por Teams. Para ofrecer una máxima transparencia y que no quede duda alguna que la respuesta facilitada fue completa por la parte reclamada y que cualquier pretensión no satisfecha era resultado de que realmente no era apta de satisfacer a través de un derecho de acceso, bien porque no tiene nada que ver con datos personales o no tiene relevancia alguna con estos, o eran cuestiones puramente laborales o que tienen un cauce especifico de obtención, a continuación indicamos porque se denegaron ciertas peticiones, como también todo lo que se facilitó, dividendo las solicitudes de información en seis bloques: (…) 1. Actas de calificación y evaluación de ciclos formativos en los que figure como profesor, (…) u otra función asignada 2. Convenios y documentación presentada ante la “Conselleria d’Educació de Cataluña” en los que figure mi intervención, incluyendo convenios de prácticas y otros documentos docentes. Tanto en la solicitud primera como en la segunda no fue pertinente facilitar estos elementos solicitados ya que el derecho de acceso no comprende aquellos datos generados en el desarrollo de una relación contractual laboral ni permite la obtención de copias de documentos concretos para cuya obtención existen otros cauces específicos. También es determinante que los documentos solicitados no aportan ningún tipo de información personal relevante o adicional ni es pertinente que se soliciten a través de un derecho de acceso tal y como se expone más adelante, únicamente contienen sus datos personales identificativos básicos y poco más. Además, en este caso estos documentos en su mayoría contienen datos de terceros. 3. Logs, archivos, exportaciones de datos, informes y registros generados en las siguientes herramientas: a. ActivTrak b. Google WorkSpace c. NinjaOne d. Así como cualquier otra herramienta de análisis de productividad, control de actividad o control remoto utilizada por la empresa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/23 Tampoco se aportaron estos datos solicitados puesto que el derecho de acceso no comprende aquellos datos generados en el desarrollo de una relación contractual laboral ni permite la obtención de copias de documentos concretos para cuya obtención existen otros cauces específicos, específicamente estos elementos que son objeto de juicio laboral y prueba que sustenta el despido disciplinario y que no contienen dato personal alguno de la parte reclamante. Además, es pertinente aclarar que Ninja One es una herramienta para soporte en remoto, en ningún caso se hace un monitoreo y que el contenido de Google WorkSpace se limita únicamente al ámbito laboral sin posibilidad de utilizarse para fines propios y/o de contener datos personales propios. 4. Informe pericial o técnico informático que respalde las afirmaciones contenidas en la carta de despido fechada el ***FECHA.1, así como cualquier log, archivo, auditoría o documento digital que haya sido empleado en el expediente disciplinario, incluyendo mención a herramientas como java.awt.Robot, clics automatizados o actividad anómala en Eclipse IDE. Igual que con los elementos anteriores, no es pertinente facilitar los elementos solicitados ya que el derecho de acceso no comprende aquellos datos generados en el desarrollo de una relación contractual laboral ni permite la obtención de copias de documentos concretos para cuya obtención existen otros cauces específicos. Además, estos no aportan ningún tipo de información personal relevante o adicional, solamente contienen datos generados durante el desarrollo de una relación contractual laboral que disponen de un cauce específico para su obtención distinto del derecho de acceso. En esta solicitud se puede apreciar claramente el descaro con el que se abusa del derecho de acceso solicitando un informe pericial que respalde el despido disciplinario. 5. Trazabilidad de accesos, firmas electrónicas y cualquier metadato o rastro digital relativo a procesos como la firma de actas o el acceso a sistemas académicos. Otra vez más se puede comprobar el abuso en la solicitud puesto que ya solicita datos que no dejan duda ni debate alguno sobre si estos se han de facilitar, ya que son documentos e información sin datos personales y que en todo caso son relativos a la relación laboral y al conflicto judicial que se está llevando a cabo. Tampoco se le facilitaron los elementos solicitados puesto que el derecho de acceso no comprende aquellos datos generados en el desarrollo de una relación contractual laboral ni permite la obtención de copias de documentos concretos para cuya obtención existen otros cauces específicos, además que no contienen datos personales o no aportan ningún tipo de información personal relevante o adicional. 6. Relación de contenidos digitales creados para la empresa en los que aparezca mi imagen, voz o figura. En relación con esta solicitud, nos remitimos a lo indicado en la alegación segunda, pero, en definitiva, estos contenidos no han podido ser facilitados por los motivos expuestos pero esta parte está dispuesta a facilitarlos por otra vía si es pretensión de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/23 la parte reclamante, en cuyo caso se buscará un sistema que permita acceder a estos contenidos sin vulnerar la privacidad de terceros, pero actualmente no se puede facilitar mediante sistemas de correo o mensajería por todo lo expuesto. (…) Como se puede comprobar, todo documento que realmente tenía dato personal y era apto de ser facilitado se le entregó con la respuesta del derecho acceso, indicando además porque se denegaban algunas peticiones y por tanto, se atendió el derecho en tiempo, forma y de manera completa. Es claro ver que la pretensión del derecho no era realmente conocer sobre sus datos personales, pues directamente la mayoría de lo solicitado eran documentos sin datos personales o que a lo sumo tenían su nombre y apellidos como dato identificativo, muchos de ellos propios de la relación laboral e incluso algunos elementos que ni existen o que son datos técnicos no personales que sustentan su despido y que serán tratados en sede judicial. La parte reclamada indica que “Tal y como se ha mencionado a lo largo de este escrito, a raíz de esta reclamación, esta parte, asesorada por un despacho de abogados especialistas en protección de datos y el delegado de protección de datos, ha revisado todas las actuaciones y protocolos concernientes a este supuesto como también a las peticiones por la parte reclamante y las respuestas facilitadas. Se ha verificado que las actuaciones han seguido los protocolos y políticas y que estas son acordes a la normativa de protección de datos, como también que el derecho de acceso se ha atendido correctamente y que la información no facilitada no era apta para responder en la solicitud del derecho de acceso que nos atañe.” “(…) en el anterior escrito ya intentamos aclarar que en realidad no hay ningún tipo de incumplimiento o mala actuación por la parte reclamada, sino que la parte reclamante esta actuación por venganza y con motivo de su despido” añade, en síntesis, una serie de actuaciones llevadas a cabo por la parte reclamante que, considera, infringen la normativa de protección de datos. CUARTO: Examinado el escrito presentado por la parte reclamada, se trasladó a la parte reclamante, para que, en el plazo de diez días hábiles formulase las alegaciones que considerase oportunas. La parte reclamante presentó un escrito ante esta Agencia con fecha 1 de diciembre de 2025 indicando que la parte reclamada dedica sus alegaciones a describir un supuesto conflicto laboral. “El ejercicio de un derecho fundamental como es el derecho de acceso no puede condicionarse ni interpretarse a la luz de disputas laborales. La AEPD no es el foro para resolver controversias de despido ni para valorar imputaciones subjetivas. La introducción de estos elementos constituye un intento evidente de desviar la atención y de justificar una respuesta deficiente al derecho ejercido. (…) La empresa reconoce expresamente que en la respuesta inicial al derecho de acceso afirmó que no existía ningún contenido audiovisual donde apareciera mi imagen o voz (Anexo 2, (…)). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/23 Sin embargo, posteriormente —a raíz de la apertura del procedimiento ante esta Agencia— afirma haber encontrado “miles de vídeos” entre los cuales sí aparezco (Anexo 2, (…)). La parte reclamante señala que “La titularidad del soporte (el vídeo) no afecta al derecho del interesado a obtener acceso a sus propios datos personales contenidos en ese soporte. El considerando 63 del RGPD es claro: los derechos de propiedad intelectual no pueden utilizarse para negar el acceso a los datos personales del interesado. Por tanto, no cabe que ILERNA ONLINE utilice la titularidad intelectual de un vídeo como argumento para impedir o limitar el acceso a los datos personales en él contenidos.” “(…) Ante la evidencia de que la empresa negó inicialmente datos que sí existían, y considerando que continúa sosteniendo que múltiples documentos “no contienen datos personales relevantes” cuando sí contienen información vinculada al reclamante (actividad, trazabilidad, metadatos, logs, registros de acceso, etc.), se solicita nuevamente a esta Agencia que: • Requiera a ILERNA ONLINE S.L. a aportar una respuesta completa, verificable y detallada a todos los puntos del derecho de acceso originalmente planteado. (…)” QUINTO: Otorgada audiencia a la parte reclamada, ésta presentó sus alegaciones con fecha 4 de diciembre de 2025 indicando, en síntesis, que: “(…) es relevante tener un contexto de la situación, porque el objetivo de la solicitud es principalmente obtener documentos sin datos personales, con datos que no aportan ningún tipo de información nueva o relevante o que tienen cauces específicos de obtención. Es así porque todo cobra sentido al conocer el suceso que precede al derecho solicitado, que es el despido disciplinario de la parte reclamante por haber simulado teletrabajo a distancia mediante código, scripts y técnicas equivalentes, dado que las pretensiones de solicitud de datos no personales o documentos son en mayoría relativos al proceso judicial en marcha por el despido disciplinario. La parte reclamada añade que, en relación con los vídeos, “(…) La tarea de búsqueda era tremendamente compleja por dicho motivo y por eso no se encontró nada en un primer escenario, porque la base de datos de contenidos audiovisuales y cursos de ILERNA es inmensa y hablamos de miles de videos. Los supuestos contenidos audiovisuales se tuvieron que buscar manualmente y de forma minuciosa entre miles y miles de videos, uno por uno, sin querer indicar en ningún caso que se tenían que buscar miles de videos de la parte reclamante.” (…) Sobre el resto de las alegaciones, esta parte mantiene los argumentos previamente expuestos ya que ha quedado más que probado que la parte reclamante ha actuado de forma proactiva, colaborando y respondiendo a todo requerimiento y/o derecho solicitado y que, además, este se respondió en tiempo, forma y de manera completa, que es la cuestión principal de todo este procedimiento. Pues como ya se argumentó en el anterior escrito de alegaciones, los contenidos audiovisuales no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/23 encontrados inicialmente dada la cantidad de archivos en los que se tenía que hacer la búsqueda de estos, fueron finalmente localizados y ello ya ha sido indicado a la parte reclamante en una ampliación en la respuesta de acceso. Y en esta respuesta además se explica que estos no aportan ningún tipo de dato personal relevante de la parte de reclamante. Es más, se indica que estos contienen principalmente datos de terceros (todos los alumnos de dicha clase) y que técnicamente es inviable anonimizarlos. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, siguiendo el trámite previsto en el artículo 65.4 de la LOPDGDD, con carácter previo a la admisión a trámite de la reclamación de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, que da lugar al presente procedimiento, se dio traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/23 El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 6 de noviembre de 2025, a los efectos previstos en su artículo 64.1 y 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. Dicha admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento. III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/23 La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. IV Derecho de acceso Conforme a lo establecido en el artículo 15 del RGPD y artículo 13 de la LOPDGDD, "el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales". Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los "datos o actividades de tratamiento a los que se refiere la solicitud". El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo 15 del RGPD). El ejercicio de este derecho se podrá considerar repetitivo si se ejerce en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos personales de que se trate, los destinatarios o categorías de destinatarios a los que podrán comunicarse los datos, el plazo previsto o criterios de conservación, la posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la autoridad de control, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular), la existencia de decisiones automatizadas, incluida la elaboración de perfiles, e información sobre transferencias de datos personales a un tercer país o a una organización internacional. La posibilidad de obtener copia de los datos personales objeto de tratamiento no afectará negativamente a los derechos y libertades de otros. V Conclusión El procedimiento de derechos se instruye como consecuencia de la falta de atención de alguno de los derechos regulados en la normativa de protección de datos. Por ello, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/23 en el presente caso sólo se analizarán y valorarán los hechos relativos al ejercicio de estos derechos, quedando fuera el resto de cuestiones planteadas por las partes. En el presente supuesto, del examen de la documentación aportada, ha quedado acreditado que la parte reclamante solicitó a la parte reclamada acceso a sus datos personales mediante correo electrónico el 23 de junio 2025. El 22 de julio de 2025 la parte reclamada remitió contestación a la parte reclamada por la que, en síntesis, se deniega el acceso a una serie de datos y, por otra parte, se facilita, de acuerdo con la parte reclamada, el acceso a otra serie de datos (contenidos digitales). No obstante, conviene analizar si esa respuesta, tanto en la parte en que ha sido, de acuerdo con la parte reclamada, facilitado el acceso como en la que este se ha denegado, responde a la normativa en materia de protección de datos y, en particular, a lo por esta prevista en lo que se refiere al ejercicio del derecho de acceso. En primer lugar, en lo que se refiere al supuesto acceso facilitado a determinados datos debe partirse de la base de que el derecho de acceso, de acuerdo con Directrices 01/2022 sobre los derechos de los interesados —Derecho de acceso, del Comité Europeo de Protección de Datos, abarca tres elementos: la confirmación de si se están tratando o no sé están tratando los datos personales (
- ii)el acceso a los datos en sí mismos (iii) facilitar la información relativa al tratamiento de los datos prevista en los artículos 15.1
- a)a h), así como 15.2 del RGPD. En relación con lo anterior, en la contestación de la parte reclamada a la solicitud efectuada por la parte reclamante se indica que se han recopilado un total de 55 archivos en los que aparece su imagen, voz o figura. A continuación, la parte reclamada se limita a facilitar el listado de esos ficheros, sin que se facilite el acceso a los propios datos. Por otra parte, ha de mencionarse que, así como se facilita el listado en cuestión se hace referencia a que “otros” contenidos digitales no pueden ser entregados, sin que en la denegación se especifique cuáles ni se motive adecuadamente la negativa. Las Directrices subrayan que el “acceso a los datos personales” debe entenderse como acceso a los datos concretos que se están tratando, y no puede sustituirse por descripciones generales, listados abstractos o afirmaciones genéricas sobre el tratamiento. Esta idea se desarrolla en el apartado 4.2 (“Los datos personales a los que se refiere el derecho”), insistiendo en que el responsable no debe interpretar de forma restrictiva el concepto de datos personales accesibles en el artículo 15.1 RGPD. A este respecto en su contestación de 27 de noviembre de 2025 la parte reclamada reconoce que dichos contenidos digitales contienen la imagen y la voz de la parte reclamante y que “no es posible facilitarlos debido a la gran cantidad de videos y su peso y duración” y que “también puede contener en algunos casos datos personales de terceros que son complejos de anonimizar”. Sobre las argumentaciones anteriores, han de hacerse algunas precisiones: (
- i)El RGPD permite ciertas limitaciones del derecho de acceso. No hay otras exenciones o excepciones. El derecho de acceso no está sujeto a ninguna reserva C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/23 general de proporcionalidad con respecto a los esfuerzos que el responsable del tratamiento debe realizar para satisfacer la solicitud del interesado. Por tanto, en relación con la gran cantidad de datos objeto de tratamiento, cabe recordar que, en principio, el derecho de acceso abarca la totalidad de los datos que sean objeto de tratamiento, sin que pueda aducirse por el responsable la dificultad para su suministro. Cuando se trate una gran cantidad de datos, el responsable del tratamiento ha de establecer rutinas y mecanismos adaptados a la complejidad del tratamiento existiendo la posibilidad, en determinados supuestos de facilitar el acceso mediante un enfoque por niveles, siempre que esto no suponga, en la práctica una obstaculización del derecho de acceso ejercitado. A este respecto las mencionadas directrices sobre el derecho de acceso señalan que: “143. Independientemente de los medios utilizados para facilitar el acceso, puede existir conflicto entre la cantidad de información que el responsable del tratamiento necesita proporcionar a los interesados y el requisito de que sea concisa. Una forma de lograr ambos objetivos, y un ejemplo de medida oportuna para determinados responsables del tratamiento, cuando deba facilitarse una gran cantidad de datos, es utilizar un enfoque por niveles. (…) 144. Un enfoque por niveles en relación con el derecho de acceso significa que un responsable del tratamiento, en determinadas circunstancias, puede facilitar los datos personales y la información complementaria requerida en virtud del artículo 15 en diferentes niveles. El primer nivel debe incluir información sobre el tratamiento y los derechos del interesado de conformidad con el artículo 15, apartado 1, letras
- a)a h), y el artículo 15, apartado 2, así como una primera parte de los datos personales tratados. En un segundo nivel, deben facilitarse más datos personales. 145. A la hora de decidir qué información debe facilitarse en los distintos niveles, el responsable del tratamiento debe considerar qué información consideraría más relevante el interesado en general (…)” (
- ii)En relación con la forma de facilitar el acceso y la entrega de copia de los datos personales, el apartado 2.2.2.1 de las Directrices recuerda que el artículo 15.3 del RGPD obliga al responsable del tratamiento a facilitar al interesado una copia gratuita de los datos personales objeto de tratamiento cuando este ejerce su derecho de acceso. En este sentido, las Directrices precisan que dicha copia se refiere a los datos personales tratados, sin que exista necesariamente la obligación de facilitar la reproducción de los documentos originales en los que dichos datos figuren. Asimismo, indican que la entrega de la copia no constituye un derecho adicional del interesado, sino la modalidad principal de materialización del derecho de acceso, al garantizar que el interesado reciba información completa sobre los datos personales que le conciernen y no un mero resumen. En consecuencia, la copia debe permitir al interesado comprender y verificar la licitud del tratamiento, en coherencia con el contenido del artículo 15.1 del RGPD, debiendo interpretarse el concepto de “copia” en un sentido amplio siempre que permita al interesado conservar la información. Por su parte, el apartado 5.2.2 de las Directrices señala que la forma ordinaria de atender el derecho de acceso consiste en facilitar una copia de los datos personales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/23 junto con la información prevista en el artículo 15 del RGPD. No obstante, el acceso puede instrumentarse también mediante otras modalidades —como la consulta presencial de expedientes, el acceso remoto o incluso la información oral— cuando resulte adecuado al caso, siempre que se garantice que el interesado obtiene un acceso completo y efectivo a los datos personales solicitados. La entrega de la información puede realizarse por distintos canales, como correo electrónico, correo postal o sistemas de autoservicio, debiendo adoptarse en todo caso las medidas técnicas y organizativas adecuadas. Por tanto, contrariamente a lo señalado por la parte reclamada, se podría llegar a facilitar el acceso a estos datos de manera alternativa a la copia completa del vídeo en cuestión. (iii) Se subraya que si bien el artículo 15.4 del RGPD determina que “El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros”, las Directrices 01/2022 recuerdan que: “172 La preocupación general de que los derechos y libertades de terceros puedan verse afectados por el cumplimiento de la solicitud de acceso no basta para invocar el artículo 15, apartado 4, del RGPD. El responsable del tratamiento debe poder demostrar que, en la situación concreta, los derechos o libertades de terceros se verían afectados de hecho” Es decir, aun cuando el derecho a la protección de datos no sea un derecho absoluto, será necesario hacer una adecuada ponderación con los demás derechos afectados, de manera que pueda ser posible encontrar una solución de conciliación entre ambos, como, por ejemplo: proceder a la descripción de la escena o la adopción de medidas tendentes a anonimizar los datos de terceros. Así, en el presente caso, la argumentación de la parte reclamada adolece de una falta de motivación suficiente en este sentido. Por tanto, no entenderse que, con un mero listado, se haya facilitado el acceso a los datos correspondientes a contenidos digitales, como asegura haber hecho la parte reclamada, ni siquiera parcialmente. En segundo lugar, continuando con el análisis de la parte de la contestación de la parte reclamada de 22 de julio de 2025 en la que, supuestamente, se facilitaba el acceso solicitado, esta contiene un apartado relativo “a la información adicional relativa a los tratamientos realizados”. En relación con dicho apartado, conviene precisarse en primer término que se hace una referencia genérica a los datos objeto de tratamiento, pero sin su debida identificación. Esto es, se habla de “datos identificativos” o “datos contables de pagos” o “datos de contacto”, sin especificar los datos concretos objeto de tratamiento de la parte reclamante. Se reitera que el acceso a los datos, esto es, el segundo elemento del derecho de acceso, no puede entenderse cumplido con una merca descripción general de los datos objeto de tratamiento, sino que, al contrario, requiere el acceso concreto a los datos en sí. De esta manera la referencia, por ejemplo, al nombre y apellidos de la parte reclamante, habrá de sustituirse por la precisión del nombre y apellidos de este. Tampoco se podrá hacer referencia, por ejemplo, a “la dirección de correo electrónico” sino que habrá de precisarse qué dirección de correo electrónico concreta de la parte reclamante es objeto de tratamiento. Sobra decir, además, que el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/23 derecho de acceso incluye el acceso a los datos bloqueados conforme al art. 32 de la LOPDGDD. Por otra parte, en lo que se refiere a la información sobre el tratamiento de los datos, las Directrices 01/2022 recuerdan que el derecho de acceso exige atender la información establecida en el artículo 15.1
- a)a
- h)y 15.2 del RGPD mediante una respuesta individualizada sobre el tratamiento concreto de los datos personales del interesado. Las referencias generales no satisfacen las obligaciones derivadas de un ejercicio del derecho de acceso. “112. Además del acceso a los propios datos personales, el responsable del tratamiento debe facilitar información sobre el tratamiento y sobre los derechos de los interesados de conformidad con el artículo 15, apartado 1, letras
- a)a h), y el artículo 15, apartado 2, del RGPD. La mayor parte de la información sobre esos puntos específicos ya se recoge, al menos en forma general, en el registro del responsable del tratamiento de las actividades de tratamiento a que se refiere el artículo 30 del RGPD o en su declaración de confidencialidad elaborada de conformidad con los artículos 12 a 14 del RGPD. Por lo tanto, podría ser útil, como primer paso, consultar las «Directrices sobre la transparencia en virtud del Reglamento (UE) 2016/679»67 del Grupo de Trabajo del Artículo 29 en relación con el contenido de la información que debe facilitarse en virtud de los artículos 13 y 14 del RGPD. En la respuesta de 22 de julio de 2025 de la parte reclamada, sin embargo, se hacen referencias generales a los destinatarios o categorías de destinarios, sin especificar a qué destinatarios concretos (por ejemplo, a qué administraciones públicas) se han remitido los datos de la parte reclamante. En consecuencia, se observan carencias también en este sentido. Una vez analizadas las carencias de la respuesta facilitada el 22 de julio de 2025 respecto a los aspectos sobre los que supuestamente había sido facilitado el derecho de acceso, será objeto de análisis la parte de la respuesta por la que se deniega el acceso a otra serie de datos. A este respecto, en síntesis, la argumentación general de la parte reclamada para no facilitar el acceso a actas de calificación y evaluación de ciclos formativos, convenios y documentación presentada ante la Conselleria de Educació, logs, archivos, exportaciones de datos, informes y registros, firmas electrónicas y otros metadatos es la siguiente: (
- i)que el derecho de acceso no comprende datos generados en el desarrollo de una relación contractual ni laboral, que tienen un cauce específico distinto al derecho de acceso (
- ii)que los logs, metadatos y otros supuestos “datos técnicos” “no tienen información personal” o “datos personales” o estos no son “relevantes” (iii) que el derecho de acceso no permite el acceso a copias de documentos concretos. Asimismo, durante la tramitación del presente procedimiento de derechos se han facilitado otra serie de argumentos a esta Agencia: (
- iv)la importancia de conocer las causas que han llevado al reclamante a solicitar su derecho de acceso (
- v)el hecho de que la solicitud formulado es “abusiva” (
- vi)la afectación de derechos de terceros y la (vii) la afectación de datos de terceros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/23 Así, en relación con los aspectos anteriores, debe precisarse lo siguiente: (
- i)El derecho de acceso abarca la totalidad de los datos de la parte reclamante que sean objeto de tratamiento (incluyendo aquellos que se encuentren bloqueados), también aquellos que puedan generarse en el ámbito de una relación laboral. Todo ello con independencia de que puedan existir limitaciones o restricciones para facilitar el acceso del artículo 23 RGPD o porque la solicitud pueda tener la consideración de excesiva o manifiestamente infundada. Así, el alcance del derecho de acceso se encuentra vinculado al propio concepto de dato personal, definido en el artículo 4.1 del RGPD, que debe entenderse, de acuerdo con el TJUE en un sentido amplio. A este respecto las Directrices ya mencionadas sostienen: “94. (…) el alcance del derecho de acceso viene determinado en primer lugar por el alcance del concepto de datos personales, definido en el artículo 4, apartado 1, del RGPD46. El concepto de datos personales ya ha sido objeto de varios documentos47 del Grupo de Trabajo del Artículo 2948 y ha sido interpretado por el TJUE, también en el contexto del derecho de acceso con arreglo al artículo 12 de la Directiva 95/46/CE. El Grupo de Trabajo del Artículo 29 consideró que la definición de datos personales de la Directiva 95/46/CE «refleja la intención del legislador europeo de un concepto amplio de “datos personales”». En el RGPD, la definición sigue refiriéndose a «toda información sobre una persona física identificada o identificable». Aparte de los datos personales básicos, como el nombre y la dirección, el número de teléfono, etc., esta definición puede incluir una amplia variedad ilimitada de datos, incluidos los resultados médicos, el historial de compras, los indicadores de solvencia, el contenido de las comunicaciones, etc. A la luz del amplio alcance de la definición de datos personales, una evaluación restrictiva de dicha definición por parte del responsable del tratamiento daría lugar a una clasificación errónea de los datos personales y, en última instancia, a una violación del derecho de acceso. Esos datos abarcan no solo los datos básicos facilitados de manera activa por el interesado, sino también aquellos datos inferidos o deducidos: “97. Así pues, sin perjuicio de los hechos concretos del caso, al evaluar una solicitud de acceso específica, los responsables del tratamiento deben facilitar, entre otros, los siguientes tipos de datos, sin perjuicio de lo dispuesto en el artículo 15, apartado 4, del RGPD: categorías especiales de datos personales con arreglo al artículo 9 del RGPD; datos personales relativos a condenas e infracciones penales con arreglo al artículo 10 del RGPD; datos facilitados de forma activa y consciente por el interesado (por ejemplo, datos de cuentas presentados a través de formularios, respuestas a un cuestionario); datos observados o datos en bruto facilitados por el interesado como consecuencia del uso del servicio o del dispositivo (por ejemplo, datos tratados por objetos conectados, historial de transacciones, registros de actividad, como los registros de acceso, historial de uso de sitios web, actividades de búsqueda, datos de localización, actividad de clic, aspectos únicos del comportamiento de una persona, como la caligrafía, las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/23 pulsaciones de teclas, la forma particular de caminar o hablar);datos deducidos de otros datos, en lugar de ser facilitados directamente por el interesado (por ejemplo, ratio de crédito, clasificación basada en atributos comunes de los interesados, país de residencia deducido del código postal); datos inferidos de otros datos, en lugar de ser facilitados directamente por el interesado (por ejemplo, para asignar una calificación crediticia o cumplir las normas contra el blanqueo de capitales, los resultados algorítmicos, los resultados de una evaluación de la salud o un proceso de personalización o recomendación); datos seudonimizados en lugar de datos anonimizados (véase también la sección 3 de las presentes Directrices)”. (
- ii)Por tanto, contrariamente a lo señalado por la parte reclamada, los logs y metadatos relativos a la actividad de la parte reclamante, serían datos personales y de ahí que sobre ellos pueda sustentarse un potencial procedimiento disciplinario de la empresa sobre su trabajador. (iii) En lo que se refiere al acceso a documentos, como ya se ha apuntado previamente, tal y como señala la parte reclamada, el derecho de acceso a los datos personales no debe confundirse con otros derechos de acceso, como el derecho de acceso a la información pública o el derecho de acceso a un expediente administrativo por parte del interesado. Así, conviene subrayar que si bien el artículo 15.3 del RGPD establece la obligación del responsable del tratamiento de facilitar una copia de los datos, esta no debe entenderse como un derecho adicional del interesado, sino como una modalidad de facilitar el acceso a los datos. En definitiva, el derecho de acceso en su modalidad de copia implica “…que se entregue al interesado una reproducción auténtica e inteligible de todos esos datos”, y, asimismo “Este derecho incluye el de obtener copia de extractos de documentos, o incluso de documentos enteros, o de extractos de bases de datos, que contengan, entre otros, dichos datos, si la entrega de tal copia es indispensable para permitir al interesado ejercer efectivamente los derechos que le confiere ese Reglamento. Debe subrayarse asimismo la necesidad de que se tengan en cuenta, a este respecto, los derechos y libertades de los terceros”, conllevando, esto último, que deba examinarse cada caso concreto. Esta argumentación, sin embargo, no se encuentra en las respuestas facilitadas por la parte reclamada ni a la parte reclamante ni a esta Agencia. (
- iv)En relación con las causas que han llevado a la parte reclamante al ejercicio de su derecho de acceso, las precitadas directrices 1/2022 indican que no ha de existir (ni ser valorada por el responsable) una motivación para el ejercicio del derecho de acceso: “13. Habida cuenta del amplio objetivo del derecho de acceso, dicho objetivo del derecho de acceso no es adecuado para ser analizado como condición previa para el ejercicio del derecho de acceso por parte del responsable del tratamiento en el marco de su evaluación de las solicitudes de acceso. Así pues, los responsables del tratamiento no deben evaluar «por qué» el interesado solicita acceso, sino únicamente «qué» solicita el interesado (véase la sección 3 sobre el análisis de la solicitud) y si se tienen datos personales referentes a esa persona (véase la sección 4). Por lo tanto, por ejemplo, el responsable del tratamiento no debería denegar el acceso por que sepa o sospeche que el interesado puede utilizar los datos solicitados para defenderse C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/23 ante los tribunales en caso de despido o controversia comercial con el citado responsable” (
- v)Por otra parte, respecto a las manifestaciones relativas a que la solicitud de la parte reclamante era “abusiva”, cabe recordar que el RGPD establece la posibilidad de catalogar las solicitudes como “manifiestamente infundadas” o “excesivas”. El artículo 12, apartado 5, del RGPD permite a los responsables del tratamiento rechazar solicitudes que sean manifiestamente infundadas o excesivas, o cobrar un canon razonable por dichas solicitudes. Estos conceptos deben interpretarse en sentido estricto. Dado que existen muy pocos requisitos previos en relación con las solicitudes de acceso, el alcance de considerar que una solicitud es manifiestamente infundada es bastante limitado. Las solicitudes excesivas dependen de las características específicas del sector en el que opera el responsable del tratamiento. Cuanto más a menudo se producen cambios en la base de datos del responsable del tratamiento, con mayor frecuencia puede permitirse al interesado solicitar el acceso sin que sea excesivo. En lugar de denegar el acceso, el responsable del tratamiento puede decidir cobrar un canon al interesado. Esto solo sería pertinente en el caso de solicitudes excesivas con el fin de cubrir los costes administrativos que puedan ocasionar dichas solicitudes. Ahora bien, tales categorías deben interpretarse en sentido estricto y requieren, en cualquier caso, la demostración por parte del responsable, lo que no se ha producido en el presente caso al no haberse argumentado tales afirmaciones (esto es, el carácter excesivo o infundado) en el sentido del RGPD. Se recuerda que el CEPD señala al respecto que: “175. El artículo 12, apartado 5, del RGPD permite a los responsables del tratamiento ignorar las solicitudes de derecho de acceso que sean manifiestamente infundadas o excesivas. Estos conceptos deben interpretarse en sentido estricto, ya que no deben socavarse los principios de transparencia y los derechos gratuitos de los interesados. 176. Los responsables del tratamiento deben poder demostrar a la persona por qué consideran que la solicitud es manifiestamente infundada o excesiva y, si se les solicita, explicar los motivos a la autoridad de control competente. Cada solicitud debe examinarse caso por caso en el contexto en el que se presenta para decidir si es manifiestamente infundada o excesiva”. (
- vi)Por otra parte, en lo que se refiere a los derechos de terceros (ya sea persona física o jurídica), además de reiterar los aspectos ya señalados a lo largo de este escrito sobre la necesidad de ponderar y conciliar los derechos en conflicto, se recalca que estas consideraciones no deben tener como resultado la negativa a prestar toda la información al interesado. A la hora de interpretar el artículo 15, apartado 4, del RGPD, hay que tomar precauciones especiales para no ampliar injustificadamente las restricciones establecidas en el artículo 23 del RGPD, que solo están permitidas en condiciones estrictas. (vii) Por último, en relación con la afectación de datos de terceros, conviene recordar que el derecho de acceso abarca los datos personales que conciernan al interesado, de manera ponderada. Por tanto, la denegación apelando estos motivos sin ningún tipo de motivación adicional, no podría considerarse válida. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/23 Atendiendo a lo anterior, examinada la documentación aportada por las partes cabe concluir que la parte reclamante solicitó acceso a sus datos personales, y que la parte reclamada denegó el acceso parcialmente sin haber motivado adecuadamente tal denegación tal y como se ha señalado en los párrafos anteriores. Por otra parte, asegura haber facilitado el acceso a determinados datos, observándose, no obstante, notables deficiencias en su respuesta. En consecuencia, procede estimar la reclamación presentada para que la parte reclamada conteste adecuadamente a la parte reclamante o bien facilitando o bien denegando el acceso solicitado de conformidad con la normativa en materia de protección de datos en atención a lo dispuesto en esta resolución. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por A.A.A. al considerar que se ha infringido lo dispuesto en el artículo 15 del RGPD e instar a ILERNA ON LINE, S.L. con NIF B25774720, para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita a la parte reclamante certificación en la que se atienda el derecho solicitado o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de una infracción del artículo 83.6 del RGPD, calificada como muy grave a los efectos de prescripción en el artículo 72.1.
- m)de la LOPDGDD, que se sancionará de acuerdo con el artículo 58.2 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a ILERNA ON LINE, S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/23 Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1381-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es