1/5 Expediente nº.: EXP202519426 (RR/00264/2026) RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por A.A.A. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Presidencia de la Agencia Española de Protección de Datos de fecha 13 de marzo de 2026, y en base a los siguientes HECHOS PRIMERO: Con fecha 13 de marzo de 2026 se dictó resolución por la Presidencia de la Agencia Española de Protección de Datos en el expediente EXP202519426 (PD/00011/2026), en la que se acordó ESTIMAR la reclamación formulada por A.A.A. frente a MEDIA MARKT SATURN, S.A., con CIF A82037292 (en lo sucesivo, Media Markt) al considerar que no había quedado debidamente atendido el derecho de acceso previsto en el artículo 15 del RGPD. La resolución ahora recurrida fue notificada fehacientemente a la parte recurrente el 16 de marzo de 2026, según consta en el acuse de recibo que figura en el expediente. SEGUNDO: Con fecha 16 de marzo de 2026 la parte recurrente ha presentado, en esta Agencia, recurso de reposición en el que señala lo siguiente: “La resolución acepta que la compra fue de un "tercero", pero ignora que el medio de pago es una tarjeta cuya titularidad es exclusivamente mía. El número de tarjeta es un dato personal. Su uso genera un tratamiento de datos que me concierne directamente, por lo que tengo derecho a conocer el destino y uso de mis recursos financieros asociados a mi identidad. Indefensión y tutela: La financiera me reclama 494,00€ por esta operación. Al negárseme el concepto de la compra, se me impide verificar la veracidad de la deuda y ejercer mi derecho de defensa ante un cobro que considero fraudulento. El derecho de acceso debe prevalecer para evitar que la normativa de privacidad sea un escudo que ampare la falta de transparencia en cargos bancarios no reconocidos SOLICITO: Se revoque la resolución y se inste a Media Markt a facilitar el detalle de la compra vinculada a mi tarjeta.” TERCERO: Con fecha 24 de marzo de 2026, la entidad Media Markt presenta escrito ante esta AEPD en el que manifiesta haber atendido el derecho en los términos exigidos en la resolución de fecha 13/03/2026, dando así cumplimiento a lo ordenado. A dicho escrito adjunta documentación consistente en la respuesta formal remitida a la parte recurrente en relación con el ejercicio del derecho de acceso, en la que, con cita del artículo 15 del RGPD comunica que, a la fecha de la solicitud, no está tratando datos personales de la interesada en relación con la operación indicada, por lo que no resulta posible atender el derecho en los términos solicitados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/5 FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). II Contestación a las alegaciones presentadas Primero.- En relación con la alegación relativa a que el número de tarjeta constituye un dato personal cuya utilización genera un tratamiento que le concierne directamente, debe señalarse que dicha premisa ya ha sido expresamente contemplada en la resolución de 13/03/2026. En efecto, tal y como se razona en la misma, el derecho de acceso reconocido en el artículo 15 del RGPD no puede interpretarse de forma restrictiva y alcanza también a aquellos datos que, aun pudiendo haber sido tratados por la actuación de un tercero, se encuentren vinculados a la identidad del interesado. En este sentido, las Directrices 01/2022 del Comité Europeo de Protección de Datos (en lo sucesivo, Directrices 01/2022) señalan que el concepto de “datos personales que le conciernen” debe interpretarse de manera amplia, pudiendo incluir información que, aun afectando a terceros, esté relacionada con la persona solicitante . Precisamente por ello, la resolución estimó la reclamación e instó a la entidad a dar una respuesta completa en los términos exigidos por la normativa, ordenando expresamente que se remitiera a la interesada certificación en la que se atendiera el derecho de acceso ejercido o se denegara motivadamente, indicando de forma expresa si se estaban tratando o no datos personales que le conciernen en relación con la operación indicada. En este sentido, tal y como se desprende del propio fundamento jurídico V de la resolución recurrida, lo determinante en la estimación de la reclamación era la falta de una respuesta materialmente adecuada al derecho de acceso, en particular la ausencia de una confirmación expresa sobre la existencia o inexistencia de datos personales de la interesada asociados a la operación controvertida. Debe recordarse, conforme a las Directrices 01/2022, que el derecho de acceso se compone de tres elementos: (
- i)la confirmación de si se tratan o no datos personales, (
- ii)el acceso a dichos datos y (iii) la información sobre el tratamiento . En consecuencia, cuando el responsable comunica de forma expresa que no trata datos personales del interesado en relación con una operación concreta, queda satisfecho el primer componente esencial del derecho. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/5 Por ello, la resolución de 13/03/2026 no impuso a la entidad reclamada la obligación de facilitar sin más el detalle de la operación solicitada, sino que le requirió expresamente para que adecuara su actuación a lo dispuesto en el artículo 15 del RGPD, esto es, para que proporcionara una respuesta completa y materialmente adecuada al derecho de acceso, consistente en confirmar de forma expresa si se estaban tratando o no datos personales de la interesada en relación con la operación indicada o, en su caso, denegar motivadamente el acceso en los términos previstos en la normativa. Segundo.- Respecto de la alegación relativa a la situación de indefensión derivada de la reclamación económica formulada por la entidad financiera, debe señalarse que, si bien dicha circunstancia puede resultar relevante en otros ámbitos —como el contractual o bancario—, excede del objeto propio del presente procedimiento, que se circunscribe exclusivamente a verificar el correcto ejercicio y atención del derecho de acceso en materia de protección de datos personales. En efecto, conforme a lo dispuesto en el artículo 15 del RGPD, el derecho de acceso permite al interesado obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en su caso, acceder a dichos datos y a la información relativa al tratamiento en los términos tasados por la norma —fines, categorías de datos, destinatarios, plazo de conservación, origen de los datos, entre otros—, así como a obtener una copia de los mismos, sin perjuicio de los límites establecidos en el artículo 15.4 del RGPD . Por su parte, el artículo 13 de la LOPDGDD no altera este contenido material, limitándose a concretar aspectos instrumentales del ejercicio del derecho, lo que confirma que el objeto del derecho de acceso no es otro que el conocimiento de los datos personales tratados y de las características del tratamiento. En coherencia con ello, las Directrices 01/2022 precisan que la finalidad del derecho de acceso es permitir al interesado conocer y verificar la licitud del tratamiento de sus datos personales, sin que dicho derecho se configure como un mecanismo para investigar hechos, esclarecer operaciones económicas o resolver controversias jurídicas ajenas al ámbito de la protección de datos. En consecuencia, la existencia de una reclamación económica o de una eventual situación de indefensión no altera ni amplía el contenido del derecho de acceso, cuyo alcance queda estrictamente delimitado por el artículo 15 del RGPD. Dicho derecho no constituye un mecanismo de investigación de operaciones económicas ni un instrumento para resolver controversias sobre cargos financieros, sino un derecho limitado al acceso a datos personales objeto de tratamiento, debiendo las cuestiones relativas a la validez o eventual fraude de la operación canalizarse por los cauces jurídicos específicamente previstos al efecto. Tercero.- En cuanto a la alegación de que el derecho de acceso debe prevalecer para evitar que la normativa de protección de datos actúe como un obstáculo a la transparencia en cargos no reconocidos, procede precisar que dicho derecho, aun siendo esencial, no tiene carácter absoluto, sino que se encuentra delimitado por su propia naturaleza y por los límites expresamente previstos en la normativa, tal y como ya se ha expuesto en los apartados anteriores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/5 En efecto, el artículo 15 del RGPD reconoce al interesado el derecho a acceder a sus datos personales, esto es, a aquellos que le conciernen y que son objeto de tratamiento por el responsable, junto con determinada información asociada a dicho tratamiento. Sin embargo, este derecho no se configura como un mecanismo general de acceso a cualquier información relacionada con una operación económica o financiera, ni como una vía para investigar hechos controvertidos o potencialmente ilícitos en otros ámbitos. En esta misma línea, las Directrices 01/2022 del Comité Europeo de Protección de Datos subrayan que el derecho de acceso debe distinguirse de otros derechos de acceso con distinta finalidad —como el acceso a documentos o la transparencia administrativa—, pues su objeto no es garantizar una transparencia general, sino permitir al interesado conocer y verificar el tratamiento de sus datos personales. Asimismo, el propio RGPD establece límites explícitos al ejercicio de este derecho. En particular, el artículo 15.4 dispone que el derecho a obtener copia de los datos no deberá afectar negativamente a los derechos y libertades de terceros, lo que impide facilitar información que pertenezca a la esfera de otras personas o que revele datos personales de terceros. Tal limitación, conforme a las citadas Directrices, exige una ponderación concreta, pero actúa como un límite real al alcance del derecho. En consecuencia, el derecho de acceso no puede ser utilizado para obtener información que exceda del ámbito de los datos personales del interesado ni para suplir los mecanismos jurídicos previstos para la investigación de posibles fraudes o reclamaciones económicas, los cuales deben sustanciarse a través de los cauces específicos establecidos en la normativa sectorial aplicable. III Conclusión Examinado el recurso de reposición presentado por la parte recurrente, no aporta hechos ni argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, por lo que procede acordar su desestimación. IV Obligación de dictar resolución expresa De acuerdo con lo establecido en el artículo 24 de la LPACAP, el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. No obstante, a pesar de que haya transcurrido el plazo legalmente establecido para resolver, la Administración mantiene la obligación de dictar resolución expresa y de notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, incluidos los recursos administrativos que se hayan podido interponer, según dispone el artículo 21.1 de la citada LPACAP. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/5 En los casos de desestimación por silencio administrativo, la resolución expresa posterior al vencimiento del plazo se adoptará por la Administración sin vinculación alguna al sentido del silencio, según dispone el artículo 24.3 de la misma ley. Por tanto, aunque no se resuelva el recurso en plazo, procede emitir la resolución expresa que lo finalice. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A. contra la resolución dictada por la Presidencia de la Agencia Española de Protección de Datos de fecha 13 de marzo de 2026. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es