REPOSICION-PD-00056-2026

1/5 Expediente Nº.: EXP202520758 (RR/00292/2026) RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por A.A.A. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Presidencia de la Agencia Española de Protección de Datos de fecha 23 de marzo de 2026, y en base a los siguientes HECHOS PRIMERO: Con fecha 23 de marzo de 2026 se dictó resolución por la Presidencia de la Agencia Española de Protección de Datos, en el expediente EXP202520758, en la que se acordó DESESTIMAR la reclamación formulada por A.A.A. frente a la entidad REPAGALIA, S.L. con CIF B88326392 (en lo sucesivo, REPAGALIA), al considerar que había quedado debidamente atendido el derecho de acceso previsto en el artículo 15 del RGPD. La resolución ahora recurrida fue notificada fehacientemente a la parte recurrente el 23 de marzo de 2026, según consta en el acuse de recibo que figura en el expediente. SEGUNDO: Con fecha 23 de marzo de 2026 la parte recurrente ha presentado, en esta Agencia, recurso de reposición contra la resolución indicada por considerar que realiza una interpretación restrictiva del derecho de acceso, al no facilitar una copia íntegra y comprensible de los datos personales tratados, sino meros resúmenes insuficientes. Invoca la jurisprudencia del TJUE (asunto C-487/21) para sostener que el derecho de acceso exige la entrega de una reproducción auténtica e inteligible de los datos, incluyendo, en su caso, documentos completos. Asimismo, alega que la información proporcionada (burofax y explicaciones telefónicas) no permite verificar la licitud del tratamiento ni conocer con precisión las operaciones realizadas, especialmente cuando se han comunicado datos a terceros. Rechaza que la confidencialidad empresarial pueda limitar el derecho a la protección de datos, insistiendo en su derecho a conocer los destinatarios y condiciones de las cesiones. TERCERO: Con fecha 31 de marzo de 2026 se concedió REPAGALIA trámite de audiencia, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes sobre el contenido del recurso de reposición. CUARTO: Con fecha 31 de marzo de 2026 REPAGALIA presenta escrito de alegaciones en el que sostiene que ya facilitó al reclamante acceso a sus datos personales incluyendo cuantías, importes y pagos, mediante las respuestas dadas a sus solicitudes, por lo que entiende que el derecho de acceso habría quedado satisfecho. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/5 FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). II Contestación a las alegaciones presentadas Primero. Sobre la supuesta interpretación restrictiva del derecho a obtener copia La parte recurrente sostiene que la resolución recurrida habría interpretado de forma restrictiva el artículo 15 del RGPD y la jurisprudencia del Tribunal de Justicia de la Unión Europea, sentencia recaída en el asunto C-487/21, al no ordenar la entrega de una copia íntegra de los acuerdos de liquidación alcanzados en su nombre con terceros. Sin embargo, esa tesis no desvirtúa la fundamentación de la resolución impugnada. En efecto, la propia resolución ya parte expresamente de la doctrina del TJUE y distingue entre, de una parte, el derecho a obtener copia de los datos personales objeto de tratamiento y, de otra, una pretendida facultad autónoma de acceso a la documentación completa en cuanto tal. La resolución recurrida razona precisamente que el artículo 15.3 RGPD no reconoce, con carácter general e incondicionado, un derecho del interesado a obtener todos los documentos vinculados a la relación contractual, sino una copia de los datos personales tratados, pudiendo comprender extractos de documentos o incluso documentos enteros únicamente cuando ello resulte indispensable para hacer efectivo el derecho. Desde esa premisa, el expediente concluye que, en el caso concreto, la parte reclamada sí facilitó información relativa a los datos personales concernidos por la solicitud: deudas afectadas, cuantías, importes, abonos realizados y destino de determinadas cantidades. Por ello, la resolución entendió satisfecho, desde la perspectiva propia de la normativa de protección de datos, el contenido material del acceso ejercitado, sin que el RGPD imponga en este supuesto la entrega íntegra de todos los acuerdos o soportes documentales reclamados. En consecuencia, la alegación debe desestimarse. Segundo. Sobre la alegación relativa a la insuficiencia de la información facilitada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/5 La parte recurrente afirma que un resumen contenido en un burofax o una explicación telefónica sobre saldos no equivalen a una reproducción auténtica e inteligible de sus datos especialmente por haber actuado la reclamada en su nombre frente a terceros. Ahora bien, la resolución recurrida ya valoró expresamente esta cuestión y concluyó que, atendido el objeto del procedimiento de derechos, lo relevante no era resolver todas las controversias derivadas de la ejecución contractual entre las partes, sino comprobar si se había dado respuesta material al derecho de acceso ejercitado. Y, en ese plano, el expediente declara acreditado que la parte reclamada proporcionó información sobre los datos personales referidos a las deudas gestionadas, especificando cuantías, importes y pagos. El recurso insiste en que sin acceso a los “registros exactos” o a los “cruces de ficheros” no puede verificar la licitud del tratamiento. Sin embargo, esa afirmación no basta por sí sola para desvirtuar la conclusión alcanzada en la resolución. Tal como se razonó en la misma, el derecho de acceso en materia de protección de datos no se extiende automáticamente a toda la documentación mercantil, operativa o interna relacionada con la ejecución del contrato, sino únicamente a los datos personales tratados y a la información exigida por el artículo 15.1 RGPD, salvo que la entrega del documento o extracto correspondiente sea indispensable en el caso concreto. Y precisamente la resolución recurrida consideró que, a la vista de la información ya suministrada, no quedaba acreditada esa indispensabilidad en los términos exigidos por la jurisprudencia europea. Dicho de otro modo: el recurrente discrepa de la suficiencia material de la respuesta, pero no aporta en el recurso un elemento nuevo que permita concluir que, sin la entrega íntegra de los acuerdos o de los rastros informáticos invocados, el derecho de acceso hubiera quedado realmente vacío de contenido desde la estricta óptica del RGPD. Por ello, esta alegación debe igualmente desestimarse. Tercero. Sobre el uso de la confidencialidad como barrera al ejercicio del derecho La parte recurrente sostiene que la entidad reclamada vació de contenido su derecho de acceso al ampararse en que los acuerdos alcanzados con terceros constituían “información confidencial entre empresas”. Es cierto que una invocación genérica de confidencialidad comercial no puede, por sí sola, justificar la denegación del derecho de acceso reconocido en el artículo 15 del RGPD, ni impedir al interesado conocer los datos personales que le conciernen y la información legalmente asociada a su tratamiento. Sin embargo, esa no es la base sobre la que se sustenta la resolución recurrida. En efecto, la resolución no establece la confidencialidad empresarial como un límite autónomo al derecho de acceso, sino que encuadra la cuestión en los términos propios del artículo 15 del RGPD, del artículo 13 de la LOPDGDD y de las Directrices 01/2022 del Comité Europeo de Protección de Datos, recordando que el derecho de acceso comprende el acceso a los datos personales tratados y a la información sobre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/5 el tratamiento, así como a la obtención de una copia de dichos datos, pero no comporta, sin más, un derecho general a obtener toda la documentación relacionada con la relación jurídica subyacente. Tal y como se razona en la propia resolución, el derecho a obtener copia no debe entenderse como un derecho adicional independiente, sino como una modalidad de acceso a los datos personales, pudiendo incluir extractos de documentos o incluso documentos completos únicamente cuando ello resulte indispensable para permitir el ejercicio efectivo de los derechos del interesado. Desde esta premisa, la resolución concluye que la parte reclamada facilitó al reclamante información relativa a sus datos personales en relación con las deudas gestionadas, especificando cuantías, importes, abonos y destino de determinadas cantidades, lo que satisface, desde la perspectiva de la normativa de protección de datos, el contenido material del derecho de acceso ejercitado. En este sentido, se afirma que el derecho no faculta el acceso a documentación o información que no contenga datos personales del interesado o que no resulte indispensable para facilitar el acceso a los mismos. Por tanto, el elemento determinante no es la invocación inicial de la confidencialidad por parte de la entidad reclamada, sino la constatación de que, en el marco del procedimiento de derechos, se ha proporcionado al interesado el acceso a los datos personales objeto de tratamiento en los términos exigidos por el RGPD, sin que resulte acreditado que la entrega íntegra de los acuerdos o de otra documentación adicional sea necesaria para garantizar el ejercicio efectivo del derecho de acceso conforme a la jurisprudencia del Tribunal de Justicia de la Unión Europea. Asimismo, debe recordarse que el objeto de este tipo de procedimientos se limita a verificar la adecuada atención del derecho de acceso, quedando fuera de su ámbito el enjuiciamiento general de la relación contractual entre las partes o la exigencia de obligaciones informativas que no se deriven del contenido del artículo 15 del RGPD. En consecuencia, la alegación formulada no desvirtúa la fundamentación de la resolución recurrida, por lo que debe ser desestimada. III Conclusión Examinado el recurso de reposición presentado por la parte recurrente, no aporta hechos ni argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, por lo que procede acordar su desestimación. IV Obligación de dictar resolución expresa De acuerdo con lo establecido en el artículo 24 de la LPACAP, el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/5 No obstante, a pesar de que haya transcurrido el plazo legalmente establecido para resolver, la Administración mantiene la obligación de dictar resolución expresa y de notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, incluidos los recursos administrativos que se hayan podido interponer, según dispone el artículo 21.1 de la citada LPACAP. En los casos de desestimación por silencio administrativo, la resolución expresa posterior al vencimiento del plazo se adoptará por la Administración sin vinculación alguna al sentido del silencio, según dispone el artículo 24.3 de la misma ley. Por tanto, aunque no se resuelva el recurso en plazo, procede emitir la resolución expresa que lo finalice. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A. contra la resolución dictada por la Presidencia de la Agencia Española de Protección de Datos de fecha 23 de marzo de 2026. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto. Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es