TJUE: Toda persona tiene derecho a saber a quién se han comunicado sus datos personales

2023-01-23T18:52:00
Unión Europea

El TJUE reconoce que las personas pueden solicitar el acceso a información para conocer exactamente a qué destinatarios se han comunicado sus datos

TJUE: Toda persona tiene derecho a saber a quién se han comunicado sus datos personales
23 de enero de 2023

En Sentencia del pasado 12 de enero (ECLI:EU:C:2023:3), el Tribunal de Justicia de la Unión Europea (“TJUE”) reconoce el derecho de acceso de un ciudadano que solicitó a Österreichische Post, principal operador de servicios postales y logísticos en Austria, que le revelara la identidad de los destinatarios a los que había comunicado sus datos personales.

Para obtener dicha información, el interesado en cuestión se basó en el derecho de acceso previsto en el artículo 15 del Reglamento General de Protección de Datos (“RGPD”). Dicho artículo establece que el interesado tiene derecho a obtener del responsable del tratamiento información sobre los destinatarios o categorías de destinatarios a los que se hayan comunicado o vayan a comunicarse sus datos personales.

En respuesta a la solicitud del interesado, el operador se limitó a indicar que utiliza datos personales en el marco de sus actividades como editor de guías telefónicas y que ofrece esos datos personales a socios comerciales con fines de marketing. Por ello, el interesado demandó al operador ante los tribunales austriacos.

Durante el procedimiento judicial, el operador informó además al interesado de que sus datos habían sido transmitidos a empresas informáticas, proveedores de directorios, anunciantes que operan a través de establecimientos de venta por correspondencia, ONGs y partidos políticos, entre otros.

En un primer momento, los tribunales de primera instancia y de apelación desestimaron el recurso del interesado por considerar que el artículo 15 del RGPD concede al responsable del tratamiento la posibilidad de indicar al interesado únicamente las categorías de destinatarios, sin tener que facilitar los nombres de los destinatarios concretos a quienes son transmitidos los datos personales.

No obstante, el Tribunal Supremo de Austria, que conoce del litigio en última instancia, decidió presentar una cuestión prejudicial ante el TJUE para determinar si el RGPD concede al interesado el derecho a conocer la identidad específica de los destinatarios, o si bien al responsable del tratamiento le basta con informar sobre las categorías de destinatarios de dichos datos, como venían manteniendo las instancias inferiores.

En su sentencia, el TJUE se manifiesta a favor de la interpretación según la cual el interesado es quien tiene la opción de solicitar que la información se refiera simplemente a las categorías de destinatarios o bien a los destinatarios concretos de sus datos personales. En caso contrario, si se diera a los responsables la posibilidad de optar entre indicar a los interesados los destinatarios concretos o indicar únicamente las categorías de destinatarios, con toda probabilidad casi ninguno de ellos facilitaría la información relativa a los destinatarios concretos.

De acuerdo con el TJUE, cuando se hayan comunicado o vayan a comunicarse datos personales a destinatarios, el responsable del tratamiento está obligado a facilitar al interesado, previa solicitud, la identidad real de dichos destinatarios. Solo cuando (todavía) no sea posible identificar a dichos destinatarios, el responsable del tratamiento podrá limitarse a indicar únicamente las categorías de destinatarios de que se trate. Lo mismo ocurre cuando el responsable del tratamiento demuestra que la solicitud es manifiestamente infundada o excesiva.

El TJUE finaliza recordando que el derecho de acceso del interesado es necesario para que éste pueda ejercer otros derechos que le confiere el RGPD, a saber, su derecho de rectificación, su derecho de supresión, su derecho a la limitación del tratamiento, su derecho a oponerse al tratamiento o su derecho a ejercitar una acción cuando sufra un perjuicio, y por ello el interesado debe poder tener pleno conocimiento de los destinatarios de sus datos personales.

23 de enero de 2023