Derecho de acceso en virtud del RGPD: el alcance del artículo 15 del RGPD

El derecho de acceso, previsto en el artículo 15 del Reglamento General de Protección de Datos (RGPD), conocido en los Países Bajos como Algemene Verordening Gegevensbescherming (AVG), otorga a cualquier persona el derecho a preguntar a una organización si trata datos personales que le conciernen, a recibir una copia de dichos datos y a conocer las finalidades, los destinatarios, el plazo de conservación y la fuente del tratamiento. El responsable del tratamiento debe responder gratuitamente en el plazo de un mes y solo podrá limitar el acceso cuando sea necesario para proteger los derechos y libertades de terceros. En los Países Bajos, la negativa puede interponerse ante el tribunal de distrito mediante una demanda en un plazo de seis semanas, de conformidad con el artículo 35 de la Ley de Transposición del RGPD (Uitvoeringswet AVG).

La AVG no es una ley neerlandesa independiente: es la denominación en neerlandés del propio Reglamento, que se aplica directamente. La legislación neerlandesa añade la Uitvoeringswet AVG, que completa las opciones que el Reglamento dejaba a los Estados miembros y establece cómo se ejerce el derecho ante la Autoriteit Persoonsgegevens y los tribunales. Este artículo trata sobre el alcance del artículo 15, sus límites y el procedimiento que sigue a una denegación.

Lo que realmente te ofrece el artículo 15

El artículo 15(1) contiene dos derechos que suelen confundirse. El primero es la confirmación: una respuesta afirmativa o negativa a la pregunta de si se están tratando datos personales que le conciernen. El segundo, que surge solo si la respuesta es afirmativa, es el acceso a dichos datos junto con ocho elementos de información complementaria. El artículo 15(3) añade la obligación de facilitar una copia.

El artículo 15(2) añade que, cuando se transfieran datos personales a un tercer país o a una organización internacional, usted tiene derecho a ser informado de las garantías adecuadas en las que se basa dicha transferencia. En conjunto, estos elementos explican por qué una simple copia de datos no cumple con la normativa: la copia sin contexto no satisface el artículo 15.

Los datos personales constituyen una categoría amplia, y los responsables del tratamiento suelen definirla de forma demasiado restrictiva. Abarca mucho más que un nombre y una dirección: perfiles de comportamiento, evaluaciones y opiniones registradas sobre usted, imágenes de cámara, grabaciones de llamadas, identificadores de dispositivos, marcas de tiempo de inicio de sesión, direcciones IP e inferencias sobre usted, todo ello se considera dato personal en cuanto pueda vincularse, directa o indirectamente, con usted como persona identificable. La definición del RGPD es deliberadamente amplia, y la responsabilidad de explicar por qué algo queda fuera de ella recae en el responsable del tratamiento.

¿Quién puede preguntar y quién debe responder?

El derecho corresponde al interesado: una persona física viva, identificada o identificable. La edad, la nacionalidad y la residencia son irrelevantes. Un progenitor o tutor legal puede actuar en nombre de un menor, y un representante designado por un tribunal puede actuar en nombre de un adulto con incapacidad. Cualquier otra persona necesita una autorización por escrito, y el responsable del tratamiento está facultado para verificarla. Este derecho no se mantiene tras el fallecimiento, ya que el Reglamento no se aplica a los datos de personas fallecidas, si bien la normativa neerlandesa sobre secreto profesional y acceso al historial clínico de un paciente fallecido puede ofrecer a los familiares una vía de acceso.

La solicitud se dirige al responsable del tratamiento: la entidad que determina los fines y los medios del tratamiento. Una empresa de gestión de nóminas, una empresa de alojamiento web o un proveedor de software que actúe siguiendo instrucciones es un encargado del tratamiento y debe remitir la solicitud en lugar de responderla. Cuando dos organizaciones determinan conjuntamente los fines y los medios, el artículo 26 las convierte en corresponsables del tratamiento; deben acordar entre sí quién gestiona las solicitudes de acceso y comunicar la esencia de dicho acuerdo, pero el interesado puede ejercer el derecho frente a cualquiera de ellas.

La geografía rara vez supone un obstáculo. El Reglamento se aplica a los responsables del tratamiento establecidos en la UE, así como a aquellos que, fuera de ella, ofrecen bienes o servicios a personas en la UE o supervisan su comportamiento. Por lo tanto, un residente neerlandés puede dirigir una solicitud a una plataforma extranjera, y el plazo de un mes comienza a contar desde que dicho responsable la recibe.

En el ámbito laboral, la solicitud la realiza personalmente el empleado y constituye un derecho, no un favor. Los empleadores deben prever solicitudes de acceso en torno a conversaciones sobre despidos y conflictos de rendimiento, y no deben considerar el momento de la solicitud como motivo para responder de manera diferente.

Qué significa una copia

El Tribunal de Justicia resolvió este punto en el asunto C-487/21, de 4 de mayo de 2023. La copia prevista en el artículo 15, apartado 3, debe ser una reproducción fiel e inteligible de todos los datos personales que se estén tratando. Un resumen, una tabla de categorías o una descripción general de los datos que posee la organización no cumplen con esta obligación.

La misma sentencia resolvió la cuestión más compleja de si deben entregarse documentos completos. En principio, la obligación se refiere a los datos, no al archivo que los contiene. Sin embargo, el Tribunal dictaminó que deben facilitarse extractos de documentos, documentos completos o extractos de bases de datos cuando sea indispensable para que el interesado pueda comprender los datos y ejercer sus derechos de forma efectiva. El contexto puede formar parte del significado: una evaluación solo tiene sentido en el documento que la enmarca, y un campo vacío puede ser informativo por sí mismo. Por lo tanto, la prueba práctica para el responsable del tratamiento no consiste en si resulta conveniente divulgar un documento, sino en si los datos siguen siendo inteligibles sin él.

Una segunda sentencia, la del asunto C-307/22, de 26 de octubre de 2023, desestimó dos argumentos en los que solían basarse los responsables del tratamiento. El interesado no tiene que justificar su solicitud, y un motivo ajeno a la protección de datos, como la preparación de una reclamación, no la convierte en abusiva. Además, la primera copia debe ser gratuita, incluso cuando la legislación nacional permita, en otras circunstancias, el cobro por la obtención de los documentos.

La censura sigue siendo legítima cuando un documento contiene datos personales de otras personas. Un acta de reunión en la que participen varios empleados puede publicarse eliminando o neutralizando los pasajes que conciernen a sus compañeros, siempre que el resto siga siendo comprensible. Un documento que le concierne solo a usted, como su contrato y las condiciones generales que le son aplicables, no se presta en absoluto a la censura.

Plazos, formato y coste

El artículo 12, apartado 3, otorga al responsable del tratamiento un plazo de un mes desde la recepción de la solicitud. Dicho plazo podrá prorrogarse hasta dos meses más si la solicitud es compleja o si el responsable del tratamiento ha recibido varias solicitudes, pero la prórroga y sus motivos deberán comunicarse en el plazo de un mes. El silencio no constituye una prórroga. Si el responsable del tratamiento no responde a la solicitud, el artículo 12, apartado 4, le exige que lo comunique en el plazo de un mes e informe al interesado de su derecho a presentar una reclamación ante una autoridad de control y a interponer un recurso judicial.

No existe un formulario preestablecido. Una solicitud por correo electrónico , carta, formulario web o verbal es igualmente válida, y el responsable del tratamiento no puede exigir el uso de su propio formulario como condición. Cuando la solicitud se realice electrónicamente, la información deberá proporcionarse en un formato electrónico de uso común, a menos que el interesado solicite lo contrario.

El acceso es gratuito. El artículo 15(3) permite el cobro de una tasa razonable, basada únicamente en los gastos administrativos, por copias adicionales de los mismos datos, y el artículo 12(5) permite el cobro de una tasa razonable o la denegación cuando la solicitud sea manifiestamente infundada o excesiva, en particular por su carácter repetitivo. El responsable del tratamiento tiene la carga de demostrar dicho carácter, y tras la jurisprudencia de 2023, el umbral es alto: la mera repetición, sin más, no es suficiente.

La verificación de identidad está permitida, pero limitada. El artículo 12(6) permite al responsable del tratamiento solicitar información adicional cuando tenga dudas razonables sobre la identidad del solicitante, y no más. Cuando la solicitud proviene de una cuenta conocida, suele ser suficiente con cotejarla con los datos de la cuenta existente. Cuando un documento de identidad sea realmente necesario, el número de identificación fiscal, la fotografía y la zona de lectura mecánica deben tacharse, y cualquier copia debe conservarse únicamente durante el tiempo que requiera la verificación. Exigir un escaneo completo del pasaporte como procedimiento estándar constituye en sí mismo una infracción, y los documentos de identidad que contienen datos biométricos están sujetos a normas aún más estrictas.

La transmisión debe ser segura. Enviar un archivo sin protección que contenga el historial completo de un empleado a una dirección de correo electrónico privada supone una posible filtración de datos; utilice un archivo protegido con la clave compartida por separado o un portal con autenticación de dos factores.

Cuándo se puede limitar o denegar el acceso

El artículo 15 no es absoluto. El artículo 15(4) establece que el derecho a obtener una copia no debe afectar negativamente los derechos y libertades de terceros, y el considerando 63 menciona los secretos comerciales y la propiedad intelectual, incluidos los derechos de autor del software, como intereses que pueden ponderarse. La limitación es restrictiva en dos aspectos: se aplica a la copia y no al derecho subyacente a la información, y no puede dar lugar a una denegación generalizada. En caso de conflicto, el responsable del tratamiento debe buscar la vía menos restrictiva, que normalmente consiste en la divulgación parcial con información confidencial eliminada.

Datos de terceros

La correspondencia, las actas de reuniones y los expedientes de quejas suelen contener datos personales de más de una persona. El responsable del tratamiento debe ponderar los intereses, no simplemente retenerlos. En la práctica, esto implica eliminar los nombres y datos de contacto de terceros, sustituir una identidad por una descripción neutral cuando la identidad en sí no sea relevante, o proporcionar un extracto en lugar de la cadena completa. Lo que el responsable del tratamiento no puede hacer es rechazar el documento completo solo porque aparezca un tercero en él.

Información confidencial y privilegio profesional

Los secretos comerciales, los modelos de precios y el código fuente pueden protegerse, pero la clave está en la precisión, no en el silencio. Cuando se trata de una decisión automatizada, el responsable del tratamiento debe proporcionar información relevante sobre la lógica aplicada y las consecuencias para el interesado, lo cual no equivale a revelar el algoritmo. Asimismo, la información amparada por el secreto profesional se mantiene confidencial, y la interacción entre las obligaciones de divulgación y el secreto profesional es un tema recurrente para los asesores, que analizamos en nuestro artículo sobre obligaciones de información y secreto profesional.

Restricciones en la legislación neerlandesa

La Ley de Protección de Datos (Uitvoeringswet AVG) contiene una serie de restricciones a los derechos de los interesados, adoptadas en virtud del artículo 23 del Reglamento, con fines tales como la prevención e investigación de delitos, la supervisión por parte de organismos públicos y la protección del interesado o de los derechos de terceros. El responsable del tratamiento que se acoja a una de estas restricciones debe identificarla, aplicarla a la solicitud específica y justificarla. Una declaración general de que la divulgación no redunda en interés de nadie no constituye una restricción.

Los historiales médicos siguen un curso parcialmente independiente. Junto con el artículo 15, las disposiciones sobre el acuerdo de tratamiento del Código Civil neerlandés otorgan al paciente el derecho a inspeccionar y obtener una copia de su expediente, y ambas vías coexisten en lugar de competir.

Gestionar una solicitud como controlador

La mayoría de los fallos son organizativos más que legales. Una solicitud que llega a la bandeja de entrada de ventas, a una sucursal o por teléfono sigue activando el plazo, por lo que el primer requisito es que el personal la reconozca y la canalice. El segundo es que la organización sepa dónde se encuentran realmente los datos personales: el registro de las actividades de tratamiento exigido por el artículo 30 es la base práctica para localizarlos, y un responsable del tratamiento que no pueda consultar sus propios sistemas incumplirá el plazo, independientemente de sus buenas intenciones.

A partir de ahí, el proceso es mecánico. Acusar recibo y registrar la fecha. Verificar la identidad de forma proporcional. Definir el alcance con el solicitante cuando la solicitud sea muy amplia, sin utilizar esa conversación como táctica dilatoria. Buscar en los sistemas, incluidos los buzones de correo archivados y las herramientas de gestión de incidencias. Eliminar los datos de terceros bajo la supervisión de un segundo par de personas. Enviar la copia junto con la información del artículo 15(1), por escrito, y mantener un registro de lo que se divulgó y lo que se retuvo, con los motivos. Ese archivo es el que la Autoridad de Protección de Datos Personales solicitará si se presenta una queja.

Dos hábitos reducen permanentemente el volumen de trabajo: hacer cumplir los períodos de retención, ya que los datos eliminados legalmente nunca tienen que ser divulgados, y redactar notas internas partiendo de la base de que la persona interesada podrá leerlas.

¿Qué hacer si el controlador no responde?

Comience con un recordatorio fechado que identifique la solicitud original, indique la fecha de envío y señale que el plazo establecido en el artículo 12(3) ha expirado. Un plazo breve de una o dos semanas es razonable. Una proporción significativa de las solicitudes se responde en esta etapa, y el recordatorio también crea el registro documental que necesitará posteriormente.

Si esto falla, existen dos vías que pueden utilizarse simultáneamente. La primera consiste en presentar una reclamación ante la Autoridad de Protección de Datos (Autoriteit Persoonsgegevens) en virtud del artículo 77. La autoridad de control puede investigar, ordenar al responsable del tratamiento que cumpla con lo estipulado, imponer una sanción económica y, en casos graves, una multa administrativa. Sin embargo, no otorga ninguna compensación personal y el plazo de tramitación es el de un organismo regulador, no el de un litigio.

La segunda vía es el tribunal, y en los Países Bajos es excepcionalmente accesible. El artículo 35 de la Ley de Protección de Datos (Uitvoeringswet AVG) permite a una parte interesada solicitar al tribunal de distrito, mediante petición, que ordene al responsable del tratamiento que conceda o deniegue la solicitud. Tres aspectos de esta disposición son relevantes en la práctica. La petición debe presentarse en un plazo de seis semanas a partir de la recepción de la respuesta del responsable del tratamiento. Si este no responde dentro de los plazos establecidos en el artículo 12(3), no se aplica ningún plazo. Además, el artículo 35(4) dispone expresamente que la petición no necesita ser presentada por un abogado, lo que hace que el procedimiento sea accesible a particulares sin representación legal, aunque el fondo del asunto suele beneficiarse de la asesoría jurídica.

Los casos urgentes también pueden tramitarse mediante procedimiento sumario, y una reclamación de indemnización en virtud del artículo 82 puede acumularse a una demanda principal. En cuanto a la indemnización por daños y perjuicios, conviene ser realista: el Tribunal de Justicia ha dictaminado que una infracción no genera por sí sola el derecho a indemnización, y que quien reclama debe demostrar un daño real, si bien los daños no materiales pueden ser admisibles y no existe un umbral mínimo de gravedad. Las indemnizaciones en los casos de acceso a datos son modestas, y el valor del procedimiento reside en la obtención de los datos. Nuestra guía sobre cómo se preparan los procedimientos ante un tribunal neerlandés explica qué cabe esperar.

Hacer una solicitud que funcione

Una solicitud no tiene por qué ser elaborada, pero una bien definida se responde más rápido y es mucho más difícil de dilatar. Indique quién es y en qué calidad le conoce la organización, citando un número de cliente o de empleado. Mencione explícitamente el artículo 15 para evitar cualquier controversia posterior sobre su solicitud. Si le interesa un tema específico, especifique el período y los sistemas: correspondencia con un departamento determinado entre dos fechas o entradas en una aplicación concreta. Solicite expresamente la información complementaria del artículo 15(1), no solo los datos. E indique cómo desea recibirla.

Subject: Request for access under article 15 GDPR / AVG

Dear Sir or Madam,

Under article 15 of the General Data Protection Regulation I request confirmation
whether you process personal data concerning me and, if so, a copy of those data
together with the information listed in article 15(1)(a) to (h) and, where relevant,
article 15(2).

My request concerns the period from [date] to [date] and in particular [systems,
departments or types of record].

I am known to you as [name, date of birth, customer or personnel number]. Please
provide the information electronically, in a secure manner, within the period of
one month laid down in article 12(3).

Yours faithfully,
[Name and contact details]

Conserve el documento enviado, anote la fecha y registre la fecha límite. Cuando reciba la respuesta, compárela con los ocho puntos del artículo 15(1), en lugar de limitarse a examinar los anexos; la información complementaria incompleta es el defecto más común y el más fácil de impugnar. Si los datos resultan ser inexactos o excesivos, el siguiente paso lógico es solicitar su rectificación o supresión, basándose en las mismas pruebas.

El derecho de acceso es sencillo en principio y técnico en su aplicación, para ambas partes que realizan la solicitud. Law & More Asesora a personas que no obtienen respuestas, incluidos empleados y exempleados que se enfrentan a un expediente personal, y a organizaciones que necesitan un proceso sólido para gestionar solicitudes, modificaciones y denegaciones. Cuéntanos tu situaciónLe informaremos de sus opciones en el plazo de un día laborable.

Cómo Law & More Podemos ayudarle con esto, como se explica en nuestra abogado especializado en tecnología de la información Desbobinador hidráulico de alta resistencia:Para bobinas de mayor peso o necesidades de automatización más elevadas, visite ladesbobinador hidráulico de alta resistencia.