El derecho de acceso a la información sobre destinatarios concretos de los datos personales: comentario a la sentencia del tribunal de justicia de la unión europea en el asunto C-154/21
EL CASO CONCRETO
Se trata de una decisión prejudicial planteada por el Tribunal Supremo de lo Civil y lo Penal de Austria relativa a la interpretación del apartado c) del artículo 15 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en adelante, RGPD)
El 15 de enero de 2019 RW solicitó al servicio postal austriaco, con invocación del artículo 15 RGPD, acceso sobre los datos personales de los que era titular y que dicho servicio conservase o hubiese conservado en el pasado, así como si dichos datos se habían transferido a terceros y, en tal caso, la identidad de los destinatarios de los datos.
En respuesta, el mencionado servicio postal informó al interesado que había transferido sus datos a clientes profesionales con fines de márquetin y se remitió a un sitio de Internet que, a su vez, se remitía a otro sitio de Internet que solo permitía identificar de forma genérica determinadas categorías de destinatarios: empresas con actividad publicitaria de venta a distancia y de comercio tradicional, sector de tecnologías de la información, editoriales de guías telefónicas y asociaciones como organizaciones benéficas, organizaciones no gubernamentales y partidos políticos.
RW demandó al servicio postal austríaco solicitando que, en aplicación del artículo 15.1.c) RGPD, se le informase del destinatario o destinatarios concretos a los que se había transferido sus datos.
La demanda de RW fue desestimada en primera instancia y en apelación por entender los respectivos órganos jurisdiccionales que el tenor literal del apartado c) del artículo 15.1 menciona a los destinatarios o las categorías de destinatarios, por lo que el responsable de tratamiento tiene la capacidad de elegir entre comunicar al interesado los destinatarios concretos a los que se han comunicado sus datos personales o, simplemente, limitarse a señalar las categorías de destinatarios, tal y como había hecho el servicio postal austríaco.
El interesado recurrió dichas desestimaciones ante el Tribunal Supremo de lo Civil y lo Penal de Austria, órgano que acoge la interpretación del recurrente hasta el punto de plantearse la duda de si realmente el tenor literal del apartado c) constituye una alternativa en términos absolutos y a elección del responsable del tratamiento o si, por el contrario, lo que prescribe dicho precepto es que, cuando los destinatarios de los datos no se hayan determinado o los daos no se hayan transferido se pueda comunicar tan solo la categoría de destinatarios pero cuando los datos ya se hayan transferido el derecho de acceso alcance a la información sobre los destinatarios concretos y esta es la cuestión que el órgano jurisdiccional remitente plantea al Tribunal de Justicia de la Unión Europea:
¿Debe interpretarse el artículo 15, apartado1, letra c) del RGPD en el sentido de que, en el caso de comunicaciones previstas respecto de las que aún no se han determinado los destinatarios concretos, el derecho de acceso se limita a la información sobre las categorías de destinatarios, mientras que, en el caso de que los datos ya hayan sido comunicados, el derecho de acceso debe extenderse necesariamente también a la información sobre los destinatarios de esas comunicaciones?
LAS CONSIDERACIONES DE LA SENTENCIA
La sentencia se emite por la Sala Primera del Tribunal de la Justicia de la Unión Europea el 12 de enero de 2023 y, tras exponer de forma exhaustiva el marco jurídico con mención y reproducción literal tanto de los considerandos como de los artículos del RGPD que son de aplicación o que, colateralmente, tienen relación con la decisión prejudicial solicitada, procede a la emisión de las consideraciones jurídicas asumiendo, en gran medida, las conclusiones del Abogado General.
Se expone que el artículo 15.1 RGPD regula el derecho de los interesados a obtener del tratamiento información sobre si se tratan o no datos suyos y, para el caso de que sí exista tratamiento, el derecho de acceder tanto a los datos personales objeto de tratamiento como a la información adicional regulada entre las letras a) y h) del mencionado artículo 15.1.
Para el caso que nos ocupa, la letra c) reconoce el derecho a acceder a la información relativa a lo destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales.
El Tribunal afirma que los términos destinatarios y categorías de destinatarios se utilizan sucesivamente, sin que pueda inferirse un orden de prioridad entre ambos.
También expresa que el tenor literal del precepto no permite determinar de forma indubitada si el interesado tiene derecho a ser informado de la identidad concreta de los destinatarios de sus datos.
Ello, no obstante, como criterio interpretativo, se acude al considerando 63 del RGPD que establece que el interesado tiene derecho a conocer y a que sele comunique la identidad de los destinatarios de sus datos personales y no prevé que dicho derecho pueda limitarse a conocer las categorías de destinatarios.
Asimismo, el Tribunal acude a los principios de tratamiento del artículo 5 RGPD, entre los cuales se encuentra el principio de transparencia que, en concordancia con el considerando 39, implica que el interesado disponga de información sobre el tratamiento de sus datos de forma fácilmente accesible y comprensible, por tanto, sin dificultades interpretativas.
Seguidamente, insiste en la distinción entre los artículo 13 y 14 RGPD que regulan la obligación de informar por parte del responsable del tratamiento y el artículo 15, que lo que constituye es un derecho del interesado a obtener información. Con esta distinción y, bajo la naturaleza de derecho del interesado, el Tribunal considera que es al propio interesado y no al responsable a quien corresponde decidir si la información que quiere es la de los destinatarios concretos de los datos o la de las categorías de destinatarios.
Por otro lado, el derecho de acceso es un derecho instrumental para el ejercicio de otros derechos como los de rectificación, supresión (derecho al olvido) o limitación del tratamiento, regulados en los artículos 16, 17 y 18 RGPD. De modo que, para garantizar la efectividad de los derechos mencionados, el interesado debe tener derecho a conocer la identidad concreta del destinatario de sus datos si estos han sido comunicados, pues solo conociendo dicha identidad puede ejercer sus derechos ante el destinatario.
A mayor abundamiento, el artículo 19 RGPD obliga al responsable del tratamiento a comunicar a todos los destinatarios a los que haya transferido datos del ejercicio de los derechos de rectificación, supresión o limitación del tratamiento que haya ejercido un interesado, por lo que, implícitamente por este precepto, el interesado ya tiene derecho a ser informado por el responsable de los destinatarios concretos de sus datos.
El Tribunal recuerda, en todo caso, que el derecho a la protección de datos no es un derecho absoluto y que debe considerarse según su función en la sociedad y en ponderación con otros derechos fundamentales de acuerdo con el principio de proporcionalidad.
En este sentido, cuando no sea posible comunicar la identidad de los destinatarios finales se admite que el derecho de acceso a la información se suscriba a las categorías de destinatarios.
Asimismo, cuando las solicitudes del interesado sean manifiestamente infundadas o excesivas cabe limitar el derecho de acceso a las categorías de destinatarios.
CONCLUSIÓN
Es de gran relevancia la configuración de unos derechos, en este caso el derecho de acceso, como derecho instrumental para el ejercicio de otros derechos, de modo que todos tengan el máximo grado de protección porque sin poder ejercer plenamente alguno de ellos no se puede ejercer otros.
Pero, sin duda, el mayor valor de la sentencia que comentamos reside en vincular el derecho de acceso a la información sobre los datos personales a la elección por parte del interesado de la calidad de la información que desea recibir contraponiendo la obligación del responsable del tratamiento de facilitarla, lo que es, sin duda, una garantía en favor del ciudadano frente a las grandes corporaciones y gigantes tecnológicos impidiendo que transfieran datos de los ciudadanos sin que ellos puedan siquiera llegar a conocer quién tiene sus datos personales.
Esther de Alba Bastarrechea
Letrada de la Asamblea de Madrid