El derecho a saber quién ha accedido a los datos personales
¿Debe un responsable de tratamiento de datos comunicar quién ha accedido a esa información personal si lo solicita el ciudadano afectado? La respuesta es un rotundo sí y así lo ha afirmado con rotundidad la Justicia comunitaria en una sentencia relacionada con la reclamación de un ciudadano austriaco al principal operador de servicios postales y logísticos del país (Österreichische Post).
La sentencia emitida por el Tribunal de Justicia de la Unión Europea (TJUE) es clara e indica que en el supuesto de que los datos personales hayan sido o vayan a ser comunicados a diferentes receptores, el responsable del tratamiento está obligado a facilitar al interesado, cuando lo solicite, la identidad de esos destinatarios. Únicamente cuando no sea posible identificar a estos últimos, podría limitarse a indicar sólo las categorías de destinatarios de que se trate. Lo mismo sucede cuando el responsable demuestre que la solicitud es infundada o excesiva.
La corte europea apunta que este derecho de acceso del interesado es necesario para permitirle ejercer otros reconocidos por el Reglamento General de Protección de Datos (RGPD), como son el derecho de rectificación, el de supresión, conocido como el derecho al olvido, el derecho a la limitación del tratamiento, el derecho de oposición al tratamiento, así como el derecho a recurrir por los daños sufridos por un tratamiento inadecuado.
Según detalla el escrito, un ciudadano pidió a la Österreichische Post, basándose en lo expuesto en el RGPD, que le facilitara la identidad de los destinatarios a los que había comunicado sus datos personales. Justamente, el TJUE destaca en su fallo que esta normativa europea establece que el interesado tiene derecho a obtener este tipo de información si lo solicita.
La Österreichische Post se limitó a señalar que utilizaba los datos, dentro de los límites legales, en el ejercicio de su actividad como editorial de guías telefónicas y que los ofrecía a clientes comerciales con fines de márketing. Ante la respuesta escasa, el ciudadano demandó a la empresa de correos ante la Justicia.
A lo largo del procedimiento, la empresa identificó que los datos habían sido transmitidos a clientes, entre los que se encontraban anunciantes del sector de la venta física o por correspondencia, empresas informáticas, editores de directorios y asociaciones como organizaciones caritativas, ONG o partidos políticos.
En última instancia, el Tribunal Supremo austriaco pidió al TJUE que le informara si el RGPD concede al responsable del tratamiento la libertad de elegir si comunica la identidad concreta de los destinatarios o sólo las categorías de destinatarios, o si ofrece al interesado el derecho a conocer su identidad concreta.