Derecho de acceso: Qué es, requisitos y cómo ejercerlo

El derecho de acceso forma parte de los derechos en protección de datos recogidos en el RGPD y la LOPDGDD; este artículo explicaremos qué es el derecho de acceso a datos personales, cuáles son sus requisitos y cómo ejercer el derecho de acceso a mis datos.

¿Qué es el derecho de acceso?

El RGPD define el derecho de acceso como la capacidad que tienen los ciudadanos para solicitar información sobre el tratamiento de sus datos personales al responsable del tratamiento, en concreto a saber si sus datos están siendo tratados y, en caso afirmativo, cuáles son esos datos y para qué y cómo están siendo tratados.

El derecho de acceso en protección de datos forma parte de los denominados derechos ARSULIPO (antiguos derechos ARCO) y en concreto permite acceder a la siguiente información:

• Finalidad del tratamiento: los motivos por los que se recaban los datos personales.
• Categorías de los datos personales: datos sensibles, no sensibles y categorías especiales de datos.
• Destinatarios de la información: quién son los encargados del tratamiento y quién tiene acceso a los datos.
• Cesión de datos a terceros: si la información va a ser transferida a un destinatario diferente al que la obtuvo.
• Plazo de conservación de datos: el tiempo que permanecerá la información en los ficheros del responsable y/o destinatario, así como los criterios seguidos para determinar dicho plazo.
• Origen de la información: siempre que no se haya obtenido directamente del interesado.
• Existencia de decisiones automatizadas: lo cual incluye informar sobre la elaboración de perfiles y las consecuencias que dichos tratamientos podrían tener para el interesado.

El derecho de acceso en protección de datos es el derecho del individuo a dirigirse al responsable del tratamiento para saber si se están tratando sus datos personales y, en caso afirmativo, obtener información acerca del tipo del tratamiento que se está realizando.

¿Dónde y cómo se regula el derecho de acceso?

El derecho de acceso RGPD se regula en el artículo 15, que dice que «el interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales».

El derecho de acceso LOPD está regulado en el artículo 13, que nos remite directamente a lo expuesto en el RGPD, indicando que «el derecho de acceso del afectado se ejercitará de acuerdo con lo establecido en el artículo 15 del Reglamento (UE) 2016/679».

Por lo tanto, es obligación del responsable del tratamiento responder a las solicitudes del derecho de acceso de los interesados.

La normativa también establece que el responsable del tratamiento debe informar al interesado de cómo y a través de qué vía ejercer el acceso a sus datos (junto al resto de derechos ARSULIPO). Asimismo, también informará sobre la potestad que tienen los interesados para realizar una reclamación ante la Agencia Española de Protección de Datos (AEPD), en caso de considerar que se está vulnerando el derecho al acceso de sus datos personales.

Requisitos generales del procedimiento de acceso a datos

Cómo hemos adelantado más arriba, los responsables del tratamiento están obligados a responder a las solicitudes del derecho de acceso a datos personales, y hacerlo siempre dentro de un plazo (del que hablaremos más adelante) y forma.

En principio, el responsable del tratamiento no puede negarse a responder al ejercicio del derecho de acceso de un interesado, sin embargo, sí que existen ciertos requisitos que deben tenerse en cuenta la hora de gestionar este derecho:

• Se podrá pedir al interesado que se identifique para verificar su identidad, ahora bien, la identificación no podrá suponer una petición excesiva de datos (por ejemplo, pedir el DNI en este caso sería excesivo), sino que se debe optar por medidas menos invasivas (por ejemplo, la dirección de email que uso para suscribirse o el nombre de usuario).
• Cuando el acceso a datos personales entrañe cierta complejidad, el responsable del tratamiento puede solicitar que el interesado especifique los ficheros que desea consultar. En dicho caso, deberá proporcionar un listado con todos los ficheros para que el individuo pueda identificarlos.
• El interesado tiene derecho a recibir la información relativa a sus datos a través del mismo medio que hubiera utilizado para ello o del medio que él mismo hubiera especificado.
• El derecho a de acceso no se limita a la mera consulta, sino que el interesado deberá recibir una copia de su información personal, que podrá guardar de forma privada. Además, dicha información debe suministrarse de manera que sea legible.

¿Cómo se solicita el derecho de acceso?

El interesado debe emplear los cauces ofrecidos por el responsable del tratamiento para la solicitud de acceso a sus datos personales. En este sentido, el artículo 13 sobre el derecho de acceso en la LOPD señala que el responsable del tratamiento está obligado a facilitar un sistema de acceso remoto, seguro y directo a los datos personales que garantice de modo permanente el acceso a su totalidad.

En lo que respecta al formato, la persona puede realizar la solicitud por medio de soportes físicos o electrónicos. A su vez, el responsable del tratamiento debe responder por el mismo medio, salvo que el interesado decida otra cosa.

En caso de que la respuesta a dicha solicitud se haga online o a través de medios digitales, deberá facilitarse en un formato de archivo sencillo y compatible con la mayoría de dispositivos.

Plazo de contestación cuando se ejerce el derecho de acceso

El plazo para la contestación a la solicitud del derecho de acceso a datos personales es de un mes desde el momento en que se recibió la solicitud. Este plazo se aplica tanto si el responsable tiene los datos que se solicitan como si no, es decir, que en caso de no poder responder favorablemente a la solicitud de acceso, deberá comunicárselo al interesado dentro de ese plazo de un mes.

Cabe señalar que el plazo puede ampliarse a dos meses, siempre y cuando existan razones para ello, como la complejidad del acceso a la información o un exceso de consultas. El responsable debe informar del retraso al interesado antes de que pase un mes desde la solicitud.

Limitaciones al derecho de acceso

Como ocurre con otros derechos, el derecho de acceso no es absoluto y tiene cierta limitaciones, en concreto, se puede limitar el derecho de acceso a datos relativos o relacionados con:

• Seguridad y defensa del Estado y de la seguridad pública.
• Prevención, detección, investigación o enjuiciamiento de acciones penales.
• Ejecución de sanciones penales, incluidas las referidas a la prevención de amenazas contra la seguridad pública.
• Objetivos de interés general para la Unión Europea o uno de sus Estados miembros, ya sea en materia fiscal, presupuestaria o monetaria, así como relativos a la sanidad pública o la seguridad social.
• Procedimientos judiciales y salvaguarda de la independencia de la jurisprudencia.
• Prevención, detección, investigación y enjuiciamiento de infracciones relacionadas con normas deontológicas o del ejercicio profesional..
• Supervisión y control del ejercicio de la autoridad pública.
• Protección de los derechos y libertades de otros.
• Ejecución de demandas civiles.

También se puede considerar que el derecho de acceso a datos se está ejerciendo de una forma repetitiva y desmedida si se solicita acceder a los datos más de una vez en un plazo de seis meses.

Cabe señalar que en caso que se niegue el acceso a los datos del interesado, el responsable deberá justificar dicha negación y comunicársela al interesado, mencionando en dicha comunicación que si no está conforme con la decisión, puede reclamar ante la AEPD.

Sanciones por no atender correctamente una solicitud de acceso a datos

Tanto el RGPD como la LOPD establecen que no atender correctamente una solicitud de acceso a datos es una infracción muy grave (igual que con el resto de derechos de los interesados), que está sancionada con un máximo de 20 millones de euros o una multa equivalente al 4€ de la facturación del último ejercicio, la cuantía que resulte superior.

Por lo tanto, impedir, obstaculizar o no atender las solicitudes del derecho de acceso o no responder en tiempo y forma, así como el cobro de un canon por atender dicho derecho, serán consideradas faltas muy graves.

Ejemplos

Veamos algún ejemplo de acceso a datos a través del ejercicio de este derecho:

• Un día empezamos a recibir emails publicitarios de una empresa a la que no recordamos haber dado nuestro consentimiento para el tratamiento de nuestros datos o el envío de estos emails. Para saber cómo han conseguido nuestros datos y qué legitimidad tienen para ello, enviaremos una solicitud de derecho de acceso, utilizando para ello el enlace que deberían facilitar en el propio email. La empresa deberá respondernos con la información solicitada.
• Otro ejemplo, si accedéis al apartado de configuración de vuestra cuenta de Twitter, podréis descargar un archivo con los datos que almacena vuestra cuenta. Esta es la forma de ejercer el derecho de acceso en esta red social.
• Un ejemplo de sanción por no responder debidamente al derecho de acceso lo tenemos en una resolución de la AEPD de 2020, en la que multó a Telefónica Móviles España por no facilitar el acceso completo a sus datos a un reclamante.

FAQ

¿Me pueden denegar el acceso a mis datos personales?

Ya hemos visto algunas de las limitaciones al derecho de acceso. Sobre todo, hay que tener en cuenta que no se podrá ejercer si afecta a los derechos y libertades de otros, incluyendo los derechos sobre la propiedad intelectual o los secretos comerciales.

Por ejemplo, es muy posible que si solicitamos acceso a las imágenes de una cámara de seguridad, se nos deniegue, porque en las imágenes aparecen otras personas, cuyos datos personales no estamos autorizados a conocer (la imagen, cuando permite reconocer a alguien, es un dato personal).

El acceso a mis datos también podría ser denegado en caso de ejercerlo de forma reiterada y desproporcionada, o en su defecto, podrían cobrarme un canon.

¿Qué debo hacer si me deniegan el acceso por causas no justificadas?

En estos casos lo mejor es acudir en primera instancia a la Agencia Española de Protección de Datos, quien instará al responsable del tratamiento a que cumpla con su obligación de informar al interesado. Si, aun así, el responsable se niega, queda la opción de reclamar por la vía judicial.

¿El derecho de acceso es gratuito?

El derecho de acceso es completamente gratis, salvo que se actúe de forma excesiva. Por ejemplo, en caso de que el interesado solicite que el responsable proporcione la información por un medio distinto al solicitado y que suponga un coste desproporcionado. En estos casos, será el afectado quien corra con los gastos derivados de esta exigencia.