TJUE señala en una reciente sentencia la obligación de comunicar al interesado a qué destinatarios va dirigido el tratamiento de los datos. Cuando así lo solicite, el responsable de tratamiento deberá proporcionar la información solicitada. [TOL9.354.035]
El demandante solicitó al responsable de tratamiento de los datos relativos a su persona conocer los destinatarios de los mismos, los comunicados a terceros y su identidad. La parte demandada respondió simplemente indicando los fines comerciales de los datos, sin indicar expresamente quién tiene acceso a los datos.
La cuestión prejudicial se dirige a la interpretación del artículo 15.1 c) del Reglamento General de Protección de Datos (Reglamento UE 2016/679, del Parlamento y del Consejo, de 27 de abril de 2016):
«El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
c) los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales».
Dicho precepto es el invocado por ambas partes para la resolución del litigio. El tribunal nacional solicita que el TJUE determine si debe comunicar todos los destinatarios a los que se ofrecen los datos o si puede elegir comunicar únicamente las categorías de los destinatarios de los datos del interesado.
¿Cuál es la justificación de dicha exigencia?
El conocimiento del destino de los datos tratados es imprescindible para que el interesado pueda ejercer sus derechos. El Reglamento recoge el derecho a la rectificación, derecho de supresión, y derecho a la limitación del tratamiento (arts. 16 – 18). También puede oponerse al tratamiento de sus datos, así como reclamar los daños sufridos, de tal forma, que si no conoce el destinatario que ha generado el perjuicio, no es posible que el usuario ejerza tales derechos.
El Reglamento también contempla ciertas circunstancias en las que no se puede exigir la comunicación exacta y concreta de todos los destinatarios: cuando no se pueda identificar a los destinatarios (o resulte de una dificultad desproporcionada) o cuando la solicitud no se ajuste a lo previsto, por excesiva o injustificada.
Interpretación del artículo 15.1 c) RGPD:
El tribunal expone la obligación implícita en el derecho de acceso del interesado a los datos relativa a facilitar la identidad de los destinatarios. Existe una obligación general de comunicación, salvo que la solicitud no se ajuste a lo establecido o sean de difícil identificación. En dicho caso, la obligación se cumplirá con la comunicación de las categorías de destinatarios, sin especificar individualmente.
Por lo tanto, el artículo expresa una obligación general con una posibilidad subsidiaria en caso de que no se ajuste a lo previsto. No se trata de una elección por parte del responsable de tratamiento de datos, que deberá siempre facilitar el acceso para el cumplimiento de los derechos atribuidos por el reglamento.
