En el presente supuesto, la titular de los datos envió un correo electrónico a la dirección habilitada por RENFE a tal efecto en la política de privacidad con la finalidad de que dicha entidad le remitiera información sobre el tratamiento de sus datos personales (de este modo, la afectada ejercía su derecho de acceso). No obstante, en ningún momento RENFE dio respuesta a dicha solicitud.
Con motivo de lo anterior, se interpuso demanda por la que solicitaba que se declarase que la conducta de RENFE, al no haber respondido al ejercicio del derecho de acceso, suponía una lesión de su derecho fundamental de protección de datos. RENFE presentó contestación a dicha demanda alegando, entre otras cuestiones, que la actora había ejercido defectuosamente su derecho de acceso, no siendo recibida la solicitud en ningún momento por la compañía (motivo por el que no pudo dar respuesta). Adicionalmente, afirmaba que la compañía gestiona un número muy elevado de solicitudes y que nunca ha sido sancionada con ocasión de un tratamiento incorrecto de los datos personales de sus clientes.
El Tribunal de Instancia desestimó la demanda declarando que la actora no había acreditado el ejercicio del derecho conforme a lo dispuesto en el Real Decreto 1720/2007 por no haber facilitado prueba de la recepción de su solicitud por RENFE (en este sentido, el hecho de aportar un correo electrónico era insuficiente para esta finalidad). Contra dicha resolución, se interpuso por la actora recurso de apelación ante la Audiencia Provincial alegando que esta prueba relativa al envío y recepción de la solicitud sólo se tiene que aportar cuando se utiliza, para el ejercicio del derecho de acceso, un medio distinto al habitual y establecido por RENFE. No obstante, este recurso también fue desestimado por los mismos motivos que la demanda, indicándose adicionalmente que RENFE sí había aportado “dos documentos que certificaban que no se había encontrado ninguna traza que verificara la recepción de ningún correo”.
Habida cuenta de ello, la titular de los datos interpuso recurso de casación por la indebida aplicación del artículo 24.5 del Real Decreto 1720/2007 que establecía que “únicamente procede requerir al solicitante del derecho de acceso a los datos personales que justifique la recepción de su petición por parte del responsable del tratamiento cuando dicho solicitante no haya utilizado el canal habilitado para ello por el referido responsable, sino uno alternativo”.
En su escrito, la recurrente indicaba que se había llevado a cabo una incorrecta interpretación de dicho precepto (así como de lo dispuesto en la Instrucción 1/1998 de la AEPD) por cuanto el mismo estaba derogado, sin que el articulado en vigor distinga si se ha utilizado el canal establecido para la solicitud u otro alternativo. Con esta interpretación que realiza la Audiencia, se restringía, en opinión de la recurrente, el derecho de acceso, ya que obliga a los afectados a ejercerlo a través de un medio que permita acreditar su recepción, desincentivando este tipo de solicitudes.
En conclusión, afirmaba la recurrente que se debía haber interpretado esta cuestión teniendo en consideración lo dispuesto en el RGPD y la Ley Orgánica 3/2018, “que no establecen ningún requisito para entender válidamente formulada la solicitud de acceso”. Asimismo, se traía a colación que la propia AEPD había indicado en una resolución de 2023 que “el interesado deberá aportar la copia del documento que acredite su recepción cuando envíe la solicitud a través de un canal alternativo”.
El Tribunal Supremo ha declarado que la regulación actual de este derecho no resuelve la controversia relativa a si el titular de los datos que ejercita el derecho debe acreditar el envío y la recepción de la solicitud por el responsable del tratamiento. Así, se declara que a falta de desarrollo reglamentario de la Ley Orgánica 3/2018, el Real Decreto 1720/2007 sirve para ello, siendo “necesario para la plena eficacia de esta, sin perjuicio de que hayan quedado derogadas aquellas normas del citado reglamento que contradigan, se opongan, o resulten incompatibles con lo dispuesto en el” RGPD. A la vista de ello, se indica que el artículo 24.5 de dicho Reglamento establece que el responsable debe atender el ejercicio del derecho de acceso, con independencia de que el titular haya utilizado el procedimiento establecido, “siempre que el interesado haya utilizado un medio que permita acreditar el envío y la recepción de la solicitud”.
De este modo, la discrepancia radica en la interpretación efectuada por la Audiencia, que entendió que la necesidad de acreditar la recepción era aplicable con independencia del canal usado para ejercer el derecho de acceso. Teniendo en cuenta lo anterior, el Alto Tribunal ha declarado que lo dispuesto en el citado artículo 24.5 no se refiere exclusivamente al caso en el que el afectado utilice un medio alternativo. Así, concluye que la interpretación sería la siguiente: “para que el responsable del fichero o tratamiento atienda el derecho de acceso es necesario que el interesado haya utilizado un medio que permita acreditar el envío y la recepción de la solicitud -aunque no hubiese seguido el procedimiento establecido-”.
Así, si bien esta prueba de recepción carecería de relevancia si el responsable no negase haber recibido la solicitud, en un supuesto como el que nos ocupa en el que RENFE sí aportó prueba que permitía acreditar que no había trazabilidad de la recepción del correo, “las dudas sobre la correcta recepción de la solicitud han de perjudicar a quien acciona”.
La conclusión alcanzada por el TS no queda contradicha por la resolución de la autoridad de control citada por la actora, por cuanto la misma no estaba en vigor en el momento de ejercer el derecho de acceso y se trata de una instrucción dirigida “a aquellos que se dirijan a la AEPD, no a los órganos judiciales, como acontece en este caso”. En este sentido, se afirma por el Alto Tribunal que la afectada no utilizó el medio previsto en la Ley Orgánica 3/2018 en caso de posible vulneración de dicha normativa, puesto que no interpuso la reclamación ante la AEPD.
Puede acceder a la Sentencia del Tribunal Supremo aquí.
