El derecho de acceso es uno de los derechos que con más frecuencia ejercen los interesados frente a las organizaciones. A priori, parece sencillo: una persona quiere saber qué datos tiene una entidad sobre ella, cómo se utilizan y obtener una copia de los mismos. Sin embargo, en la práctica, responder correctamente a una solicitud de acceso plantea algunas cuestiones que pueden pasar desapercibidas: ¿Es suficiente con entregar los documentos en los que aparecen los datos del interesado? ¿Puede remitirse a la política de privacidad o al Registro de Actividades de Tratamiento (RAT)?
Una reciente resolución de la Agencia Española de Protección de Datos (en adelante, AEPD), relativa a la Tesorería General de la Seguridad Social (en adelante, TGSS), resulta especialmente interesante al abordar precisamente estas cuestiones y dejar una idea clara: La información general sobre los tratamientos puede servir como medida de transparencia, pero no sustituye la respuesta individualizada que debe darse al interesado cuando ejerce su derecho de acceso.
El caso permite, además, extraer algunas conclusiones prácticas que trascienden el ámbito de la Administración Pública y que deberían tenerse en cuenta en cualquier organización que gestione solicitudes de derechos.
El derecho de acceso comprende mucho más que los datos personales.
El interesado ejerció su derecho de acceso (artículo 15 RGPD) frente a la TGSS a través del canal habilitado por la propia Administración. Además de solicitar información sobre sus datos personales, pidió documentación relacionada con un expediente de deuda, recursos de alzada y diligencias de embargo.
Esta solicitud no fue atendida dentro del plazo de un mes establecido por el RGPD. Posteriormente, la TGSS remitió al interesado diversa documentación relacionada con el procedimiento: diligencias de embargo y levantamiento, notificaciones, acuses de recibo, certificaciones DEHÚ, correos electrónicos y otros documentos.
A primera vista, podría parecer que facilitar toda esta documentación era suficiente. Sin embargo, la AEPD recuerda que el derecho de acceso tiene un contenido más amplio.
De acuerdo con las Directrices 01/2022 del Comité Europeo de Protección de Datos, este derecho comprende tres dimensiones: la confirmación de si se están tratando datos personales, el acceso a esos datos y la información sobre el tratamiento, incluyendo cuestiones como las finalidades, las categorías de datos, los destinatarios, los plazos de conservación o la existencia de decisiones automatizadas.
La diferencia es importante.
Una organización puede facilitar al interesado una copia de todos los documentos en los que aparecen sus datos y, aun así, no haber respondido completamente a su solicitud. El artículo 15 RGPD no permite conocer únicamente qué datos tiene la organización, sino también qué hace con ellos.
El RAT informa, pero no responde al interesado.
Uno de los aspectos más relevantes de la resolución es la respuesta que la TGSS dio respecto de la información sobre sus tratamientos.
En lugar de facilitar toda la información de forma individualizada, remitió al interesado al RAT publicado en la Sede Electrónica de la Seguridad Social.
Y aquí la AEPD establece una diferencia que resulta especialmente útil para las organizaciones:
El RAT cumple una función de transparencia general. Permite conocer qué tratamientos realiza una entidad, con qué finalidades, qué categorías de datos se utilizan o quiénes pueden ser sus destinatarios. Pero el RAT no sustituye la respuesta a un ejercicio concreto del derecho de acceso.
La AEPD recuerda que la información general publicada por el responsable puede servir como herramienta de transparencia, pero no satisface por sí misma las obligaciones derivadas de una solicitud individual.
La diferencia puede parecer pequeña, pero tiene importantes consecuencias prácticas:
No es lo mismo decir al interesado que consulte el RAT, que explicarle, respecto de su caso concreto, qué datos se están tratando, con qué finalidad, qué destinatarios han recibido sus datos o durante cuánto tiempo está previsto conservarlos.
Por ello, el RAT puede ser una fuente de información para preparar una respuesta, pero no puede convertirse en la respuesta.
No basta con entregar el expediente completo
La resolución plantea otra cuestión que puede generar dudas: la relación entre el derecho de acceso del RGPD y el acceso a un expediente administrativo.
El artículo 15 RGPD no constituye un derecho general a obtener cualquier expediente que obre en poder de una organización. Sin embargo, tampoco puede utilizarse esta distinción para dejar sin atender los datos personales incluidos en esa documentación.
La AEPD recuerda que, cuando una solicitud de información incluye cuestiones que van más allá del derecho de acceso, el responsable debe valorar cada una de las peticiones de forma diferenciada. Esto no significa que pueda desatender la solicitud en su conjunto: deberá facilitar la información que forme parte del contenido del derecho de acceso y, respecto de aquellas cuestiones que excedan de su ámbito, explicar, cuando proceda, los motivos por los que no puede atenderlas.
Esto obliga a evitar dos respuestas igualmente simplistas: entregar automáticamente todo el expediente, aunque incluya información ajena al derecho de acceso o datos de terceros que deban protegerse, o remitir al interesado a otro procedimiento para obtener la documentación, sin llegar a analizar los datos personales que contiene.
La respuesta correcta exige identificar qué está solicitando realmente el interesado y determinar qué parte de esa solicitud queda amparada por el RGPD.
Del mismo modo, la «copia» prevista en el artículo 15 RGPD no implica necesariamente entregar todos los documentos íntegros. En función de las circunstancias, puede ser suficiente con facilitar los datos personales o resultar necesario proporcionar extractos o documentos completos para que el interesado pueda comprender el tratamiento y ejercer efectivamente sus derechos.
Una respuesta individualizada no significa empezar de cero
Llegados a este punto, podría parecer que cada solicitud de acceso exige elaborar una respuesta completamente diferente. No es así.
Las Directrices 01/2022 permiten utilizar información procedente de políticas de privacidad u otros documentos generales, siempre que esta se encuentre actualizada y sea adecuada para la solicitud concreta.
El problema aparece cuando la información general se utiliza como sustituto de la respuesta individual.
Una organización puede tener perfectamente documentados sus tratamientos y disponer de un RAT actualizado. Pero, cuando recibe una solicitud de acceso, debe ser capaz de identificar qué información resulta aplicable a ese interesado y facilitarla de forma comprensible.
Esto es especialmente relevante en cuestiones como los destinatarios concretos de los datos, las categorías efectivamente tratadas o la procedencia de la información, que pueden variar dependiendo de cada caso.
Por tanto, la existencia de una buena documentación de cumplimiento es necesaria, pero no suficiente.
El verdadero reto está en disponer de procedimientos internos que permitan transformar esa información general en una respuesta concreta.
El plazo también forma parte del derecho.
Junto al contenido de la respuesta existe otro elemento que en este caso resulta especialmente relevante: el plazo.
El artículo 12.3 RGPD establece que el responsable debe responder al ejercicio de derechos sin dilación indebida y, con carácter general, en el plazo de un mes desde la recepción de la solicitud.
En el caso analizado, la solicitud se presentó el 19 de mayo de 2025 y la respuesta se produjo casi seis meses después.
La TGSS alegó determinadas circunstancias relacionadas con la tramitación posterior de la reclamación, pero la AEPD recuerda que el plazo comienza a contar desde que el responsable recibe la solicitud.
Y esto tiene una consecuencia práctica importante: habilitar un canal para ejercer derechos no es suficiente si la organización no dispone de un procedimiento interno que garantice que las solicitudes llegan a quien debe gestionarlas y se responden dentro de plazo.
Cumplir no es solo “contestar”, es “responder”.
Más allá del caso concreto de la TGSS, la resolución ofrece una enseñanza que puede trasladarse a cualquier organización.
Una entidad puede tener un RAT correctamente elaborado, una política de privacidad actualizada y un procedimiento para gestionar derechos y, sin embargo, no estar preparada para responder correctamente cuando un interesado solicita acceso a sus datos.
El ejercicio del derecho de acceso pone a prueba, en la práctica, todo el sistema de protección de datos de la organización.
Cuando una persona pregunta qué datos tiene una organización sobre ella, para qué los utiliza, a quién los comunica o durante cuánto tiempo los conserva, la organización debe ser capaz de responder con precisión y dentro de plazo. Para ello es necesario conocer realmente los tratamientos que se realizan, mantener actualizada la información y establecer mecanismos que permitan coordinar a las distintas áreas implicadas en la respuesta.
La resolución de la AEPD deja así una conclusión clara: el RAT puede informar sobre los tratamientos de una organización, pero no puede responder por ella cuando un interesado ejerce su derecho de acceso.
El cumplimiento del artículo 15 RGPD no termina cuando la organización publica su información sobre protección de datos. Empieza, precisamente, cuando es capaz de explicar a cada interesado qué ocurre con sus propios datos.
Si te interesan otras entradas de nuestro blog relacionadas con el ejercicio de derechos, puedes leerlas aquí y aquí.
