AEPD: El silencio no es respuesta válida al solicitar datos

La Agencia Española de Protección de Datos (AEPD) ha dictado una resolución que deja claro que el silencio no es una respuesta válida cuando un ciudadano ejerce su derecho de acceso a sus datos personales. La sanción contra la Tesorería General de la Seguridad Social (TGSS) establece un precedente contundente sobre la obligación de los organismos públicos de responder de forma individualizada, completa e inteligible, incluso cuando consideran que la solicitud debería tramitarse por otra vía administrativa.

La TGSS intentó eludir el GDPR invocando la Ley 39/2015

El caso se remonta al 19 de mayo, cuando un ciudadano solicitó acceso a todos sus datos personales relativos a deudas, recursos de alzada y documentación sobre pagos afectados por embargos de cuentas, salarios y saldos. La TGSS respondió argumentando que buena parte de la petición debía tramitarse como solicitud de expediente administrativo bajo la Ley 39/2015 del Procedimiento Administrativo Común, y no como ejercicio del derecho de acceso del Reglamento General de Protección de Datos (RGPD).

La estrategia de la TGSS no era nueva. Numerosos organismos públicos han intentado desviar solicitudes de acceso al RGPD hacia las vías administrativas ordinarias, donde los plazos son más laxos y las garantías de transparencia sobre el tratamiento de datos personales resultan más difusas. La diferencia es sustancial: el RGPD otorga al interesado derechos específicos sobre qué datos se tratan, con qué finalidad, durante cuánto tiempo y quién tiene acceso a ellos.

La AEPD impone el primado del RGPD y cita al TJUE

La AEPD desestimó por completo la justificación de la TGSS. En primer lugar, recordó que como responsable del tratamiento, el organismo está obligado a responder incluso cuando una solicitud sea excesiva, carezca de información o resulte ambigua. El deber de respuesta es ineludible. En segundo lugar, estableció que al haberse invocado expresamente el derecho de acceso a datos personales, la TGSS estaba obligada a resolver formalmente bajo el marco del RGPD, sin posibilidad de reclasificación unilateral.

El tercer punto resulta especialmente relevante para la práctica cotidiana de compliance. La AEPD aclaró que simplemente facilitar expedientes o remitir al ciudadano al Registro de Actividades de Tratamiento (RAT) no satisface el requerimiento legal. El RGPD exige una respuesta individualizada, completa e inteligible sobre qué datos se están tratando y de qué manera. El RAT es una herramienta interna de documentación del responsable, no un mecanismo de respuesta al interesado.

Para reforzar su posición, la AEPD citó el artículo 58.2 del RGPD, que confiere a la agencia poderes correctores para garantizar los derechos de los interesados. Pero fue más allá: invocó dos sentencias del Tribunal de Justicia de la Unión Europea (TJUE), los asuntos C-487/21 y C-579/21, que precisan que el derecho a obtener copia implica recibir una reproducción auténtica e inteligible de los datos personales, lo que puede incluir extractos de documentos o documentos completos si resulta necesario para ejercer efectivamente los derechos.

Diez días hábiles y advertencia de infracción muy grave

La resolución de la AEPD no se quedó en la mera declaración de infracción. Ordenó a la TGSS que completara su respuesta en un plazo de diez días hábiles, un término significativamente más corto que los habituales en vías administrativas ordinarias. Además, incluyó una advertencia explícita: el incumplimiento de esta resolución podría calificarse como infracción muy grave del RGPD, con las consecuentes sanciones económicas que el artículo 83.5 del reglamento permite, hasta 20 millones de euros o el 4% de la facturación anual global.

La gravedad de la calificación no es retórica. La AEPD ha mostrado en los últimos años una tendencia creciente a tipificar como muy graves las reincidencias o resistencias sistemáticas al ejercicio de derechos ARCO, especialmente cuando provienen de organismos públicos que deberían servir de ejemplo en el cumplimiento normativo. La TGSS, que gestiona datos personales de decenas de millones de cotizantes y pensionistas, opera en un contexto de especial vulnerabilidad del interesado.

Implicaciones para responsables de compliance y DPOs

La resolución traslada varias obligaciones operativas a los despachos y departamentos de protección de datos. En primer lugar, los procedimientos de respuesta a solicitudes de acceso deben distinguir claramente entre el ejercicio de derechos RGPD y otras vías administrativas, sin posibilidad de reclasificación arbitraria. En segundo lugar, la respuesta debe superar la mera remisión a registros internos o a la documentación existente en poder del interesado.

El estándar fijado por la AEPD, con el respaldo del TJUE, exige que el responsableelabore una respuesta que permita al ciudadano conocer de forma efectiva qué datos se tratan, con qué finalidad, durante cuánto tiempo, su origen y los destinatarios o categorías de destinatarios. El silencio, la remisión genérica o la delegación en el propio interesado para que busque en registros públicos quedan descartados como prácticas conformes.

Para los abogados de empresa y asesores de entidades públicas, la resolución implica revisar los protocolos de atención de solicitudes de acceso. La tendencia sancionadora apunta hacia una exigencia creciente de proactividad documental y de personalización de las respuestas, en línea con la interpretación del TJUE que la AEPD ha incorporado activamente a su doctrina.

Información publicada originalmente por Confilegal.