Derecho de acceso: diferencias entre la LO 3/2018 y la LO 7/2026

El derecho de acceso en protección de datos se define hoy en España por dos normas distintas: el artículo 13 de la LO 3/2018 y el artículo 22 de la LO 7/2021. Confundir sus ámbitos es uno de los errores más habituales en la práctica jurídica.

Cada una regula un escenario diferente, con requisitos y límites propios. Y ninguna equivale al acceso a la documentación oficial por vía administrativa o judicial.

El artículo 13 de la LO 3/2018: el acceso en el ámbito general

El artículo 13 de la LO 3/2018, de 5 de diciembre, remite al artículo 15 del RGPD y fija el contenido del derecho de acceso en el tratamiento ordinario de datos personales.

El interesado puede obtener del responsable la confirmación de si sus datos están siendo tratados. En caso afirmativo, tiene derecho a acceder a la siguiente información:

• Fines del tratamiento al que están destinados los datos.
• Categorías de datos personales objeto de tratamiento.
• Destinatarios o categorías de destinatarios, en especial en terceros países u organizaciones internacionales.
• Plazo previsto de conservación o, si no es posible, los criterios utilizados para determinarlo.
• Derechos disponibles: rectificación, supresión, limitación del tratamiento y oposición.
• Derecho a reclamar ante una autoridad de control.
• Origen de los datos cuando no se hayan obtenido directamente del interesado.
• Decisiones automatizadas, incluida la elaboración de perfiles, con información sobre la lógica aplicada y las consecuencias previstas.

El artículo 22 de la LO 7/2021: acceso en el ámbito penal

La LO 7/2021, de 26 de mayo, regula los tratamientos de datos personales para la prevención, detección, investigación y enjuiciamiento de infracciones penales, así como la ejecución de sanciones penales. Su artículo 22 se aplica, por ejemplo, a personas privadas de libertad.

El interesado puede obtener confirmación del tratamiento y, en su caso, acceder a los datos y a esta información:

• Fines y base jurídica del tratamiento.
• Categorías de datos personales tratados.
• Destinatarios o categorías de destinatarios, en particular en Estados no pertenecientes a la UE u organizaciones internacionales.
• Plazo de conservación o los criterios para fijarlo.
• Derecho a solicitar rectificación, supresión o limitación del tratamiento.
• Derecho a reclamar ante la autoridad de protección de datos competente, con sus datos de contacto.
• Comunicación de los datos tratados e información disponible sobre su origen, sin revelar la identidad de personas físicas, en especial en el caso de fuentes confidenciales.

La diferencia clave respecto al régimen general está en esa última limitación: la protección de fuentes confidenciales puede restringir la información sobre el origen de los datos.

Tres vías de acceso que no deben confundirse

La AEPD ha señalado en varias resoluciones que el derecho de acceso en protección de datos es un derecho distinto al acceso a la documentación oficial por otras vías legales.

Conviene distinguir tres escenarios:

• Acceso por protección de datos: el interesado pregunta si sus datos están siendo tratados y con qué fines, categorías, cesiones previstas y plazo de conservación.
• Acceso como parte en un procedimiento administrativo: se ampara en el derecho a la tutela judicial efectiva y sigue cauces procesales propios.
• Acceso a información pública: se rige por la Ley 19/2013, de 9 de diciembre, de transparencia y buen gobierno.

Cada vía tiene su propio régimen jurídico, sus plazos y sus límites. Invocar una cuando corresponde otra puede llevar al archivo de la solicitud o a una respuesta incompleta.

La práctica jurídica ante dos regímenes paralelos

Para despachos y asesorías jurídicas, la coexistencia de ambas normas exige identificar primero el régimen aplicable antes de formular cualquier solicitud. No es lo mismo asesorar a un trabajador que pide acceso a sus datos en una empresa que a un interno en un centro penitenciario.

El error más frecuente es plantear la solicitud bajo la norma equivocada, lo que puede retrasar el procedimiento o derivar en una denegación formalmente correcta pero materialmente inútil. En el ámbito de la LO 7/2021, además, las restricciones al acceso son mayores y la respuesta del responsable puede ser más limitada sin que ello constituya una infracción.

Información publicada originalmente por LegalToday.

Imagen: Pexels