El Tribunal de Justicia de la Unión Europea ha dictado sentencia en el caso Pankki S (C-579/21) estipulando que cuando los interesados ejerzan su derecho de acceso podrán obtener la información relativa a operaciones de consulta de datos personales que se hayan realizado en el seno de la compañía del responsable del tratamiento. En concreto las relativas a las fechas y a los fines de estas operaciones, ya que se trata de información que los interesados tienen derecho a obtener del responsable del tratamiento. Es decir, el artículo 15 del RGPD también incluye información sobre cuándo y por qué los empleados del responsable del tratamiento accedieron a los datos personales.
Sin embargo, esta obligación no alcanza a la información relativa a la identidad de los empleados del responsable del tratamiento que llevaron a cabo esas operaciones o dichos accesos, a menos que la información en cuestión sea indispensable para permitir al interesado ejercer eficazmente sus derechos en virtud del RGPD. Cabe destacar que en todo caso han de tenerse en cuenta los derechos y libertades de dichos empleados que hayan podido acceder a la información.
Si se produjese un conflicto entre el ejercicio del derecho de acceso del interesado y los derechos o libertades de otros, deberán ponderarse ambos derechos y decantarse por aquel que no vulnere dichos derechos o libertades.
Esta sentencia pone en relieve el papel de los responsables del tratamiento al tener que registrar correctamente en sus organizaciones quién tuvo acceso a qué datos, en qué momento y por qué razón.