SENTENCIA DEL TRIBUNAL DE JUSTICIA (Sala Primera) de 12 de enero de 2023, en el asunto C‑154/21.
El Tribunal de Justicia de la Unión Europea, en Sentencia de 12 de enero de 2023, reconoce el derecho de acceso de un ciudadano que solicitó a solicitar el acceso a información para conocer exactamente a qué destinatarios se han comunicado sus datos.
El TJUE ha resuelto la cuestión prejudicial planteada por el Tribunal Supremo de lo Civil y Penal de Austria, en el marco de un litigio entre un ciudadano austriaco y el principal operador de servicios postales y logísticos de Austria. El interesado solicitó información sobre los destinatarios a los que se fueran a comunicar sus datos personales, a lo que el operador se limitó a responder que se ofrecían los datos a socios comerciales. Posteriormente, el operador informó de que los datos del demandante habían sido transmitidos a empresas informáticas, anunciantes, ONGs entre otros.
Los tribunales, tanto en primera instancia como en apelación, consideraron que se había cumplido con las obligaciones que impone el RGPD al informar de la categoría de los destinatarios. Sin embargo, el Tribunal Supremo decidió consultar al TJUE acerca de si realmente es suficiente con revelar la categoría de los destinatarios.
Según el TJUE, el artículo 15 RGPD establece un verdadero derecho de acceso en favor del interesado, de modo que este debe tener la posibilidad de elegir entre obtener información sobre los destinatarios específico y obtener información sobre las categorías de destinatarios (§36).
El Tribunal también hace referencia al “derecho al olvido”, cuando argumenta que el acceso por parte del interesado a información sobre los destinatarios de sus datos resulta necesario para que este pueda ejercer sus derechos de rectificación, supresión y limitación de tratamiento; así como poder actuar en consecuencia si se vieran vulnerados sus derechos (§38).
Finalmente, el TJUE concluye que el responsable del tratamiento debe facilitar al interesado la identidad de los destinatarios, a no ser que resulte imposible identificarlos o que la solicitud de acceso a los datos resulte infundada o excesiva, en el sentido de lo dispuesto en el RGPD, en cuyo caso podrá comunicarse al interesado solamente las categorías de los destinatarios.