CONCLUSIONES DEL ABOGADO GENERAL
SR. GIOVANNI PITRUZZELLA
presentadas el 15 de diciembre de 2022 (1)
Asunto C‑487/21
F. F.
con intervención de:
Österreichische Datenschutzbehörde,
CRIF GmbH
[Petición de decisión prejudicial planteada por el Bundesverwaltungsgericht (Tribunal Federal de lo Contencioso‑Administrativo, Austria)]
«Procedimiento prejudicial — Protección de datos personales — Reglamento (UE) 2016/679 — Artículo 15, apartado 3 — Derecho de acceso del interesado a los datos personales objeto de tratamiento — Derecho a recibir una copia de los datos personales — Concepto de “copia” — Concepto de “información”»
1. ¿Cuáles son el contenido y el alcance del derecho que se reconoce al interesado que accede a sus datos personales objeto de tratamiento de recibir una copia de dichos datos, tal como prevé el artículo 15, apartado 3, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (2) (en lo sucesivo, «RGPD»)? ¿Cuál es el significado del concepto de «copia» y cómo se articula este derecho a recibir una copia de los datos personales objeto de tratamiento con el derecho de acceso contemplado en el apartado 1 del mismo artículo?
2. Estas son, en esencia, las principales cuestiones que se suscitan en el asunto objeto de las presentes conclusiones, el cual versa sobre una petición de decisión prejudicial planteada por el Bundesverwaltungsgericht (Tribunal Federal de lo Contencioso‑Administrativo, Austria) que tiene por objeto la interpretación del artículo 15, apartado 3, del RGPD.
3. Esta petición de decisión prejudicial se enmarca en el contexto de un litigio entre F. F. y la Österreichische Datenschutzbehörde (Autoridad austriaca de Protección de Datos) que tiene por objeto la legalidad de la denegación por esta última de la solicitud presentada por F. F. dirigida a que se obligase a una agencia de asesoramiento comercial, que había tratado sus datos personales, a entregar documentos y extractos de una base de datos que contenía dichos datos personales.
4. El presente asunto brinda al Tribunal de Justicia la oportunidad de interpretar por primera vez el artículo 15, apartado 3, del RGPD y de proporcionar aclaraciones sobre las modalidades de ejercicio del derecho de acceso a los propios datos personales objeto de tratamiento, tal como está contemplado en el artículo 15 del RGPD.
I. Marco jurídico
5. El considerando 63 del RGPD establece:
«Los interesados deben tener derecho a acceder a los datos personales recogidos que le[s] conciernan y a ejercer dicho derecho con facilidad y a intervalos razonables, con el fin de conocer y verificar la licitud del tratamiento. Ello incluye el derecho de los interesados a acceder a datos relativos a la salud, por ejemplo los datos de sus historias clínicas que contengan información como diagnósticos, resultados de exámenes, evaluaciones de facultativos y cualesquiera tratamientos o intervenciones practicadas. Todo interesado debe, por tanto, tener el derecho a conocer y a que se le comuniquen, en particular, los fines para los que se tratan los datos personales, su plazo de tratamiento, sus destinatarios, la lógica implícita en todo tratamiento automático de datos personales y, por lo menos cuando se base en la elaboración de perfiles, las consecuencias de dicho tratamiento. Si es posible, el responsable del tratamiento debe estar facultado para facilitar acceso remoto a un sistema seguro que ofrezca al interesado un acceso directo a sus datos personales. Este derecho no debe afectar negativamente a los derechos y libertades de terceros, incluidos los secretos comerciales o la propiedad intelectual y, en particular, los derechos de propiedad intelectual que protegen programas informáticos. No obstante, estas consideraciones no deben tener como resultado la negativa a prestar toda la información al interesado. […]»
6. El artículo 4, puntos 1 y 2, del RGPD dispone:
«A efectos del presente Reglamento, se entenderá por:
1) “datos personales”: toda información sobre una persona física identificada o identificable (“el interesado”); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;
2) “tratamiento”: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción».
7. El artículo 12, apartado 1, del RGPD, titulado «Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado», tiene el siguiente tenor:
«El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios.»
8. Con arreglo al artículo 15 del RGPD, titulado «Derecho de acceso del interesado»:
«1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
a) los fines del tratamiento;
b) las categorías de datos personales de que se trate;
c) los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales;
d) de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
e) la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
f) el derecho a presentar una reclamación ante una autoridad de control;
g) cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
h) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado.
[…]
3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común.
4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros».
II. Hechos, procedimiento principal y cuestiones prejudiciales
9. CRIF GmbH es una agencia de asesoramiento comercial que proporciona, a solicitud de sus clientes, información sobre la solvencia de terceros. A tal fin, ha procedido al tratamiento de datos personales del recurrente en el litigio principal ante el órgano jurisdiccional remitente.
10. El 20 de diciembre de 2018, el recurrente se dirigió a dicha agencia para obtener, entre otras cosas, información sobre sus datos personales objeto de tratamiento, en virtud del artículo 15 del RGPD, solicitando en particular que se le entregase una copia de estos datos en el formato técnico habitual.
11. A raíz de esta solicitud, la agencia proporcionó una parte de la información solicitada en forma resumida, reproduciendo los datos personales conservados relativos a la persona del recurrente ante el órgano jurisdiccional remitente, por un lado, en una tabla estructurada según el nombre, fecha de nacimiento, calle, código postal y localidad y, por otro lado, en una lista resumen de las funciones empresariales y facultades de representación. En cambio, no se enviaron otros documentos tales como correos electrónicos o extractos de bases de datos.
12. El 16 de enero de 2019, el recurrente ante el órgano jurisdiccional remitente presentó ante la Autoridad austriaca de Protección de Datos una reclamación en la que alegaba que la respuesta dada a su solicitud era incompleta y, en particular, que el responsable del tratamiento debió facilitarle una copia de todos los documentos, incluidos los correos electrónicos y extractos de bases de datos que contenían sus datos personales.
13. Mediante decisión de 11 de septiembre de 2019, dicha autoridad desestimó la reclamación presentada por el recurrente al considerar que el responsable del tratamiento no había vulnerado el derecho de acceso a los datos personales de aquel.
14. El órgano jurisdiccional remitente, que conoce del recurso interpuesto contra esta decisión, alberga dudas sobre el alcance del derecho del interesado a recibir una copia de los datos personales objeto del tratamiento, garantizado por el artículo 15, apartado 3, primera frase, del RGPD.
15. Este órgano jurisdiccional debe pronunciarse sobre si la transmisión de datos personales del recurrente ante tal tribunal en la forma de una tabla y de una lista resumen contenida en la respuesta de la agencia a la solicitud de acceso se ajustó a los requisitos contemplados en el artículo 15, apartado 3, del RGPD o bien si, en virtud de tal disposición, el recurrente ante el órgano jurisdiccional remitente tiene derecho a obtener una copia de sus datos personales objeto de tratamiento no de forma descontextualizada, sino en forma de copias o extractos de la eventual correspondencia o contenido de bases de datos o documentación análoga.
16. En este contexto, el órgano jurisdiccional solicita, en primer lugar, que se elucide el significado exacto del concepto de «copia» de los datos personales objeto de tratamiento, contemplado en el artículo 15, apartado 3, primera frase, del RGPD.
17. En segundo lugar, este órgano jurisdiccional pregunta si la disposición establecida en el artículo 15, apartado 3, del RGPD constituye una especificación del derecho general de acceso contemplado en el apartado 1 de dicho artículo, que establece el modo en que el interesado debe obtener acceso a sus datos personales objeto de tratamiento, o bien si tal disposición, yendo más allá del citado derecho de acceso establecido en el apartado 1, prevé un derecho autónomo propio a obtener fotocopias, facsímiles, tablas o extractos electrónicos de bases de datos o copias de documentación y ficheros en su totalidad, en los cuales figuren los datos personales del interesado.
18. En tercer lugar, en caso de interpretación restrictiva del artículo 15, apartado 3, primera frase, del RGPD, en el sentido de que el concepto de «copia» no presupone la existencia de un derecho a la transmisión de fotocopias, documentos o extractos de bases de datos, el órgano jurisdiccional se pregunta si, no obstante, a la luz de los posibles diversos tipos de datos que pueden ser objeto de tratamiento y del principio de transparencia consagrado en el artículo 12, apartado 1, del RGPD, es posible que, en determinados casos, en función del tipo de datos procesados, pueda existir una obligación a cargo de un responsable del tratamiento de facilitar en cualquier caso partes de texto o copias de documentos.
19. En cuarto y último lugar, el órgano jurisdiccional remitente pregunta si el concepto de «información», recogido en la tercera frase del artículo 15, apartado 3, del RGPD, se refiere únicamente a los «datos personales objeto de tratamiento» mencionados en la primera frase de dicha disposición o si va más allá de los mismos, incluyendo también la información contemplada en el artículo 15, apartado 1, letras a) a h), del RGPD o, yendo aún más lejos, si incluye también, por ejemplo, los metadatos relativos a los datos.
20. En este contexto, el Bundesverwaltungsgericht (Tribunal Federal de lo Contencioso‑Administrativo) decidió suspender el procedimiento y plantear al Tribunal de Justicia las siguientes cuestiones prejudiciales:
«1) El término “copia” que figura en el artículo 15, apartado 3, del [RGPD], ¿debe interpretarse en el sentido de que se refiere a una fotocopia o, en su caso, un facsímil o una copia electrónica de un dato (electrónico) o comprende también, siguiendo la definición de dicho término en los diccionarios alemanes, franceses e ingleses, una “Abschrift” [“reproducción”], un “double” (“duplicata”) o un “transcript”?
2) El artículo 15, apartado 3, primera frase, del RGPD, a tenor del cual “el responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento”, ¿debe interpretarse en el sentido de que incluye un derecho subjetivo general de un interesado a la entrega de una copia, también de documentos enteros en que se tratan datos personales del interesado o a la entrega de una copia de un extracto de una base de datos en caso de tratamiento de los datos personales en una base de datos o, en cambio, el interesado —solamente— tiene un derecho subjetivo a obtener una reproducción auténtica de los datos personales a los que solicita acceso con arreglo al artículo 15, apartado 1, del RGPD?
3) En caso de que se responda a la segunda cuestión prejudicial en el sentido de que el interesado solo tiene un derecho a una reproducción auténtica de los datos personales a los que solicita acceso con arreglo al artículo 15, apartado 1, del RGPD, ¿debe interpretarse el artículo 15, apartado 3, primera frase, del RGPD en el sentido de que, dependiendo de la naturaleza de los datos tratados (por ejemplo, por lo que respecta a los diagnósticos, los resultados de exámenes, las evaluaciones que se mencionan en el considerando 63 del RGPD o también la documentación relacionada con un examen en el sentido de la sentencia del Tribunal de Justicia [dictada en el asunto Nowak]) (3) y de la obligación de transparencia del artículo 12, apartado 1, del RGPD, en casos concretos puede no obstante resultar necesario facilitar al interesado pasajes de textos o documentos enteros?
4) El concepto de “información” que, a tenor del artículo 15, apartado 3, tercera frase, del RGPD, cuando el interesado presenta la solicitud por medios electrónicos, “se facilitará en un formato electrónico de uso común”, “a menos que este solicite que se facilite de otro modo”, ¿debe interpretarse en el sentido de que se refiere únicamente a “los datos personales objeto de tratamiento” que se mencionan en el artículo 15, apartado 3, primera frase, del RGPD?
a) En caso de respuesta negativa a la cuarta cuestión prejudicial: El concepto de “información” que, a tenor del artículo 15, apartado 3, tercera frase, del RGPD, cuando el interesado presenta la solicitud por medios electrónicos, “se facilitará en un formato electrónico de uso común”, “a menos que este solicite que se facilite de otro modo”, ¿debe interpretarse en el sentido de que se refiere también a la información que menciona el artículo 15, apartado 1, letras a) a h), del RGPD?
b) En caso de respuesta negativa también a la letra a) de la cuarta cuestión prejudicial: El concepto de “información” que, a tenor del artículo 15, apartado 3, tercera frase, del RGPD, cuando el interesado presenta la solicitud por medios electrónicos, “se facilitará en un formato electrónico de uso común”, “a menos que este solicite que se facilite de otro modo”, ¿debe interpretarse en el sentido de que se refiere, además de a “los datos personales objeto de tratamiento” y a la información que menciona el artículo 15, apartado 1, letras a) a h), del RGPD, también, por ejemplo, a los metadatos correspondientes a esos datos e información?»
III. Análisis jurídico
A. Cuestiones prejudiciales primera, segunda y tercera
21. Mediante sus tres primeras cuestiones prejudiciales, que en mi opinión procede examinar conjuntamente, el órgano jurisdiccional remitente formula al Tribunal de Justicia tres preguntas dirigidas a determinar el alcance del artículo 15, apartado 3, primera frase, del RGPD, a tenor del cual «el responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento».
22. La primera pregunta tiene por objeto determinar el sentido exacto del concepto de «copia», contenido en dicha disposición. La segunda pregunta está dirigida a aclarar el alcance del derecho conferido al interesado por tal disposición. El órgano jurisdiccional remitente se pregunta, en particular, si dicha disposición atribuye el derecho a obtener una copia también de los documentos —o de extractos de bases de datos— en los que se traten los datos personales o bien si se limita a atribuir únicamente el derecho a recibir una reproducción auténtica de los datos personales objeto de tratamiento. En este último caso, la tercera pregunta busca que se dilucide si, dependiendo de la naturaleza de los datos tratados y de la obligación de transparencia, en casos concretos puede, no obstante, resultar necesario facilitar al interesado pasajes de textos o documentos enteros.
23. De la resolución de remisión se desprende que el alcance de la disposición contemplada en la primera frase del artículo 15, apartado 3, del RGPD es una cuestión controvertida tanto en la doctrina como en la jurisprudencia de los tribunales nacionales, al menos en Austria y Alemania. (4) De dicha resolución se desprende que existen dos teorías contrapuestas al respecto: por un lado, una concepción restrictiva de la disposición de que se trata, según la cual se limita a especificar las modalidades del derecho de acceso y no entraña ningún derecho autónomo a obtener documentos o similares, y, por otro, una concepción extensiva según la cual, en cambio, dicha disposición atribuye un derecho a recibir una copia de los documentos o de los demás soportes en que se tratan los datos personales. Conforme a esta última concepción, el derecho a obtener copias de los documentos constituye un derecho autónomo del derecho de acceso garantizado por el artículo 15, apartado 1, del RGPD. La naturaleza controvertida del alcance de la disposición de que se trata viene confirmada por el hecho de que las partes que han presentado observaciones ante el Tribunal de Justicia también mantienen posiciones enfrentadas al respecto. (5)
24. En este contexto, para poder proporcionar una respuesta a las tres primeras cuestiones prejudiciales planteadas por el órgano jurisdiccional remitente, ha de procederse a la interpretación del artículo 15, apartado 3, primera frase, del RGPD.
25. A este respecto, debe recordarse que de una reiterada jurisprudencia se desprende que, a los efectos de la interpretación de una disposición del Derecho de la Unión, ha de tenerse en cuenta no solo el tenor de esta, sino también su contexto y los objetivos perseguidos por la normativa de la que forma parte. (6)
26. Además, dado que las disposiciones del RGPD regulan el tratamiento de datos personales que pueden vulnerar las libertades fundamentales y, en particular, el respeto de la vida privada, deben ser necesariamente interpretadas a la luz de los derechos fundamentales protegidos por la Carta de los Derechos Fundamentales de la Unión Europea (en lo sucesivo, «Carta»). (7)
1. Análisis literal
27. En cuanto atañe, antes de nada, a la formulación de la disposición recogida en el artículo 15, apartado 3, primera frase, del RGPD, ha de señalarse que atribuye al interesado el derecho a obtener del responsable del tratamiento «una copia de los datos personales objeto de tratamiento». Desde un punto de vista literal, esta formulación hace referencia a tres conceptos distintos, a saber: el concepto de «copia», el de «datos personales» y el de «objeto de tratamiento».
28. En lo tocante, en primer lugar, al concepto de «copia», cuyo alcance constituye específicamente el objeto de la primera cuestión prejudicial, ha de indicarse que, como han señalado diversas partes interesadas que han presentado observaciones al Tribunal de Justicia, el RGPD no contiene ninguna definición específica de tal concepto.
29. En tal contexto, en virtud de reiterada jurisprudencia, la determinación del significado y del alcance de los términos no definidos por el Derecho de la Unión debe efectuarse conforme al sentido habitual de estos en el lenguaje corriente, teniendo en cuenta el contexto en el cual se utilizan y los objetivos perseguidos por la normativa de la que forman parte. (8)
30. Desde un punto de vista puramente terminológico, en el lenguaje corriente el término «copia» indica la reproducción o transcripción fiel de un original. (9) Además, un análisis de las diversas versiones lingüísticas del RGPD pone de manifiesto que en la mayor parte de las demás lenguas oficiales de la Unión se utiliza el término correspondiente al término italiano «copia», como, por ejemplo, «copy» en inglés, «Kopie» en alemán, «copies» en francés o «copia» en español. (10)
31. La disposición controvertida señala expresamente, además, que la copia que el responsable del tratamiento está obligado a proporcionar al interesado es la copia de los «datos personales» objeto de tratamiento.
32. A este respecto, y en segundo lugar, ha de indicarse que, contrariamente a cuanto ocurre con el término «copia», el RGPD contiene una definición expresa del concepto de «datos personales» en el artículo 4, punto 1, de dicho Reglamento, a tenor del cual son datos personales «toda información sobre una persona física identificada o identificable».
33. El alcance del concepto de «datos personales» resultante de esta definición es muy amplio. En efecto, como se desprende de la jurisprudencia del Tribunal de Justicia, el uso de la expresión «toda información» en el contexto de esta definición evidencia el objetivo del legislador de la Unión de atribuir a este concepto un sentido muy amplio. (11)
34. Asimismo, resulta de la jurisprudencia que el concepto de datos personales no se ciñe a los datos confidenciales o relacionados con la intimidad, sino que puede abarcar todo género de información, tanto objetiva como subjetiva, en forma de opiniones o apreciaciones, siempre que sean «sobre» la persona en cuestión. En cuanto atañe a este último requisito, este se cumple cuando, debido a su contenido, finalidad o efectos, la información está relacionada con una persona concreta. (12)
35. Una acepción amplia del concepto de datos personales resulta, por lo demás, necesaria, habida cuenta de la variedad de tipologías y formas que la información relativa a una persona puede revestir y que pueden ser dignas de protección, así como a la luz de la diversidad de soportes en que tal información puede contenerse.
36. El análisis de la jurisprudencia muestra que el Tribunal de Justicia ha considerado que queda comprendida en el concepto de «datos personales» en el sentido del artículo 4, punto 1, del RGPD una variedad de tipos de información relativa a una persona física identificada o identificable. Además de las que la Comisión ha identificado en sus observaciones como «datos usuales», o sea, las indicaciones relativas a la identidad de las personas tales como el nombre y los apellidos, (13) fecha de nacimiento, nacionalidad, sexo, etnia, religión y la lengua que habla una persona identificable por medio de su nombre, (14) el Tribunal de Justicia ha considerado que quedan comprendidos en el concepto de datos personales otros tipos de información como, por ejemplo, la información relativa a un vehículo puesto a la venta, así como el número de teléfono del vendedor de dicho vehículo, (15) o los datos que figuran en un registro del tiempo de trabajo que se refieren a los períodos de trabajo diarios y a los períodos de descanso de cada trabajador, (16) las imágenes de una persona grabadas por una cámara, en la medida en que permiten identificar a la persona afectada, (17) las respuestas escritas proporcionadas por un aspirante en un examen profesional (18) o la información relativa a los puntos por infracciones de tráfico, que se refieren a una persona física identificada. (19)
37. La acepción amplia del concepto de datos personales, resultante de la definición recogida en el artículo 4, punto 1, del RGPD, reconocida por la jurisprudencia y vinculada al objetivo perseguido por el RGPD de garantizar un nivel elevado de protección de las personas físicas con respecto al tratamiento de los datos personales, (20) entraña que dicho concepto, y, por lo tanto, el derecho de acceso a tales datos y a recibir copia de los mismos, no se limita exclusivamente a datos eventualmente obtenidos, conservados y tratados por un responsable del tratamiento, sino que también debe incluir los datos posteriores eventualmente generados por el responsable a raíz del tratamiento, si son también objeto del tratamiento.
38. Por lo tanto, si a raíz del tratamiento de una serie de datos personales se genera nueva información, resultante de tal tratamiento, relativa a una persona identificada o identificable y que puede calificarse de datos personales en el sentido del artículo 4, punto 1, del RGPD, el derecho de acceso a los datos personales y a recibir copia de los mismos, previsto en el artículo 15, apartados 1 y 3, primera frase, respectivamente, del RGPD, también deberá incluir, a mi juicio, estos datos generados en el caso de que estos hayan sido también objeto de tratamiento. En efecto, el derecho de acceso a los datos y a recibir copia de los mismos incluye todos los datos personales del interesado que sean objeto de tratamiento.
39. Estas consideraciones son pertinentes en un asunto como el pendiente ante el órgano jurisdiccional remitente, en el que, a partir de datos recogidos por diversas fuentes, la agencia de asesoramiento comercial parece haber elaborado una recomendación sobre la solvencia y la capacidad de pago del interesado, en función de la probabilidad estadística vinculada a una serie de parámetros. Una recomendación de tal clase constituye, a mi juicio, información relativa a una persona identificada que queda comprendida, pues, en la acepción amplia de «datos personales» contemplada en el artículo 4, punto 1, del RGPD y, por lo tanto, además, en el ámbito del derecho de acceso consagrado en el artículo 15, apartados 1 y 3, primera frase, del RGPD. (21)
40. En tercer lugar, en cuanto atañe a la expresión «objeto de tratamiento» contenida en el artículo 15, apartado 3, primera frase, del RGPD, ha de señalarse que el concepto de «tratamiento» también aparece definido expresamente en el artículo 4, punto 2, del RGPD.
41. Según esta última disposición, la recogida, consulta, comunicación por transmisión y cualquier otra forma de habilitación de acceso a datos personales constituyen un «tratamiento» en el sentido de este Reglamento. Según la jurisprudencia, de la redacción de la citada disposición, en particular de la expresión «cualquier operación», se desprende que el legislador de la Unión también quiso dar un amplio alcance al concepto de «tratamiento». Esta interpretación se ve corroborada por el carácter no exhaustivo, expresado por el vocablo «como», de las operaciones mencionadas en dicha disposición. (22)
42. En este contexto, del alcance amplio del concepto de tratamiento se desprende que el artículo 15, apartado 3, primera frase, atribuye al interesado el derecho a obtener una copia de sus datos personales que son objeto de cualquier operación calificable de «tratamiento». Como se precisará con más detalle en el punto 52 posterior, esta disposición, no obstante, no atribuye, en cuanto tal, el derecho a obtener información específica sobre el tratamiento en sí de los datos personales, distinta de la prevista en el artículo 15, apartado 1, del RGPD.
43. En conclusión, del análisis literal del artículo 15, apartado 3, primera frase, del RGPD resulta que esta disposición confiere al interesado el derecho a obtener una copia de sus datos personales, entendidos en un sentido amplio, que sean objeto de operaciones calificables de tratamiento por parte del responsable de dicho tratamiento.
44. Este análisis literal permite poner de manifiesto que la «copia de los datos personales» debe ser una reproducción auténtica de los mismos. Ahora bien, la variedad de tipos de datos que pueden ser objeto de tratamiento implica que, en función del tipo de datos tratados y de la clase de tratamiento, una copia de tales datos puede revestir diversos formatos, tales como el soporte de papel, grabación de audio o de video, formato electrónico u otros formatos. Lo importante es que la copia de tales datos sea auténtica y permita al interesado tener pleno conocimiento de todos los datos que son objeto de tratamiento. Una eventual recopilación de datos personales objeto de tratamiento debe reproducir fielmente y de forma comprensible estos datos y, además, no debe influir en modo alguno en el contenido de los datos que deben proporcionarse. La decisión del responsable del tratamiento de proporcionar, en la medida de lo posible, una compilación de datos personales objeto de tratamiento no puede justificar, por lo tanto, que algunos datos se omitan o se proporcionen de forma incompleta o no reflejen la realidad del tratamiento.
45. Además, la disposición de que se trata garantiza al interesado el derecho a recibir una copia de todos sus datos personales objeto de tratamiento y, por lo tanto, no solo de los datos obtenidos, sino también de los eventuales datos personales generados por el responsable del tratamiento que en sí mismos sean objeto de tratamiento. No obstante, en la medida en que tal disposición se refiere exclusivamente a la copia de los datos personales, por un lado, esta no puede fundamentar un derecho a acceder a la información que no pueda calificarse como tal y, por otro, no atribuye —necesariamente— un derecho a recibir copias de documentos u otros soportes que contengan los datos personales.
46. Por lo demás, estas consideraciones deben completarse con un análisis del contexto en que se enmarca esta disposición, así como de los objetivos perseguidos por el derecho de acceso garantizado por el artículo 15 del RGPD.
2. Análisis contextual y teleológico
47. En cuanto atañe al contexto en que se inscribe la disposición controvertida, ha de señalarse antes de nada que está comprendida en el artículo 15 del RGPD, el cual regula el derecho del interesado, frente al responsable del tratamiento, a acceder a los datos personales que le conciernen y que son objeto de tratamiento. Dicho artículo materializa y precisa en el RGPD el derecho de toda persona a acceder a los datos que le conciernan, previsto en el artículo 8, apartado 2, segunda frase, de la Carta. (23)
48. En cuanto a la estructura del artículo 15 del RGPD, su apartado 1 prevé el derecho del interesado a obtener del responsable del tratamiento confirmación de que se están tratando sus datos personales y, en tal caso, a acceder a tales datos y a la información indicada en las letras a) a h). Esta disposición concreta, pues, el derecho de acceso a los datos personales y a la información vinculada, definiendo el objeto preciso del derecho de acceso y el ámbito de aplicación.
49. El apartado 3 del artículo 15 del RGPD precisa, en cambio, las modalidades de ejercicio de tal derecho, especificando en particular la forma en que los datos personales deben ser proporcionados por el responsable del tratamiento al interesado, esto es, en la forma de copia y, por tanto, de reproducción auténtica de los datos.
50. De la estructura del artículo 15 del RGPD que acaba de exponerse, así como de la exigencia de que las disposiciones contempladas en los apartados 1 y 3 de dicho artículo se interpreten de forma coherente, resulta que el apartado 3 no define —ni, por consiguiente, puede modificar ni ampliar— el objeto y el ámbito de aplicación del derecho de acceso concretado en la disposición recogida en el apartado 1. Dicho apartado 3 no puede, pues, ampliar el alcance de la obligación del responsable del tratamiento de proporcionar acceso a la información. La estructura del artículo en cuestión confirma, por lo tanto, que la disposición recogida en el apartado 3 no puede fundamentar un eventual derecho autónomo del interesado a obtener información que vaya más allá de la indicada en el apartado 1 de tal disposición.
51. A este respecto, coincido con la Autoridad austriaca de Protección de Datos cuando alega que una interpretación del artículo 15, apartado 3, primera frase, del RGPD en el sentido de que tal disposición permite ampliar el ámbito de la información a la que un interesado tiene acceso más allá de la relativa a sus datos personales es contraria al artículo 8, apartado 2, de la Carta.
52. El análisis que precede confirma, por un lado, la consideración formulada en el anterior punto 44, según la cual lo dispuesto en el artículo 15, apartado 3, primera frase, del RGPD no atribuye un derecho autónomo a recibir copias de documentos o de otros soportes que contengan los datos personales. Por otro lado, también ratifica el análisis realizado en el anterior punto 42, según el cual esta disposición no atribuye al interesado el derecho a obtener información, distinta de la prevista en el artículo 15, apartado 1, del RGPD, (24) en cuanto al tratamiento en sí de los datos personales, como, por ejemplo, información relativa a los criterios, modelos, reglas o procedimientos internos (de cálculo o de otro tipo) utilizados para el tratamiento de los datos personales. Por lo demás, esta información queda comprendida a menudo en el ámbito de aplicación de los derechos de propiedad intelectual, los cuales han de ser protegidos en este contexto, como se desprende expresamente en la quinta frase del considerando 63. Ello no obsta, por otro lado, a que, como se desprende del considerando 60 del RGPD, el responsable del tratamiento deba facilitar al interesado cuanta información complementaria sea necesaria para garantizar un tratamiento de datos leal y transparente, habida cuenta de las circunstancias y del contexto específicos en que se traten los datos personales. Asimismo, es preciso recordar que existen normas específicas relativas a las decisiones automatizadas, incluida la elaboración de perfiles. (25)
53. Sin abandonar el punto de vista contextual, la disposición establecida en el artículo 15, apartado 3, primera frase, del RGPD debe interpretarse a la luz de las demás disposiciones pertinentes de dicho Reglamento. Aparte de las definiciones recogidas en el artículo 4, puntos 1 y 2, del RGPD analizadas en los puntos 32 a 41 anteriores, reviste una particular relevancia el artículo 12, apartado 1, del citado Reglamento, al que hace referencia el órgano jurisdiccional remitente en su tercera cuestión prejudicial.
54. De esta disposición se desprende que el responsable del tratamiento deberá tomar las medidas oportunas para facilitar al interesado toda información indicada, en particular, en el artículo 15 del RGPD, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, y que la información deberá facilitarse por escrito o por otros medios, inclusive, si procede, por medios electrónicos, a menos que no sea el interesado quien solicite que esta se facilite verbalmente.
55. La citada disposición, expresión del principio de transparencia, (26) tiene como objetivo garantizar que el interesado esté en condiciones de comprender plenamente la información que se le envíe. La plena inteligibilidad de dicha información, en efecto, por un lado, resulta necesaria para que el ejercicio de los derechos de acceso garantizados por el artículo 15 del RGPD sea efectivo y, por otro, constituye un presupuesto para poder ejercitar plenamente los demás derechos garantizados al interesado por el RGPD, mencionados en los puntos 64 y 65 de las presentes conclusiones, y posteriores al ejercicio del derecho de acceso. (27) Además, del considerando 63 del RGPD se desprende que los interesados deben tener derecho a ejercer el derecho de acceso a sus datos personales con facilidad y sin dificultad.
56. La necesidad de inteligibilidad de la comunicación de los datos que permita a los interesados conocer esos datos y comprobar que son exactos y son tratados de conformidad con el Derecho de la Unión con el fin de ejercitar los derechos que este le confiere ya la puso de manifiesto, además, el Tribunal de Justicia en su jurisprudencia relativa a la Directiva 95/46. (28)
57. La citada exigencia de inteligibilidad de los datos y de la información indicados en las letras a) a h) del apartado 1 del artículo 15 del RGPD entraña que no se excluye que en algunos casos, con el fin de garantizar al interesado la plena comprensibilidad de la información que se le envíe, sea necesario proporcionar a este último pasajes de documentos o incluso documentos enteros o extractos de bases de datos. Ahora bien, el análisis de la necesidad de facilitar documentos o extractos para garantizar la inteligibilidad de la información enviada debe, inevitablemente, efectuarse caso por caso en función del tipo de datos objeto de la solicitud y de la solicitud en sí.
58. A este respecto, ha de subrayarse, no obstante, que la eventual comunicación de documentos o extractos de estos no constituirá el ejercicio de un derecho autónomo —respecto al derecho de acceso— garantizado en la primera frase del artículo 15, apartado 3, del RGPD, sino únicamente una modalidad de envío de una copia de datos personales dirigidos a garantizar la plena inteligibilidad de estos. A tal fin, procede observar que, ciertamente, como han señalado algunas de las partes interesadas que han presentado observaciones ante el Tribunal de Justicia, en algunos casos, para tener la comprensión plena de los datos personales de que se trate, es necesario conocer el contexto en que dichos datos se tratan. Con todo, esta consideración no puede atribuir al interesado, sobre la base de las disposiciones de que se trata, un derecho generalizado de acceso a copias de documentos o de extractos de bases de datos.
59. Además, el derecho a obtener copia de los datos personales tiene su límite en la exigencia, establecida expresamente en el artículo 15, apartado 4, del RGPD, de no «[afectar] negativamente a los derechos y libertades de otros». De esta disposición se desprende que la exigencia de garantizar al interesado un acceso pleno y completo a los datos personales propios mediante la entrega de una copia de estos no puede llegar a permitir la vulneración de derechos y libertades de otros.
60. A este respecto, ha de observarse que dicho apartado 4 está formulado en términos bastante genéricos y deja abierta la lista de derechos y libertades «de otros» que pueden modular el ejercicio de un derecho de acceso pleno mediante la recepción de una copia de datos personales. Ahora bien, deberá tenerse en cuenta que entre tales derechos se encuentran incluidos, ciertamente, como se desprende expresamente del considerando 63 del RGPD, «los secretos [industriales] o la propiedad intelectual y, en particular, los derechos de propiedad intelectual que protegen programas informáticos», así como el derecho a la protección de los datos personales de terceros, como en el caso de que un soporte que contiene los datos personales del interesado contenga además datos personales de terceros.
61. En caso de conflicto entre, por un lado, el ejercicio del derecho de acceso pleno y completo a los datos personales y, por otro, los derechos o libertades de otros, procederá efectuar una ponderación entre los derechos en cuestión. Siempre que sea posible, habrá de optarse por modalidades de comunicación de datos personales que no vulneren los derechos o libertades de otros, teniendo en cuenta que, como se desprende del considerando 63 del RGPD, dichas consideraciones, no obstante, «no deben tener como resultado la negativa a prestar toda la información al interesado».
62. Manteniendo un punto de vista contextual, ha de señalarse a continuación que una interpretación del artículo 15, apartado 3, primera frase, del RGPD, según la cual dicha disposición no atribuye un derecho general de acceso a copias de documentos o extractos de bases de datos, a menos que ello no sea necesario para garantizar la inteligibilidad de los datos y de la información proporcionada, resulta igualmente confirmada por el hecho de que el derecho de acceso a los documentos, en particular a los documentos administrativos, está expresamente regulado en otros actos de la Unión (29) o nacionales que persiguen objetivos diferentes de los que garantizan la protección de los datos personales. (30)
63. La interpretación del artículo 15, apartado 3, primera frase, del RGPD mencionada en el punto anterior resulta confirmada, además, por un análisis de los objetivos de esta disposición en el marco del derecho de acceso del interesado garantizado por el artículo 15 del RGPD.
64. Como se desprende del considerando 63 del RGPD, y en particular de su primera frase, el derecho de acceso a los propios datos personales y a la demás información indicada en el apartado 1, letras a) a h), del artículo 15 del RGPD tiene como objetivo, en primer lugar, permitir al interesado conocer y verificar la licitud del tratamiento de sus datos. (31)
65. Este derecho de acceso es indispensable, como, por otra parte, ya ha señalado el Tribunal de Justicia, para permitir al interesado otra serie de derechos que le confiere el RGPD, entre los cuales se encuentran el derecho de rectificación, el derecho de supresión («derecho al olvido») y el derecho a la limitación del tratamiento, conferidos respectivamente por los artículos 16, 17 y 18 del RGPD. (32) El Tribunal de Justicia ha aclarado además que el derecho de acceso es, igualmente, condición necesaria para el ejercicio por el interesado del derecho de oposición al tratamiento de sus datos personales, contemplado en el artículo 21 del RGPD, como lo es para el derecho a recurrir por los daños sufridos y obtener una indemnización, previsto en los artículos 79 y 82 del RGPD. (33)
66. La ratio que subyace a la norma que confiere el derecho a obtener una copia de datos personales ha de entenderse en el contexto de los objetivos del derecho de acceso a los propios datos personales y a otra información. Está dirigida a prever expresamente la forma mediante la que se garantiza al interesado el ejercicio efectivo de tal derecho para que pueda cerciorarse de su exactitud y de la licitud de su tratamiento a efectos, en su caso, del ejercicio de los ulteriores derechos mencionados en el punto 65 anterior. El objetivo consiste en garantizar que los datos personales se faciliten al interesado en la forma más exacta y comprensible posible para que pueda ejercitar estos derechos, esto es, en la forma de copia, es decir, de reproducción auténtica, de los datos en sí.
67. Desde esta perspectiva, la entrega de una copia del documento que contiene tales datos o de un extracto de una base de datos no parece siempre y en cualquier caso indispensable para la consecución del objetivo perseguido por el legislador.
68. El interesado únicamente podrá, dentro de los límites indicados en los puntos 58 a 61 anteriores, obtener partes de documentos o, en su caso, documentos completos o extractos de bases de datos, cuando la expedición de tal copia resulte indispensable para garantizar la plena inteligibilidad de los datos personales objeto de tratamiento.
69. En este contexto, ha de señalarse además que, al prever, contrariamente a la normativa contenida en la Directiva 95/46, un verdadero derecho a obtener una copia de los datos, el RGPD ha pretendido reforzar la posición del interesado. (34) Se trata, en efecto, de una diferencia significativa respecto a la normativa anteriormente en vigor, la cual se limitaba a prever, en el artículo 12, letra a), segundo guion, de la citada Directiva, la mera «comunicación, en forma inteligible, de los datos objeto de los tratamientos», dejando así a los Estados miembros la tarea de determinar la forma material concreta que debe adoptar la comunicación de los datos personales, siempre que sea inteligible. (35) Mediante la imposición, ahora prevista en el artículo 15, apartado 3, primera frase, del RGPD, a los responsables del tratamiento de la obligación de facilitar una «copia» de los datos, se determina, en cambio, de forma imperativa la forma que tal comunicación debe adoptar, es decir, la forma de la «copia» de los datos.
3. Conclusión sobre las tres primeras cuestiones prejudiciales
70. A la luz de todas las consideraciones que preceden, estimo que procede responder a las tres primeras cuestiones prejudiciales formuladas por el órgano jurisdiccional remitente que el artículo 15, apartado 3, primera frase, del RGPD debe interpretarse en el sentido de que:
– el concepto de «copia» contemplado en dicha disposición debe entenderse como una reproducción auténtica en forma inteligible de los datos personales solicitados por el interesado, en un soporte material o permanente, que permita al interesado ejercer de forma efectiva el derecho de acceso a sus datos personales, teniendo pleno conocimiento de todos sus datos personales objeto de tratamiento —incluidos los datos adicionales eventualmente generados a raíz del tratamiento, si son también estos objeto de tratamiento—, con el fin de comprobar la exactitud de los mismos y permitirle cerciorarse de la lealtad y licitud del tratamiento para, en su caso, poder ejercer derechos adicionales que le confiere el RGPD; la forma exacta de la copia vendrá determinada en función de la especificidad de cada caso y, en particular, del tipo de datos personales a los que se solicita acceder y a las exigencias del interesado;
– esta disposición no atribuye al interesado un derecho general a obtener una copia parcial o integral del documento que contiene los datos personales del interesado o, cuando los datos personales son tratados en una base de datos, un extracto de la misma;
– sin embargo, esta disposición no excluye que puedan facilitarse al interesado partes de documentos o documentos enteros o extractos de bases de datos cuando ello sea indispensable para garantizar la plena inteligibilidad de los datos personales objeto de tratamiento a los que se solicita acceder.
B. Cuarta cuestión prejudicial
71. Mediante su cuarta cuestión prejudicial, el órgano jurisdiccional remitente pregunta al Tribunal de Justicia si el concepto de «información» que figura en el artículo 15, apartado 3, tercera frase, del RGPD se refiere únicamente a los «datos personales objeto de tratamiento» mencionados en la primera frase de dicho apartado o bien si, además de estos, comprende también la información indicada en el artículo 15, apartado 1, letras a) a h) [cuarta cuestión, letra a)], o también otra información como, por ejemplo, los metadatos correspondientes a esos datos [cuarta cuestión, letra b)].
72. Para responder a esta cuestión ha de interpretarse el concepto de «información» contenido en el artículo 15, apartado 3, tercera frase, del RGPD aplicando la metodología resultante de la jurisprudencia citada en el punto 25 anterior.
73. En tal contexto, desde un punto de vista literal, el concepto de «información» parece demasiado genérico como para poder aclarar si se refiere exclusivamente a los datos personales indicados en la primera frase del apartado 3 del artículo 15 del RGPD o si incluye otros tipos de información.
74. Desde un punto de vista contextual, ha de señalarse, no obstante, que la citada tercera frase se inserta en el apartado 3 del artículo 15 del RGPD, el cual versa sobre la obligación del responsable del tratamiento de facilitar, a solicitud del interesado, una «copia de los datos personales objeto de tratamiento». La estructura del apartado 3 lleva, pues, a afirmar que el concepto de «información» se refiere a la información objeto de la solicitud que debe atenderse en el sentido de la primera frase de dicho apartado y, por lo tanto, a la solicitud de obtener copia de los datos personales objeto de tratamiento.
75. Esta interpretación parece ser también conforme con el objetivo del propio apartado 3, el cual, como se desprende de los puntos 61 y ss. anteriores, y en particular del punto 69, consiste en determinar la forma que debe revestir la comunicación de los datos personales objeto de tratamiento, es decir, la forma de la «copia» de los datos. Desde tal perspectiva, la tercera frase del citado apartado está dirigida a regular el caso específico en el que la solicitud de obtención de una copia de tales datos se realice por medios electrónicos.
76. Dicho esto, procede, a mi juicio, señalar por otro lado que la obligación de transparencia resultante del artículo 12, apartado 1, del RGPD mencionada en los puntos 54 y 55 anteriores, que tiene como objetivo garantizar que el interesado esté en condiciones de comprender plenamente la información que se le envía, en particular, en virtud del artículo 15 del RGPD, considerado en su totalidad, exige que, una vez que se presenta una solicitud de acceso, contemplada en el artículo 15, apartado 1, del RGPD, por medios electrónicos, la información indicada en las letras a) a h) también se facilite en un formato electrónico de uso común que permita al interesado tomar plenamente conocimiento de la misma, fácilmente y sin dificultades. En el caso de que el formato electrónico que contenga tal información no sea de uso común, ello podría, en efecto, hacer extremadamente difícil u oneroso tomar conocimiento de tal información, en vulneración de la citada obligación de transparencia.
77. Por último, en cuanto atañe específicamente a la cuestión formulada en la letra b), de la circunstancia de que el artículo 15, apartado 3, tercera frase, del RGPD se refiere a la «solicitud» del interesado se desprende que el concepto de «información» contenido en tal disposición no puede ir más allá de lo que constituye precisamente el objeto de tal solicitud, a saber, la copia de los datos personales objeto de tratamiento. De ello se deduce que el concepto de información utilizado en el citado artículo se refiere exclusivamente a tales datos y no puede incluir información distinta de estos datos y, ciertamente, tampoco información adicional respecto a la información indicada en el artículo 15, apartado 1, letras a) a h), del RGPD. En efecto, en caso contrario, se ampliaría el alcance del derecho de acceso, lo cual —como ya se ha señalado por lo demás en los puntos 48 a 51 anteriores— no tiene fundamento alguno en el RGPD.
78. De todo cuanto antecede resulta, a mi juicio, que debe responderse a la cuarta cuestión prejudicial formulada por el órgano jurisdiccional remitente que el concepto de «información» recogido en el artículo 15, apartado 3, tercera frase, del RGPD debe interpretarse en el sentido de que se refiere exclusivamente a la «copia de los datos personales objeto de tratamiento» contemplada en la primera frase de dicho apartado.
IV. Conclusión
79. A la luz de todas las consideraciones que preceden, propongo al Tribunal de Justicia que responda a las cuestiones prejudiciales formuladas por el Bundesverwaltungsgericht (Tribunal Federal de lo Contencioso‑Administrativo, Austria) del modo siguiente:
«El artículo 15, apartado 3, primera frase, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos),
debe interpretarse en el sentido de que
el concepto de “copia” contemplado en dicha disposición debe entenderse como una reproducción auténtica en forma inteligible de los datos personales solicitados por el interesado, en un soporte material o permanente, que permita al interesado ejercer de forma efectiva el derecho de acceso a sus datos personales, teniendo pleno conocimiento de todos sus datos personales objeto de tratamiento —incluidos los datos adicionales eventualmente generados a raíz del tratamiento, si son también estos objeto de tratamiento—, con el fin de comprobar la exactitud de los mismos y permitirle cerciorarse de la lealtad y licitud del tratamiento para, en su caso, poder ejercer derechos adicionales que le confiere el RGPD; la forma exacta de la copia vendrá determinada en función de la especificidad de cada caso y, en particular, del tipo de datos personales a los que se solicita acceder y a las exigencias del interesado;
esta disposición no atribuye al interesado un derecho general a obtener una copia parcial o integral del documento que contiene los datos personales del interesado o, cuando los datos personales son tratados en una base de datos, un extracto de la misma;
sin embargo, esta disposición no excluye que puedan facilitarse al interesado partes de documentos o documentos enteros o extractos de bases de datos cuando ello sea indispensable para garantizar la plena inteligibilidad de los datos personales objeto de tratamiento a los que se solicita acceder.
El concepto de “información” recogido en el artículo 15, apartado 3, tercera frase, del Reglamento 2016/679
debe interpretarse en el sentido de que
se refiere exclusivamente a la “copia de los datos personales objeto de tratamiento” contemplada en la primera frase de dicho apartado.»