CURIA: Toda persona tiene derecho a saber a quién se han comunicado sus datos personales

El responsable del tratamiento podrá limitarse a indicar las categorías de destinatarios si no resulta posible identificarlos o si la solicitud es manifiestamente infundada o excesiva

Un ciudadano solicitó a Österreichische Post, el principal operador de servicios postales y logísticos de Austria, que le facilitara la identidad de los destinatarios a los que había comunicado sus datos personales.

Para ello se basó en el Reglamento General de Protección de Datos de la UE (RGPD). Dicho Reglamento establece que el interesado tiene derecho a obtener del responsable del tratamiento información sobre los destinatarios o las categorías de destinatarios a los que hayan sido o vayan a ser comunicados sus datos personales.

En respuesta a esta solicitud, Österreichische Post se limitó a señalar que utilizaba los datos, dentro de los límites legales, en el ejercicio de su actividad como editorial de guías telefónicas y que ofrecía estos datos personales a clientes comerciales con fines de marketing. El ciudadano demandó entonces a Österreichische Post ante los tribunales austriacos.

Durante el procedimiento judicial, Österreichische Post informó además al ciudadano de que sus datos personales habían sido transmitidos a clientes, entre los que se encontraban anunciantes del sector de la venta por correspondencia y del comercio físico, empresas informáticas, editores de directorios y asociaciones como organizaciones caritativas, organizaciones no gubernamentales (ONG) o partidos políticos.

Asunto C-154/21 – RW contra Österreichische Post AG.

El Oberster Gerichtshof (Tribunal Supremo de lo Civil y Penal, Austria), que conoce del asunto en última instancia, desea saber si el RGPD concede al responsable del tratamiento la libertad de elegir si comunica la identidad concreta de los destinatarios o solo las categorías de destinatarios, o si ofrece al interesado el derecho a conocer su identidad concreta.

En su sentencia de hoy, el Tribunal de Justicia responde que, en el supuesto de que esos datos hayan sido o vayan a ser comunicados a destinatarios, el responsable del tratamiento está obligado a facilitar al interesado, cuando lo solicite, la identidad de esos destinatarios. Solo cuando (aún) no sea posible identificar a esos destinatarios puede aquel limitarse a indicar únicamente las categorías de destinatarios de que se trate. Lo mismo sucede cuando el responsable demuestre que la solicitud es manifiestamente infundada o excesiva.

El Tribunal de Justicia subraya que este derecho de acceso del interesado es necesario para permitirle ejercer otros derechos reconocidos por el RGDP, esto es, el derecho de rectificación, el derecho de supresión («derecho al olvido»), el derecho a la limitación del tratamiento, el derecho de oposición al tratamiento, así como el derecho a recurrir por los daños sufridos.

Fuente: Comunicado de prensa – Curia