La Agencia Española de Protección de Datos ha dictado resolución en el procedimiento de derechos EXP202511220, estimando parcialmente la reclamación formulada contra la Consejería de Cultura, Turismo y Deporte de Cantabria por vulneración del artículo 15 del RGPD.
Antecedentes del caso
El reclamante, actuando en representación de su hijo menor, ejercitó el derecho de acceso el 28 de marzo de 2025, solicitando información sobre el tratamiento de los datos personales del menor en el contexto de dicha Consejería. La solicitud inicial se dirigió a una dirección de correo electrónico que resultó pertenecer a la Sociedad Regional de Educación, Cultura y Deporte (SRECD), entidad mercantil autonómica excluida del ámbito de aplicación del Decreto 79/2021.
Posteriormente, el 31 de marzo, el reclamante reenvió la solicitud a la Delegada de Protección de Datos del Gobierno de Cantabria, quien confirmó la idoneidad del cauce y solicitó la aportación del formulario oficial de la AEPD firmado electrónicamente, requisito que fue cumplimentado el 11 de abril de 2025.
La Consejería respondió el 12 de mayo de 2025. El reclamante consideró esta respuesta extemporánea e incompleta, al no incluir los datos concretos del menor, los escritos previos dirigidos a la Consejería ni información sobre el protocolo de protección a menores que habría sido activado.
Posición de las partes
La parte reclamada sostuvo que, tomando como fecha de inicio del cómputo la recepción del formulario oficial (11 de abril), la respuesta emitida el 12 de mayo cumplía el plazo legal de un mes, dado que el día 11 de mayo era domingo. Asimismo, alegó que los únicos datos del menor en su poder eran los correspondientes a la base de datos de deporte escolar, y que las referencias del reclamante a otras Consejerías, la Federación de Natación o el ICASS excedían su ámbito competencial.
El reclamante mantuvo que la respuesta constituía una simulación de cumplimiento, al limitarse a enumerar categorías genéricas de datos sin proporcionar la información específica solicitada, y que la Consejería había negado la existencia de documentación relacionada con el caso cuando constaban múltiples registros y comunicaciones oficiales.
Fundamentos jurídicos de la resolución
La AEPD fundamenta su decisión en los artículos 15 del RGPD y 13 de la LOPDGDD, que reconocen el derecho del interesado a obtener del responsable del tratamiento confirmación de si se están tratando datos personales que le conciernan y, en tal caso, acceso a los mismos.
La resolución aclara que la dirección de correo inicial pertenecía a la SRECD, que remitió la solicitud a la Consejería el 11 de abril de 2025. Desde esta fecha, la respuesta del 12 de mayo se considera emitida dentro del plazo legal establecido.
No obstante, la Agencia determina que la respuesta proporcionada resulta materialmente insuficiente. La parte reclamada se limitó a facilitar una lista genérica de categorías de datos que podría tener en su poder (NIF, nombre completo, tipo afiliado, temporada, club, deporte, equipo, categoría, sexo, fecha de alta, estado, fecha de nacimiento, domicilio y teléfono), sin proporcionar los datos concretos del menor.
La resolución establece que el responsable del tratamiento viene obligado a dar respuesta expresa en todo caso, incluso cuando no existan datos en sus ficheros o cuando la solicitud presente deficiencias formales. En este último supuesto, debe requerir la subsanación o denegar motivadamente la petición.
Pronunciamiento
La Presidencia de la AEPD resuelve estimar parcialmente la reclamación, declarando la infracción del artículo 15 del RGPD, e insta a la Consejería de Cultura, Turismo y Deporte de Cantabria a que, en el plazo de diez días hábiles desde la notificación, remita al reclamante certificación en la que se atienda el derecho solicitado, proporcionando la información específica que obra en sus registros de manera clara y detallada, o se deniegue motivadamente indicando las causas por las que no procede atender la petición.
La resolución advierte que el incumplimiento podría constituir una infracción del artículo 83.6 del RGPD, calificada como muy grave a efectos de prescripción conforme al artículo 72.1.m) de la LOPDGDD.