La Agencia Española de Protección de Datos ha resuelto el procedimiento de derechos EXP202506832, estimando parcialmente la reclamación formulada contra Retsinnal Group, S.L.U. por vulneración del artículo 15 del RGPD, al no facilitar información completa sobre los destinatarios de los datos personales del reclamante.
Antecedentes del caso
El reclamante, que había contratado un curso online, ejercitó el derecho de acceso mediante correo electrónico de fecha 26 de noviembre de 2024, en el que también comunicaba su desistimiento del curso y solicitaba determinada información. La entidad reclamada contestó al día siguiente, pero sin hacer referencia alguna a la solicitud de ejercicio de derechos.
Ante la falta de atención a su solicitud, el interesado presentó reclamación ante la AEPD el 7 de abril de 2025.
Alegaciones de la parte reclamada
En respuesta al traslado de la reclamación, Retsinnal Group, S.L.U. alegó que en el momento de la solicitud inicial no ostentaba la condición de responsable del tratamiento respecto de los datos controvertidos. Según expuso, dichos datos pertenecían a Sequra Worldwide, S.A., entidad con la que el reclamante había suscrito un contrato de préstamo al consumo que resultó en impago, y que el crédito y los datos asociados fueron cedidos a Retsinnal Group con fecha 25 de marzo de 2025.
La entidad reclamada manifestó haber comunicado telefónicamente al reclamante su disposición a facilitar el acceso a los datos obrantes en sus sistemas. Asimismo, informó que los únicos datos en su poder eran el correo electrónico y el nombre y apellidos con los que el reclamante accedía a la plataforma de visualización de vídeos formativos, además de los datos del contrato de cesión.
En cuanto a la existencia de grabaciones telefónicas del proceso de contratación, la parte reclamada negó categóricamente disponer de tal material, afirmando no haber aportado grabación alguna ante ningún organismo o autoridad.
Alegaciones de la parte reclamante
El reclamante sostuvo que la empresa no había facilitado copia de la grabación telefónica de contratación ni certificación motivada de su inexistencia. Aportó como elemento probatorio un correo electrónico que atribuyó a la Oficina de Consum del Govern d’Andorra, en el que dicha autoridad habría indicado haber accedido a la llamada mantenida en el momento de la contratación.
El reclamante planteó la existencia de una contradicción entre las afirmaciones de la parte reclamada ante la AEPD, negando la existencia de grabaciones, y la supuesta aportación de dicho material ante la autoridad de consumo andorrana. Adicionalmente, alegó la existencia de un correo electrónico falsificado en la documentación presentada por la empresa ante dicho organismo.
La parte reclamada impugnó la autenticidad y procedencia de la documentación relativa a las actuaciones ante la Oficina de Consum de Andorra, manifestando desconocer por completo su contenido y negando haber enviado material alguno a dicha autoridad.
Fundamentos jurídicos
La resolución se fundamenta en los artículos 15 del RGPD y 13 de la LOPDGDD, que reconocen el derecho del interesado a obtener del responsable del tratamiento confirmación sobre si se están tratando datos personales que le conciernan y, en tal caso, acceso a los mismos.
La AEPD recuerda que el responsable del tratamiento está obligado a responder las solicitudes de ejercicio de derechos en el plazo máximo de un mes, debiendo la comunicación expresarse de forma concisa, transparente, inteligible y de fácil acceso. La carga de la prueba del cumplimiento de este deber recae sobre el responsable.
Valoración de la Agencia
La resolución delimita expresamente su objeto al análisis de si el derecho de acceso ha sido debidamente atendido, excluyendo las restantes cuestiones planteadas por las partes.
La AEPD constata que, si bien la parte reclamada ha aportado datos identificativos, datos de contacto, copia del contrato firmado y comunicaciones por correo electrónico, no ha informado al reclamante sobre los destinatarios a los que se han comunicado o serán comunicados sus datos personales.
Respecto a la controversia sobre la existencia de grabaciones telefónicas, la Agencia señala que no tenía constancia de que el reclamante hubiera presentado reclamación ante la Oficina de Consumo de Andorra. Asimismo, considera que el correo electrónico aportado como supuesta respuesta de dicha autoridad no puede aceptarse como válido al no contener referencia alguna a Retsinnal Group, S.L.U., y teniendo en cuenta que la parte reclamada niega haber enviado material de grabación a dicho organismo.
La resolución reitera que el responsable del tratamiento viene obligado a dar respuesta expresa a toda solicitud de ejercicio de derechos, incluso cuando no existan datos en sus ficheros o cuando la solicitud presente deficiencias formales, debiendo en este último caso requerir la subsanación o denegar motivadamente la petición.
Pronunciamiento
La Presidencia de la AEPD resuelve estimar parcialmente la reclamación, declarando la infracción del artículo 15 del RGPD, e insta a Retsinnal Group, S.L.U. a que, en el plazo de diez días hábiles desde la notificación, remita al reclamante certificación en la que se atienda el derecho solicitado, específicamente en lo referente a los destinatarios o categorías de destinatarios a los que se comunicaron o serán comunicados sus datos personales, incluidos destinatarios en países terceros u organizaciones internacionales, o se deniegue motivadamente indicando las causas por las que no procede atender la petición.
La resolución advierte que el incumplimiento podría constituir una infracción del artículo 83.6 del RGPD, calificada como muy grave a efectos de prescripción conforme al artículo 72.1.m) de la LOPDGDD.