La Agencia Española de Protección de Datos (AEPD) ha dictado resolución estimatoria en el procedimiento de tutela de derechos EXP202511016, al constatar que Soluciones Digitales CRX S.L. (operadora bajo la marca Dispon) no atendió debidamente una solicitud de ejercicio del derecho de acceso formulada por un interesado al amparo del artículo 15 del RGPD. La resolución resulta de especial interés por la argumentación desarrollada en torno al alcance del derecho de acceso cuando el responsable niega el carácter de datos personales a la información solicitada.
Hechos
El reclamante solicitó a Soluciones Digitales CRX el acceso al histórico de sus contratos de préstamo, importes prestados, cantidades pagadas y detalles de las prórrogas. La entidad respondió limitándose a comunicar el importe pendiente de la deuda y las cuentas bancarias para realizar ingresos. Ante la reiteración de la solicitud, la entidad contestó que toda la información obraba en el correo electrónico del reclamante y quedaba a la espera de recibir un ingreso.
Tras el traslado de la reclamación por la AEPD, Soluciones Digitales CRX alegó que la solicitud del cliente no constituía una petición de acceso a datos de carácter personal sino una solicitud de «historial mercantil», y que el interesado disponía de un área de cliente donde podía consultar sus datos personales.
La reclamación fue admitida a trámite en agosto de 2025 y se concedió trámite de audiencia a la entidad, que no presentó alegaciones adicionales.
Fundamentos de la resolución
La AEPD rechaza la interpretación restrictiva del responsable del tratamiento y desarrolla una argumentación detallada sobre el alcance del derecho de acceso, apoyándose en tres fuentes normativas y jurisprudenciales:
Directrices 1/2022 del Comité Europeo de Protección de Datos (CEPD). La resolución invoca estas Directrices, que precisan que el RGPD no introduce requisitos formales para las solicitudes de acceso, de modo que basta con que el interesado indique que desea conocer la información que le concierne. El responsable no puede denegar el acceso por falta de indicación de la base jurídica o de referencia específica al RGPD. Además, las Directrices advierten del peligro de realizar una interpretación «demasiado restrictiva» de la expresión «datos personales que le conciernan» para denegarlos automáticamente. Según el CEPD, el derecho de acceso se extiende no solo a los datos personales propios en sentido estricto, sino a todos aquellos que afecten al interesado.
Jurisprudencia del TJUE. La resolución cita la Sentencia del Tribunal de Justicia (Sala Tercera) de 7 de mayo de 2009, asunto C-553/07 (Rijkeboer), que califica el derecho de acceso como indispensable para que el interesado pueda ejercer otros derechos derivados, como la rectificación, supresión, oposición y el derecho a recurrir por daños sufridos.
Definición amplia de dato personal. La AEPD recuerda que, conforme al artículo 4 del RGPD, constituye dato personal «toda información sobre una persona física identificada o identificable», incluyendo los elementos propios de su identidad económica. En consecuencia, el histórico de préstamos y pagos vinculado a un cliente identificado constituye un conjunto de datos personales respecto de los cuales el interesado tiene derecho de acceso.
Parte dispositiva
La resolución estima la reclamación al apreciar infracción del artículo 15 del RGPD e insta a Soluciones Digitales CRX S.L. a remitir al reclamante, en el plazo de diez días hábiles, certificación por la que se atienda el derecho de acceso o se deniegue motivadamente, debiendo comunicar a la AEPD las actuaciones realizadas en idéntico plazo. La resolución advierte de que su incumplimiento podría constituir una infracción del artículo 83.6 del RGPD, calificada como muy grave a efectos de prescripción conforme al artículo 72.1.m) de la LOPDGDD.
La resolución pone fin a la vía administrativa y es susceptible de recurso potestativo de reposición o de recurso contencioso-administrativo ante la Sala de lo Contencioso-Administrativo de la Audiencia Nacional.