Información sobre los destinatarios a los que se comunicaron los datos personales
Tratamiento de datos personales. Protección de las personas físicas. Derecho de acceso del interesado a sus datos. Cesión de datos a terceros. Destinatarios a los que se comunica los datos personales. Limitaciones.
El artículo 15.1, letra c), del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), debe interpretarse en el sentido de que el derecho de acceso del interesado a los datos personales que le conciernen, establecido en dicha disposición, implica, cuando esos datos hayan sido o vayan a ser comunicados a destinatarios, la obligación del responsable del tratamiento de facilitar a ese interesado la identidad de esos destinatarios, a menos que no sea posible identificarlos o que dicho responsable del tratamiento demuestre que las solicitudes de acceso del interesado son manifiestamente infundadas o excesivas en el sentido del artículo 12, apartado 5, del Reglamento 2016/679, en cuyo caso este podrá indicar al interesado únicamente las categorías de destinatarios de que se trate.
Los términos «destinatarios» y «categorías de destinatarios» que figuran en la mencionada disposición se utilizan sucesivamente, sin que sea posible deducir un orden de prioridad entre uno y otro. El interesado debe tener, en particular, derecho a ser informado de la identidad de los destinatarios concretos cuando sus datos personales ya hayan sido comunicados o serán comunicados los datos o que, alternativamente, opte por limitarse a solicitar información relativa a las categorías de destinatarios. Pero el derecho a la protección de los datos personales no es un derecho absoluto. En efecto, este derecho debe considerarse según su función en la sociedad y ponderarse con otros derechos fundamentales, de conformidad con el principio de proporcionalidad.
Por tanto, cabe admitir que, en determinadas circunstancias, no sea posible facilitar información sobre destinatarios concretos. En consecuencia, el derecho de acceso podrá limitarse a la información sobre las categorías de destinatarios cuando no sea posible comunicar la identidad de los destinatarios concretos, en particular, cuando estos aún no se conozcan. Además, procede recordar que, en virtud del artículo 12, apartado 5, letra b), del RGPD, el responsable del tratamiento puede, de conformidad con el principio de responsabilidad contemplado en el artículo 5, apartado 2, de dicho Reglamento y en su considerando 74, negarse a actuar respecto de las solicitudes del interesado cuando estas sean manifiestamente infundadas o excesivas, si bien se ha precisado que este responsable del tratamiento soporta la carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud.