El TJUE sentencia en el cas C-487/21: cal lliurar còpies autèntiques de les dades
- El TJUE estableix que el dret d'accés implica obtenir una reproducció autèntica i intel·ligible de totes les dades personals.
- No és suficient amb enviar un quadre sintètic; l'interessat pot sol·licitar còpies de documents sencers o extracts.
- El RGPD s'aplica a totes les empreses que tractin dades de ciutadans de la UE, independentment de la seva seu.
- L'impacte per a les empreses locals implica una revisió dels processos de resposta a les sol·licituds d'accés per evitar sancions.
La gestió de la privadesa ha deixat de ser una qüestió merament administrativa per convertir-se en un pilar estratègic de la governança corporativa. En el centre d'aquest ecosistema es troba el Reglament General de Protecció de Dades (RGPD), una normativa que no només regula la recollida de la informació, sinó que empodera l'usuari a través de drets específics. Entre aquests, el dret d'accés ha generat recentment un debat jurídic crucial sobre què ha de lliurar exactament una empresa quan un client o empleat pregunta: 'Què sabeu de mi?'
L'interpretació del TJUE sobre la reproducció de dades
La clau de la discussió actual resideix en la sentència del Tribunal de Justícia de la Unió Europea (TJUE) en el cas C-487/21, relacionat amb l'Österreichische Datenschutzbehörde. El punt central del conflicte era determinar si una empresa compleix la seva obligació quan entrega la informació en forma de resum o quadre sintètic, o si l'interessat té dret a rebre els documents originals on figuren les seves dades.
El tribunal ha estat clar: l'interessat té dret a obtenir una reproducció autèntica i intel·ligible de totes les seves dades personals. Això significa que el dret d'accés no es limita a una llista de dades processades, sinó que s'estén a la possibilitat de rebre còpies d'extracts de documents i, en determinats casos, documents sencers. Aquesta interpretació amplia significativament la càrrega operativa de les empreses, que ja no poden refugiar-se en resums simplificats per evitar la revelació de documents interns on apareixen dades personals.
El concepte ampl de dades personals sota el RGPD
Per entendre l'abast d'aquesta obligació, és fonamental recordar què es considera una dada personal segons el marc europeu. No es tracta només del nom, el cognom o el DNI, sinó de qualsevol informació relacionada amb una persona identificada o identificable. Això inclou identificadors únics, dades de navegació i qualsevol anotació que permeti traçar el perfil d'un individu.
L'aplicació d'aquest reglament és global en el seu impacte. S'aplica a totes les organitzacions europees que tractin dades de ciutadans de la UE, però també a empreses amb seu fora de la Unió si ofereixen béns o serveis a persones que viuen a Europa o si supervisen el seu comportament. L'establiment de representants a la UE és, per tant, un requisit obligatori per a moltes firmes internacionals que operen en el mercat digital.
Limitacions i excepcions al dret d'accés
Tot i l'ampliació del dret a la reproducció de documents, el RGPD no és un xec en blanc. Hi ha situacions específiques on el reglament no s'aplica, com ara quan l'interessat ha faltat, quan es tracta d'una persona jurídica o quan el tractament de dades es realitza per fins estrictament personals i ajens a l'activitat comercial o professional.
Així mateix, la companyia responsable del tractament ha de trobar l'equilibri entre el dret d'accés de l'individu i els drets de tercers. La reproducció de documents no pot vulnerar la privadesa d'altres persones que apareguin en el mateix text, cosa que obliga les empreses a realitzar processos de redactat o anonimització abans de l'entrega de la documentació.
La importància de les directrius del CEPD
A més a la jurisprudència del TJUE, el Comitè Europeu de Protecció de Dades (CEPD) ha actualitzat les seves directrius per oferir una guia més detallada sobre com exercir el dret d'accés. Aquestes actualitzacions busquen homogenitzar la resposta de les autoritats de control a tot el territori europeu, evitant que una empresa a Espanya apliqui criteris diferents a una a Alemanya o Àustria.
El dret d'accés és la porta d'entrada per a la resta de drets del RGPD; si l'usuari no sap exactament quines dades es tracten i com, no pot exercir el dret de rectificació o supressió.
Per a els empresaris, això implica que la transparència no és només un valor ètic, sinó una obligació legal amb implicacions directes en la gestió de bases de dades. La capacitat de recuperar ràpidament extracts específics de documents interns és ara una necessitat tècnica.
Gestió del risc i compliment normatiu
L'incapacitat de respondre correctament a una sol·licitud d'accés pot derivar en sancions administratives severes. Moltes empreses cometien l'error de pensar que l'enviament d'un fitxer CSV amb dades estructurades era suficient. No obstant això, la tendència actual indica que l'usuari pot exigir veure el context en què es van generar aquestes dades, ja sigui en un correu electrònic, un informe de solvència o una nota interna.
Per mitigar aquest risc, és recomanable revisar els protocols de dret d'accés a dades personals i assegurar-se que els sistemes d'arxiu permetin la recuperació selectiva d'informació. L'estratègia ha de passar per una classificació rigorosa de la documentació des del moment de la seva creació.
Impacte per a l'ecosistema empresarial de Catalunya i Espanya
Per a les empreses catalanes, especialment en el vibrant hub tecnològic de Barcelona, aquests criteris tenen una rellevància crítica. El teixit industrial i de serveis de Catalunya està altament digitalitzat, i moltes startups d'IA i Big Data processen volums massius de dades on la distinció entre un resum sintètic i un document original és complexa.
L'entrada en vigor de l'AI Act a nivell europeu accentuarà aquesta necessitat de transparència. Les empreses que utilitzen sistemes d'IA per a la presa de decisions (com ara la scoring creditici o la selecció de personal) hauran de ser capaces de proporcionar no només el resultat, sinó la base documental que ha alimentat aquestes decisions si l'interessat ho sol·licita via RGPD. El mercat espanyol, amb una tradició administrativa densa, s'enfronta al repte de modernitzar la seva gestió documental per complir amb la celeritat i l'exactitud que exigeix el tribunal europeu.
En conclusió, les empreses a Espanya han de moure's cap a un model de privadesa per disseny. No es tracta només de tenir una política de cookies visible, sinó de garantir que el flux de dades permeti una resposta exhaustiva i autèntica a qualsevol ciutadans. Aquelles organitzacions que ignorin l'abast ampl del dret d'accés s'exposen a conflictes legals que poden afectar la seva reputació i la seva viabilita econòmica.
Preguntes freqüents
És suficient enviar un resum de les dades personals quan un client ho sol·licita?
No. Segons el TJUE, l'interessat té dret a una reproducció autèntica i intel·ligible, cosa que pot incloure extracts de documents o documents sencers, no nomes un quadre sintètic.
El RGPD s'aplica a una empresa que no té seu a la Unió Europea?
Sí, si l'empresa tracta dades de ciutadans de la UE en relació amb l'oferta de béns o serveis, o si supervisa el seu comportament dins de la Unió.
Quines són les excepcions principals al dret d'accés?
El dret d'accés no s'aplica si l'interessat ha faltat, si es tracta d'una persona jurídica o si el tractament de dades es fa per fins estrictament personals i no professionals.
Què ha de fer una empresa per complir amb aquestes noves interpretacions?
Ha de revisar els seus processos de recuperació de dades per poder lliurar còpies autèntiques de documents i no només resums, assegurant-se sempre de protegir les dades de tercers.
Fonts: Legaltoday, Cuatrecasas, Europa ·
glacom · IA per a despatxos d’advocats: els expedients no surten del despatx →Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
