info@josefelgueroso.com
2023-10-02
El Tribunal de Justicia de la Unión Europea (el "Tribunal Europeo") determinó que un cliente bancario tenía derecho a información sobre la naturaleza, la frecuencia y el propósito del acceso del banco a sus datos personales. Sin embargo, también determinó que el cliente no tenía derecho a conocer la identidad de los empleados específicos del banco que accedieron a esos datos.
En 2014, J.M., empleado y cliente de Pankki S, descubrió que el personal del banco había accedido a sus datos varias veces a finales de 2013. Después de perder su empleo en Pankki S, en 2018 preguntó al banco quién había consultado sus datos, cuándo y por qué. Pankki S, responsable de los datos (el "responsable del tratamiento") según el Reglamento General de Protección de Datos de la UE (el "Reglamento Europeo"), no reveló los nombres, alegando que la información era información privada de los empleados. Sin embargo, explicó que su equipo interno revisó los datos de J.M. para ver si había un conflicto de interés porque otro cliente debía dinero a alguien con el apellido de J.M. Querían asegurarse de que J.M. no estuviera involucrado. Tras la revisión, el banco exoneró a J.M. de cualquier sospecha. Insatisfecho, J.M. llevó su solicitud a la autoridad de protección de datos de Finlandia, que en 2020 dio la razón al banco. En desacuerdo con la decisión, J.M. demandó ante el Tribunal Administrativo de Finlandia Oriental (el "Tribunal Remitente").
El Tribunal Remitente planteó cuatro preguntas al Tribunal Europeo:
Aplicación del Reglamento Europeo a situaciones que ocurrieron antes de su entrada en vigor
Las normas sobre protección de datos cambiaron significativamente cuando el Reglamento Europeo entró en vigor el 25 de mayo de 2018. Por lo general, una nueva regla procesal solo se aplica desde el día en que entra en vigor, mientras que una nueva regla sustantiva puede aplicarse a situaciones anteriores a su entrada en vigor si esto se desprende de los términos y objetivos de la regla. La disposición del Reglamento Europeo en cuestión permite a las personas cuyos datos se están procesando (los "interesados") preguntar y ver cómo se ha utilizado su información personal.
El problema principal en este caso fue el acceso a los datos del 1 de noviembre al 31 de diciembre de 2013. Esto fue antes de que el Reglamento Europeo entrara en vigor. Pero J.M. preguntó a Pankki S al respecto después de que el Reglamento Europeo entrara en vigor, específicamente el 29 de mayo de 2018. Debido a que el Tribunal Europeo consideró que la disposición que J.M. utilizó para acceder a sus datos era una regla procesal, concluyó que el Reglamento Europeo se aplicaba a la solicitud de J.M.
Categorías de datos que el responsable del tratamiento debe proporcionar al interesado
Según el Reglamento Europeo, los interesados tienen el derecho de saber si se están procesando sus datos personales. Si es así, pueden ver esos datos y saber por qué se están utilizando y con quién se están compartiendo. Los datos personales son cualquier información sobre una persona que pueda ayudar a identificar a esa persona. Esta es una definición amplia e incluye tanto hechos objetivos como opiniones subjetivas sobre la persona. Estos datos pueden ser algo tan simple como un nombre o tan complejo como sus detalles genéticos. No se trata solo de los datos recopilados inicialmente: también se trata de cualquier información derivada de esos datos. El procesamiento incluye una amplia gama de acciones, como recopilar, almacenar o incluso simplemente mirar los datos. Y el término 'receptor' de los datos significa cualquiera con quien se comparta.
El objetivo es la transparencia. Las personas deben saber claramente cómo se utilizan sus datos. El objetivo de este derecho a saber es ayudar a las personas a asegurarse del uso adecuado de sus datos e impugnar cualquier uso indebido. Los interesados tienen derecho a saber acerca del propósito del uso de los datos y quién llega a verlos. Pero hay límites. Si bien las personas tienen el derecho de ver sus datos y saber con quién se comparten, no necesariamente tienen el derecho de conocer los nombres de cada persona que los vio si esas personas trabajan para el responsable del procesamiento los datos. Y aunque el objetivo es proteger los derechos de los interesados, también se deben tener en cuenta los derechos de otras personas involucradas.
J.M. pidió a Pankki S que le informara sobre cualquier ocasión en que la entidad revisó sus datos personales de noviembre a diciembre de 2013. Quería saber cuándo lo verificaron, por qué lo hicieron y quién realizó la verificación. El Tribunal Europeo indicó que al compartir los registros de esas acciones, Pankki S podría responder a las preguntas de J.M.
El Tribunal Europeo declaró que las veces que Pankki S consultó los datos de J.M. se consideran 'procesamiento' bajo el Reglamento Europeo. Por lo tanto, J.M. tenía el derecho de conocer no solo sus datos, sino también los detalles de estas consultas. El Reglamento Europeo establece que una persona tiene derecho a obtener una copia de sus datos personales que se están procesando. Los registros que J.M. solicitó se ajustan a esta definición, ya que son registros de acciones relacionadas con sus datos personales. Como resultado, estos registros deberían mostrar si Pankki S estaba cumpliendo con las reglas de protección de datos.
Los registros, sin embargo, tenían nombres de las personas que realizaron las consultas. Estas personas eras empleados de Pankki S, trabajando bajo las órdenes del banco. J.M. no estaba solicitando los nombres porque pensaba que los empleados no seguían las órdenes. En cambio, parecía dudar de las razones que Pankki S le dio sobre por qué revisaron sus datos en primer lugar.
El Tribunal Europeo concluyó que, de acuerdo con el Reglamento Europeo, los interesados tienen derecho a saber cuándo y por qué alguien revisó sus datos personales. Esto no significa, sin embargo, que tengan derecho a conocer los nombres de los empleados que realizaron la revisión, a menos que sea absolutamente necesario para el ejercicio de los derechos del interesado de acuerdo con el Reglamento Europeo. El Tribunal Europeo indicó que también se deben tener en cuenta los derechos de esos empleados.
Posible relevancia de la posición del interesado como empleado del responsable del tratamiento
El Reglamento Europeo no diferencia según el tipo de trabajo que realiza el responsable del tratamiento o la posición de la persona cuyos datos procesa. Aunque el Reglamento Europeo permite que la ley de los estados miembros limite los derechos y deberes relacionados con el acceso a los datos, es principalmente para casos específicos.
En el caso de J.M., no hay señal de que Pankki S estuviera sometido a alguna ley especial. Y si J.M. era cliente o empleado de Pankki S no cambió su derecho de acceder a sus datos de acuerdo con el Reglamento Europeo.
El Tribunal Europeo concluyó que no importa si el responsable del tratamiento es un banco o si la persona que solicita sus datos era a la vez cliente y empleado allí. Esos factores no cambian el derecho de la persona a ver los datos.
Procedimiento iniciado por J.M. (Tribunal de Justicia de la Unión Europea, 2023)