Una resolución de la Agencia Española de Protección de Datos (AEPD) estimó la reclamación formulada por una clienta de la compañía de ropa Uniqlo que le había reclamado que le entregara un archivo de videovigilancia, a pesar de que este archivo no existía. De esta manera, valora que el derecho de acceso incluye la obligatoriedad de una respuesta formal por parte de quien recibe la solicitud.

«El derecho de acceso no había sido atendido o había sido mal entendido, debían comunicarlo», explica María Luisa González Tapia, asociada del departamento de tecnologías de la información de Ramón y Cajal Abogados, declarando que «siempre se debe responder formalmente» a las solicitudes de este tipo, incluso si no tuviera que ver directamente con protección de datos.

En este sentido, González aclara que «es posible que la reclamación se hubiera desestimado si hubieran tenido el vídeo y comprobaran que la reclamante no aparece en las imágenes», ya que no se trataría de una solicitud para proteger sus datos personales. La abogada compara esta situación con la del propietario de un coche que alguien ha rayado en un parqueadero, que tampoco puede exigir los archivos de videovigilancia que tuvieran los encargados.

La situación comenzó cuando la compañía se negó a devolver un producto de la reclamante por no considerar que se encontraba en condiciones aceptables, a lo que la clienta respondió pidiendo las grabaciones de seguridad para comprobar las condiciones en las que llegó el paquete de la prenda. Uniqlo indicó que comprobaría el estado en que se entregó este paquete en los archivos y la afectada los solicitó como parte de su derecho de acceso.

Así, desde Uniqlo determinaron que este vídeo no existía, pero no procedieron a formular una respuesta denegando la solicitud, motivo por el cual la AEPD estima el caso por motivos formales. «Las empresas están obligadas a responder a las solicitudes de derecho de acceso en el plazo de un mes, que se puede prorrogar en ciertas circunstancias, y deben tener un protocolo interno para ello», dice González. «Así, sin mala fe, las empresas pueden atender mal a los clientes».

«Tanto la voz como la imagen son datos de carácter personal, según el Comité Europeo de Protección de Datos«, afirma González, señalando que aquellos que reciben solicitudes de derecho de acceso «que entregar las copias de los datos, de acuerdo al Reglamento General de Protección de Datos (RGPD)». «Es algo que ha cobrado más importancia y se ha vuelto clave en la atención al cliente, igual que el derecho a la supresión». 

Destaca que las peticiones por llamadas telefónicas son relativamente frecuentes en comparación con las de videovigilancia, que además incluyen consultas sobre si tratan ciertos datos y cuáles, de dónde proviene, cómo se usa y toda la información de tratamiento.

Cabe mencionar que el plazo máximo para conservar imágenes de videovigilancia es de 30 días, luego de lo cual se deben borrar, por lo que cualquier reclamación después de este periodo es virtualmente nula, si bien no exime de la obligación de responder formalmente que se han suprimido.

En cambio, los plazos de conservación de las grabaciones de las llamadas telefónicas varían más, especialmente en las situaciones en las que son el soporte que acredita el contrato de servicios específicos.

González también indica que solo los afectados pueden pedir la cesión de materiales en los que aparecen sus datos, con lo que nadie puede hacerlo excepto en casos en los que puedan justificar un interés legítimo, como podría ser el caso de los padres que tienen derecho a saber las notas de sus hijos mayores de edad y económicamente dependientes.

Por esto, a la clienta de Uniqlo también se le podría haber denegado el acceso a la grabación por no aparecer ella en las imágenes, y el interés legítimo hubiera sido muy difícil de justificar.

Además, la falta de verificación en las llamadas telefónicas es un riesgo de fraude, que incluye como modalidad facturar un servicio para alguien que no lo contrató. Una situación que puede ser objeto de investigación de protección de datos si el usuario reclama, ya que no hay base legal para tratar los datos de una persona sin comprobar que es esta la que los concede.

Los usuarios también ejercen el derecho de acceso para aportar a una denuncia, comenta González, especialmente en los casos de fraude de identidad, aunque se crea «una situación paradójica e incluso absurda» al tratarse de los datos personales de otra persona.