Esta es la respuesta que debemos dar al centro educativo:
A quien correspondiere en Derecho:
PRIMERO – El presente escrito se dirige en fundamentar el legítimo derecho de acceso
reconocido en el artículo 13 del Reglamento (UE) 2016/679 general de la protección de
datos de carácter personal (de ahora en adelante, RGPD), en el curso de los hechos que
nos ocupan aquí, que versan sobre el acceso a los datos de un menor de 14 años
contenidos en el protocolo de acoso escolar del centro educativo.
La exigencia se plantea en vista de la denegación de ejercer un derecho legítimamente
reconocido por la normativa de la Unión Europea, que versa sobre la protección de los
datos de carácter personal, alegando que por verse involucrados datos personales de
terceros, el acceso a los datos personales del menor contenidos en el protocolo de acoso
escolar no es posible salvo que una orden judicial dictamine que, en base a un juicio de
ponderación, prevalece los intereses del titular de los datos personales, por encima de
los datos personales de índole identificativa y característica de otros individuos que se
encuentran en dicho protocolo (artículo 18.4 de la Constitución Española).
En base a esto, entendemos que el centro educativo está aplicando el artículo 23 del
RGPD en lo que respecta al artículo 15.4 RGPD, en el que se alega que el derecho de
acceso a los datos personales de un interesado puede denegarse si afectan negativamente
a los derechos y libertades de otros.
SEGUNDO – En nombre de todos los representados, se manifiesta la profunda
disconformidad con la contestación facilitada por correo electrónico denegando el
derecho de acceso legítimo que ostenta el menor de 14 años, que como tal, debe ser
representado por su tutor legal o por quien ejerza la patria potestad, de conformidad con
el artículo de 12.6 de la Ley Orgánica 3/2018 de Protección de Datos Personales y
Garantía de Derechos Digitales (de ahora en adelante, LOPDGDD), que recordamos que
es normativa accesoria y complementaria al RGPD y que como tal, es un Reglamento de
la Unión Europea directamente aplicable en nuestro ordenamiento jurídico, por lo que
incluso las interpretaciones en forma de resoluciones, circulares, dictámenes, guías y2
directrices que emiten órganos nacionales y europeos tales como la CNIL (autoridad de
control francesa y referente a nivel europeo), AEPD (autoridad de control española,
según el art. 55 LOPDGDD) y CEPD (Comité Europeo de Protección de Datos y antiguo
Grupo de Trabajo 29) nutren y orientan las resoluciones de las autoridades de control,
que se encargan de orientar, supervisar, controlar y sancionar a las entidades detentoras
de datos personales en el territorio nacional, en nuestro caso, conforme al artículo 47 y
ss. LOPDGDD.
TERCERO – Así pues, nuestro fundamento se basa en las líneas directrices que emitió
el Comité Europeo de Protección de Datos (CEPD) en el marco del derecho de acceso
recientemente, el 18 de enero de 2022, con una regulación extensa sobre los diversos
modos de ejercicio, formalismos, limitaciones y restricciones, ejemplos clarificativos y
una interpretación exhaustiva del artículo 15 y 23 RGPD, así como de los respectivos
Considerandos que versan sobre esos dos artículos, especialmente el Considerando 63
del artículo 15, que expondremos más adelante.
La página 49 de las líneas directrices sobre el derecho de acceso (en inglés: guidelines
01/2022 on data subject rights – right of access) habla sobre la interpretación que debe
hacerse del artículo 15.4 RGPD cuando el responsable del tratamiento, en este caso, el
centro educativo, niega atender la solicitud de ejercer el derecho de acceso de los datos
del menor por afectar, supuestamente, negativamente a los derechos y libertades de
otros.
De acuerdo con el punto 170 de la pg. 50 de dichas líneas directrices, este argumento no
es motivo suficiente para denegar el derecho de acceso, ya que el responsable del
tratamiento, en este caso, el centro educativo, debe demostrar fehacientemente que la
entrega de una copia del acceso del protocolo a los interesados puede afectar
negativamente a los derechos y libertades de otros. Tratándose de menores de 14 años,
se debe prestar especialmente atención a su sensibilidad, pero ya que el contenido de este
protocolo es garantizar que otros menores no se vean acosados y violentados, es
menester del centro educativo facilitar una vía para poder, no solamente acceder a los
datos personales del menor en cuestión, sino del protocolo de acoso, en pos de garantizar
una cierta seguridad a los tutores legales, ya que se recogen testimonios y declaraciones
de menores que, sin su colaboración, no se hubieran podido elaborar unas directrices
adecuadas que orienten a este propósito.3
El responsable del tratamiento, siguiendo el punto 171 de la pg. 51, debe hacer un juicio
de ponderación para determinar si prevalecen los derechos y libertades fundamentales
de los terceros afectados (otros menores en la misma situación que el que está exigiendo
el acceso a sus datos personales) o si atendiendo a la situación de riesgo, y tratándose
más aún en este caso de un protocolo de acoso en el que es determinante y de interés
para los tutores legales conocer el procedimiento para poder emprender, como
responsables legales de estos, las acciones que estimen oportunas en la educación de sus
hijos, como reconoce el artículo 27 de la Constitución Española también como un
derecho fundamental, de equivalente protección. Esto es una necesidad, no una
recomendación, pues así lo expresa el punto 171 claramente:
“The interests of all participants need to be weighed taking into account the specific circumstances of the
case and in particular the likelihood and severity of the risks present in the communication of the data”
Además, el Considerando 63 del RGPD, siendo uno de los puntos dentro de la Exposición
de Motivos de dicho Reglamento con eficacia directa y vinculante en toda la Unión
Europea, establece de manera contundente lo siguiente:
“Este derecho (el de acceso) no debe afectar negativamente a los derechos y libertades de terceros,
incluidos los secretos comerciales o la propiedad intelectual y, en particular, los derechos de propiedad
intelectual que protegen programas informáticos.
“No obstante, estas consideraciones no deben tener como resultado la negativa a prestar toda la
información al interesado.”
Así por ejemplo, siguiendo lo que establece el punto 171 de la pg. 51 de las líneas
directrices 01/2022 del derecho de acceso, el responsable del tratamiento debería
facilitar por alguna vía los datos personales contenidos en dicho protocolo, esto incluye
toda referencia a las declaraciones del menor en dicho protocolo, que como tales, son
datos personales conforme al artículo 4 RGPD, al poder identificar de manera indirecta
a una persona física.
Un ejemplo de dicha vía sería seudonimizar o anonimizar (a través de la censura, por
ejemplo) de los datos personales que identifiquen o puedan identificar a otros menores,
dejando los datos personales que conciernen al interesado contenidos en dicho
protocolo, que como tal, supone un formulario de captación de datos en un soporte
duradero (art. 12 y 13 RGPD), así lo recoge de la misma forma el punto 171:
“This means, for example, where the limitation applies, that information concerning others has to be
rendered illegible as far as possible instead of rejecting to provide a copy of the personal
data.”4
CUARTO – Así pues, volvemos a solicitar el derecho de acceso legítimamente
ejercido conforme al artículo 15 RGPD, aplicándose si se estima necesario,
la censura de las otras declaraciones de otros menores, no siendo óbice para
acceder a los datos personales del menor y sin considerarse aplicable la restricción
del artículo 15.4 RGPD, principalmente porque tampoco se ha fundamento en base a
Derecho que el acceso a los datos del menor interesado puede afectar negativamente a
los derechos y libertades de otros, tal como recoge las líneas directrices del CEPD citadas,
y que constituyen normativa de protección de datos que orienta las resoluciones de las
autoridades de control.
QUINTO – En base a lo anterior, constatamos que, si de lo contrario, se vuelve a
desatender este derecho, procederemos a interponer una reclamación ante la Agencia
Española de Protección de Datos (que tampoco se nos ha informado en el escrito de
contestación a la primera solicitud de ejercicio y que es necesario aportar, a pesar de la
denegación, conforme al artículo 15.1.f) RGPD), por una vulneración de un ejercicio de
derechos ARCO (artículos 15 a 22 RGPD) legítimamente reconocidos y fundamentados,
que pueden comportar una infracción administrativa, de acuerdo con el artículo 74.c)
LOPDGDD, comportando por consecuencia una sanción económica por parte de la
autoridad de control.
SÚPLICO
Solicitamos pues el derecho de acceso de todos los datos personales del menor,
contenidos en el protocolo de acoso del centro educativo.
Fuente: Oriol García Alabarce. Licenciado en Derecho. Jurista especializado en LOPD.