Improcedente denegación del derecho de acceso por solicitud abusiva y falta de medios: carga de la prueba del responsable del tratamiento

PRIMERO: A.A.A. (en adelante, la parte reclamante) ejerció el derecho de Acceso frente al AYUNTAMIENTO DE CABEZÓN DE LA SAL (en adelante, la parte reclamada) sin que su solicitud haya recibido la contestación legalmente establecida.

El 24/06/25 la parte reclamante ejercitó el derecho de acceso ante la parte reclamada. En la instancia registrada solicitaba expresamente "que se le facilite gratuitamente el derecho de acceso a los ficheros de datos que respecto a esta solicitante existan en ese Ayuntamiento de Cabezón de la Sal, Cantabria, así como, en los contenidos respecto a esta interesada en la base de datos de información de todas y cada una de las concejalías y departamentos que conforman ese Ayuntamiento de Cabezón de la Sal, Cantabria".

El 30/06/25 la parte reclamada inadmite la petición "por no estar justificada en la finalidad de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, al incurrir elementos de carácter manifiestamente abusivos y ausencia de motivación suficiente."

Junto a la reclamación aporta la instancia registrada para ejercitar el derecho y la contestación emitida para denegarlo.

SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos.

En su escrito de respuesta a las actuaciones de traslado de 17 de septiembre de 2025, la parte reclamada señala:

"2. Si han dado respuesta a la solicitud de ejercicio de derechos de la parte reclamante, acreditación de la respuesta facilitada.

La respuesta facilitada a la parte reclamante consta en el traslado de información que se nos ha efectuado y, por tanto, en el expediente.

3. En el supuesto de que se haya ejercitado el derecho de acceso, rectificación osupresión, informar si los datos solicitados están bloqueados o no.

La interesada ha solicitado acceso a la totalidad de sus datos, por lo que es necesario, en primer lugar, conocer en qué bases de datos se encuentran. Resulta imprescindible que la interesada aclara a qué datos concretos quiere acceder.

4. ¿Han adoptado alguna decisión a propósito de la reclamación que se traslada oprevén adoptarla?

Se inadmitió tal petición por abusiva y, además, recurrente, ya que la parte interesada ha ejercitado varios derechos de acceso en un breve plazo de tiempo. En otra ocasión, el derecho de acceso le fue concedido, pero al no haberse abonado la tasa correspondiente (cédula urbanística), finalmente no fue expedida la documentación pedida.

5. Si han dado respuesta a la parte reclamante con motivo del traslado por estaAgencia de su reclamación, acreditación de la respuesta facilitada.

A la interesada se le facilitó la respuesta a su derecho y que consta en el propio expediente que la Agencia Española de Datos ha abierto a consecuencia de la reclamación efectuada."

TERCERO: El resultado del trámite de traslado indicado en el Hecho anterior no permitió entender satisfechas las pretensiones de la parte reclamante. Con fecha 9 de octubre de 2025 se produjo la admisión a trámite de la reclamación presentada.

Mediante acuerdo de la Presidencia de la Agencia Española de Protección de Datos de 28 de octubre de 2025 se concedió a la parte reclamada trámite de audiencia, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes, formulando, en síntesis, las siguientes alegaciones:

"A día 24 de mayo de 2025 la reclamante solicitó derecho de acceso a todos aquellos datos personales que obrasen en el Ayuntamiento de Cabezón de la Sal sobre su persona.

Esta petición fue estudiada y considerada manifiestamente abusiva, denegándose tal acceso por dicha circunstancia.

La petición de acceso a datos personales debe ser concreta y específica, de conformidad con el artículo 13 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos y Garantía de Derechos Digitales (LOPD-GDD).

El hecho de revisar la totalidad de la base de datos, necesario cumplir con la petición de la interesada, en un plazo de 30 día, es una tarea imposible para el Ayuntamiento de Cabezón de la Sal, municipio pequeño de 8.280 habitantes con unos medios físicos y materiales bastante limitados.

En conclusión, el derecho de acceso fue denegado por dos motivos, el primero, porque no fue limitado tal y como indica el artículo 13 de la LOPD, el segundo, Añadir que, en otra ocasión, a la misma interesada le fue concedido otro derecho de acceso que ejercitó, lo que demuestra la intención del Ayuntamiento de Cabezón de la Sal en garantizar los derechos de todos los interesados.

A la interesada se le facilitó la respuesta a su derecho y que consta en el propio expediente que la Agencia Española de Datos ha abierto a consecuencia de la reclamación efectuada.

CUARTO. - Como corolario a todo lo hasta aquí expuesto, y con carácter complementario, consideramos oportuno destacar que el Ayuntamiento de Cabezón de la Sal ha actuado conforme a ley y entiende que no ha cometido nunca infracción alguna relacionada con la normativa de protección de datos personales. Y que, no obstante, este Ayuntamiento se ofrece a colaborar con la Agencia Española de Protección de Datos en lo que considere oportuno. porque a pesar de la buena fe e interés en conceder el derecho de acceso, era completamente imposible."

CUARTO: Examinado el escrito presentado por la parte reclamada, se traslada a la parte reclamante, para que, en el plazo de diez días hábiles formule las alegaciones que considere oportunas, presentando las siguientes alegaciones:

"Tercero. - Que mediante el presente escrito se formulan alegaciones dentro del plazo conferido, solicitando que se continúe la tramitación del procedimiento, al apreciarse indicios claros de infracción del derecho de acceso reconocido en el artículo 15 RGPD.

Sobre la carga de acreditar el carácter abusivo.

El articulo 12.5 RGPD permite al responsable denegar la atención de una solicitud de ejercicio de derechos cuando esta sea manifiestamente infundada o excesiva, pero atribuye expresamente al responsable la carga de demostrar dicho carácter en cada caso concreto. No basta, por tanto, con calificar genéricamente la solicitud como "abusiva" o "excesiva", sino que deben aportarse hechos, datos objetivos, información sobre volumen de datos afectados, reiteración de solicitudes, coste o impacto real en la organización o en derechos de terceros, que permitan justificar la desproporción. En el presente caso, el Ayuntamiento se limita a afirmar que la petición es "manifiestamente abusiva" y que resulta "completamente imposible" atenderla en el plazo de 30 días, sin acompañar informe técnico, estimación de cargas de trabajo, análisis de número de tratamientos afectados, ni referencia a eventuales solicitudes reiterativas o de la supuesta mala fe de la reclamante.

Esta falta de prueba incumple el estándar exigido por el artículo 12.5 RGPD y por la doctrina de la propia AEPD, que viene exigiendo una justificación concreta y verificable para apreciar el abuso de derecho o el carácter excesivo de la solicitud.

Insuficiencia de la alegación de "tarea imposible".

Que la revisión de "la totalidad de la base de datos en 30 días" pueda resultar organizativamente compleja no permite, por sí sola, vaciar el contenido del derecho de acceso. El artículo 12.3 RGPD prevé expresamente la posibilidad de prorrogar el plazo inicial de un mes por otros dos adicionales en caso de solicitudes complejas o numerosas, siempre que se motive la prórroga e informe al interesado. El Ayuntamiento de Cabezón de la Sal no hizo uso de esta facultad de prórroga, ni justificó por qué, aun con tal extensión de plazo, resultaría materialmente imposible atender el derecho de acceso. Asimismo, no consta acreditado ni en la respuesta dada a esta reclamante, ni en las alegaciones remitidas a ese órgano de control, que el responsable municipal correspondiente en el supuesto de ser ciertas sus afirmaciones haya explorado soluciones menos restrictivas, tales como acotar temporal o materialmente los tratamientos, ofrecer accesos parciales, priorizar determinados ficheros o ámbitos (por ejemplo, padrón, tributos, servicios sociales, recursos humanos), o utilizar sistemas de búsqueda por procedimientos o departamentos, en lugar de negar de plano el derecho. La ausencia de cualquier intento de segmentación, planificación o propuesta de alternativas revela que no se ha realizado una verdadera ponderación de cargas, sino una simple invocación genérica de falta de medios, incompatible con el carácter fundamental del derecho de acceso.

Deber de concreción y requerimiento de subsanación.

El artículo 13 de la LOPDGDD establece que, cuando el responsable trate una gran cantidad de datos relativos al afectado, (hecho que no sucede en esta ocasión) y este ejercite el derecho de acceso sin especificar si se refiere a todos o a parte de ellos, el responsable podrá solicitar que el interesado especifique los datos o actividades de tratamiento a los que se refiere su solicitud. Tal previsión no autoriza a denegar de entrada el derecho, sino únicamente a requerir una mayor concreción antes de resolver, configurándose como un deber de colaboración y canalización del derecho, no como causa de inadmisión automática. En este caso, el Ayuntamiento afirma que la petición "no fue limitada", pero no consta que se hubiera cursado requerimiento de subsanación alguno a la reclamante, ni que se le ofrecieran criterios razonables de acotación (periodos, tipos de expedientes, servicios municipales, etc.) antes de denegar el derecho. Esta actuación se aparta de la interpretación habitual de la AEPD y de la jurisprudencia contencioso-administrativa en materia de ejercicio de derechos, que exige agotar los mecanismos de esclarecimiento y subsanación antes de adoptar decisiones restrictivas y, en todo caso, motivar adecuadamente las causas de denegación.

Inobservancia del deber de motivación y vaciamiento del derecho de acceso.

La denegación del derecho de acceso se funda en expresiones genéricas ("tarea imposible", "solicitud manifiestamente abusiva", "no fue limitada") sin un mínimo desarrollo fáctico, ni jurídico individualizado.

Esta forma de proceder vulnera el deber de motivación de los actos limitativos de derechos y deja al ciudadano en la imposibilidad de conocer las razones materiales que justifican la negativa, dificultando su derecho de defensa y de impugnación ante la AEPD o los tribunales. La Audiencia Nacional ha insistido en que las decisiones en materia de protección de datos deben permitir al interesado comprender las causas de la estimación o inadmisión de sus pretensiones, de modo que quede plenamente garantizada la tutela judicial efectiva. Del mismo modo, la doctrina de la AEPD exige que la apreciación de abuso de derecho o carácter excesivo vaya acompañada de un análisis de las "circunstancias presentes" y no se base en fórmulas estereotipadas o abstractas carentes de sustento probatorio.

Resoluciones y jurisprudencia favorables en casos similares.

En múltiples resoluciones, la AEPD ha recordado que la mera invocación de dificultades organizativas o de falta de medios no exime al responsable de cumplir con los derechos de los interesados, ni legitima denegaciones genéricas. En especial, en supuestos donde se alega abuso de derecho, la Agencia ha señalado que la calificación de una solicitud como "manifiestamente infundada o excesiva" requiere acreditar la reiteración injustificada, la finalidad espuria o la desproporción objetiva del esfuerzo requerido, no siendo suficiente una simple apreciación subjetiva del responsable. Asimismo, la jurisprudencia sobre abuso de derecho en el ejercicio de facultades legalmente reconocidas como recuerda la Sentencia del Tribunal Supremo de 20 de mayo de 2002, citada por la propia AEPD en la resolución e/00739/2021 exige probar que el titular "ha sobrepasado manifiestamente los límites normales de este con ocasión de su ejercicio", lo que no sucede cuando el interesado formula una primera solicitud general de acceso a sus datos, amparada en el artículo 15 RGPD, como es en esta ocasión. La doctrina reciente sobre la limitación del derecho de acceso en casos de mala fe insiste en que las restricciones deben ser excepcionales, estar debidamente motivadas y apoyarse en indicios sólidos de propósito abusivo, sin que pueda presumirse tal mala fe a partir de la mera amplitud de la solicitud o de la carga de trabajo que implica.

Cuarto . Que este incumplimiento que es causa de esta reclamación, no es un hecho aislado, sino que se integra en una conducta administrativa reiterada del Ayuntamiento de Cabezón de la Sal, Cantabria consistente en no responder a las solicitudes de información o responder de forma vacua mediante generalidades, obligando a ésta reclamante, a usuarios y vecinos, a acudir repetidamente a mecanismos de tutela externa, como el CTBG, el Defensor del Pueblo, o esa AEPD, con el consiguiente menoscabo de sus derechos, coste económico tanto para los interesados, como para la administración. Causando con esa inactividad administrativa y la falta de resolución perjuicios graves, demorando actuaciones relevantes, generando incertidumbre y pudiendo provocar la pérdida de oportunidades o la imposibilidad de ejercitar acciones vinculadas al contenido de la información solicitada. Que esta conducta vulnera el principio de buena administración, el deber de eficacia y el sometimiento pleno a la ley y al Derecho recogidos en el artículo 103 de la Constitución Española, así como el derecho de acceso a la información pública, cuyo ejercicio no puede verse obstaculizado por la inacción administrativa."