La AEPD desestima el recurso al confirmar que la AEAT cumplió con el derecho de acceso a datos personales mediante el sistema GEMMA, sin requerir formatos específicos ni vulnerar plazos de conservación

Resumen de la decisión

La resolución analiza un recurso de reposición interpuesto contra una decisión previa relativa al ejercicio del derecho de acceso a datos personales frente a la AEAT. El reclamante denunció que la AEAT no facilitó un acceso efectivo a sus datos personales a través de la aplicación GEMMA, argumentando que el sistema no cumplía con los requisitos de acceso directo, remoto y seguro establecidos en el RGPD (Reglamento General de Protección de Datos). Además, criticó aspectos como la forma de entrega de los datos (prefiriendo formatos estructurados como Excel o PDF firmados), la competencia de los órganos internos de la AEAT, la prórroga indebida del plazo de respuesta y la conservación prolongada de datos (más de 25 años), considerándola contraria al principio de limitación del plazo.

La autoridad de control determinó que la AEAT sí había atendido el derecho de acceso mediante un sistema remoto válido, cumpliendo con el artículo 15 del RGPD y el Considerando 63. La resolución desestimó el recurso, argumentando que:
La vía de acceso proporcionada (GEMMA) era suficiente, ya que no existe obligación legal de entregar los datos en formatos específicos (Excel, PDF con huella hash, etc.), sino solo de garantizar un mecanismo que permita su consulta directa.
No hubo incompetencia en la AEAT, pues el RGPD no exige que las respuestas a derechos sean firmadas por un órgano concreto, sino que la organización en su conjunto cumpla con la normativa.
La prórroga del plazo para responder se justificó por complejidad y volumen de solicitudes, ajustándose al artículo 12.3 del RGPD, aunque se detectó un defecto formal en su notificación (estimación parcial del recurso en este punto).
Las quejas sobre conservación de datos (períodos de más de 25 años) excedían del objeto del procedimiento, que se limitaba a verificar el derecho de acceso, y no se probaron vulneraciones concretas del principio de limitación.
No se acreditaron vicios procedimentales como acumulación irregular de reclamaciones o vulneración del derecho de defensa, ya que todas las alegaciones se integraron en un único expediente correctamente delimitado.

Conclusión: La desestimación se basa en que la AEAT cumplió con el deber de facilitar el acceso a los datos personales mediante un sistema accesible, sin que las reclamaciones del interesado demostraran una vulneración concreta del RGPD. No hubo sanción, pero sí una estimación parcial del recurso en el aspecto formal relacionado con la notificación de la prórroga, aunque sin consecuencias para el fondo del derecho de acceso.