TL;DR para el DPD
Cuando el responsable desaparece —concurso, liquidación, cese—, el encargado que queda como único capaz de acceder a los datos no queda exento: pasa a ser responsable de ese tratamiento. Y una factura impagada no suspende el derecho de acceso.
Qué ocurrió
El 24 de marzo de 2020 quiebra una cadena de tiendas noruega. Los antiguos empleados piden a la administración concursal la cobertura de los salarios por los días trabajados, y para ello necesitan sus partes horarios: horas, turnos, presencia. Esos datos están en el sistema de un proveedor externo, que los trataba por cuenta de la empresa. La administración concursal no tiene acceso al sistema. El 18 de junio un antiguo empleado presenta una solicitud de acceso a sus propios datos; en total llegan ochenta. El 23 de junio el proveedor responde por escrito que no tiene ningún poder autónomo de disposición y que no le está permitido comunicar datos a nadie, «ni siquiera a los propios interesados».
Un tratamiento sin responsable no existe
El art. 28.10 dice que el encargado que determina los fines y los medios pasa a ser responsable de ese tratamiento. Tras el concurso, el proveedor era el único con acceso a los sistemas, decidía si comunicaba los datos y a quién, fijaba cuánto tiempo conservarlos y gestionaba por su cuenta las solicitudes de los interesados. Son decisiones sobre los medios esenciales del tratamiento, y esas corresponden al responsable. El reglamento no contempla la figura del encargado sin responsable: de cada tratamiento alguien tiene que responder.
La factura no suspende los derechos
El proveedor había pedido a la administración concursal que saldara sus pretensiones antes de entregar los partes, y se ofreció a facilitar los «datos en bruto» solo mediante un nuevo encargo remunerado. La autoridad separó las dos cosas: si al proveedor le corresponde una retribución es una cuestión contractual que el RGPD no regula, mientras que el acceso debe atenderse en un mes (art. 12.3) y de forma gratuita como regla general (art. 12.5). Una cuenta pendiente con un cliente en concurso no es una base jurídica para negar a alguien sus propios datos.
- Qué ocurre con los datos si el responsable quiebra o cesa. La cláusula estándar de «devolver o suprimir al terminar el contrato» no basta cuando esos datos sirven a los trabajadores para reclamar un crédito: hay que escribir quién atiende las solicitudes de acceso mientras tanto.
- Si tu cliente es un proveedor, comprueba que sepa reconocer el momento en que ya nadie le da instrucciones. A partir de ahí, o identifica al sucesor —normalmente la administración concursal— o asume que el responsable es él.
- Ninguna solicitud de acceso puede condicionarse a un pago. Es el punto en el que el proveedor perdió, y también el más sencillo de dejar por escrito en un procedimiento interno.
El detalle que pasa desapercibido
El proveedor suprimió los datos controvertidos el 14 de agosto de 2020, con las solicitudes todavía abiertas. Suprimir no sana un acceso denegado: lo vuelve definitivamente inejecutable. En una matriz de plazos de conservación este es justo el caso en el que hay que suspender la supresión automática, porque hay un procedimiento en curso.
La sanción, y por qué es más baja de lo que habría sido
Doscientas cincuenta mil coronas noruegas, unos veinticinco mil euros. En la carta de abril de 2025 la autoridad había anunciado setecientas cincuenta mil, y después las redujo por la duración del procedimiento: la reclamación había llegado el 30 de junio de 2020 y el primer requerimiento de explicaciones a la empresa salió el 15 de octubre de 2024. El caso se tramitó como transfronterizo, con Suecia, Dinamarca y España entre las autoridades interesadas.
Fuente oficial:Datatilsynet (Noruega) — vedtak om ileggelse av overtredelsesgebyr, ref. 20/02911-20, 16 de enero de 2026¿Buscas una herramienta para tu trabajo de DPD?
DPO Workspace está creado por un DPD certificado. 30 días de prueba gratuita.
Empieza gratis
