El Tribunal de Justicia de la Unión Europea, en sentencia de 19 de marzo de 2026, ha precisado los límites del derecho de acceso a los datos personales reconocido en el Reglamento General de Protección de Datos (RGPD), permitiendo rechazar solicitudes abusivas y exigiendo la acreditación de un daño real para obtener una indemnización.

La Sala Cuarta resuelve un litigio entre una empresa alemana y un particular que, tras facilitar sus datos al suscribirse a un boletín, solicitó acceso a los mismos con una finalidad esencialmente indemnizatoria.

Posible abuso incluso en una única solicitud

El tribunal analiza si una primera solicitud de acceso puede considerarse excesiva y concluye que incluso una única petición puede ser abusiva si concurren circunstancias que evidencien una intención fraudulenta.

Para ello, exige una valoración estricta y casuística, en la que el responsable del tratamiento debe acreditar elementos objetivos y subjetivos que demuestren que la solicitud no pretende conocer el tratamiento de los datos, sino generar artificialmente una reclamación indemnizatoria.

Asimismo, admite que pueden tenerse en cuenta indicios como un comportamiento sistemático del interesado frente a distintos responsables, siempre que estén corroborados por las circunstancias del caso.

Derecho a indemnización y alcance del RGPD

La sentencia aclara también el alcance del derecho a indemnización del artículo 82 del RGPD.

El TJUE señala que este derecho no se limita a supuestos de tratamiento ilícito, sino que también cubre la vulneración de derechos como el de acceso, de modo que una negativa injustificada a facilitar información puede generar responsabilidad.

Necesidad de acreditar un daño real

No obstante, el tribunal insiste en que no basta con la mera infracción del RGPD para obtener una indemnización.

El interesado debe acreditar la existencia de un perjuicio real y una relación de causalidad, quedando excluidos los supuestos en los que haya provocado artificialmente la situación.

En este sentido, el daño inmaterial puede incluir la pérdida de control sobre los datos personales o la incertidumbre sobre su tratamiento, siempre que sea efectivo.

La resolución introduce un equilibrio entre la protección de los derechos de los interesados y la prevención de prácticas abusivas.

Así, refuerza el derecho de acceso a los datos personales, pero al mismo tiempo legitima a los responsables del tratamiento para rechazar solicitudes cuando acrediten un uso abusivo del RGPD con fines meramente lucrativos.