En resumen: el Tribunal Supremo, en una sentencia del Pleno de la Sala de lo Civil de 23 de junio de 2026, ha declarado que quien demanda porque una empresa no ha respondido a su solicitud de acceso a datos personales tiene que probar que la empresa recibió esa solicitud. Y eso aunque la haya enviado al correo que la propia empresa publica en su política de privacidad.
TL;DR: lo que tienes que saber en 30 segundos
- Qué decide el Supremo: en un pleito por falta de respuesta a un derecho de acceso (art. 15 RGPD), la prueba de que el responsable recibió la solicitud corresponde a quien demanda (art. 217 LEC).
- Aunque uses el canal oficial: el art. 24.5 del Real Decreto 1720/2007 exige un medio que permita acreditar el envío y la recepción, sin distinguir entre canal oficial y canal alternativo.
- Cuándo importa: la prueba de la recepción es decisiva cuando la empresa niega haber recibido la solicitud. En este caso, Renfe Viajeros aportó dos certificados que acreditaban que no había traza del correo.
- Qué hacer: ejercer el derecho de acceso de forma que quede constancia de la recepción, o acudir a la Agencia Española de Protección de Datos (AEPD).
Ficha de la resolución
| Resolución | Sentencia núm. 985/2026, Tribunal Supremo, Sala de lo Civil (Pleno) |
| Fecha | 23 de junio de 2026 (votación y fallo: 20 de mayo de 2026) |
| Recurso | Casación núm. 4771/2024 |
| Identificadores | ECLI:ES:TS:2026:2703 · ROJ: STS 2703/2026 |
| Ponente | Excma. Sra. D.ª Nuria Auxiliadora Orellana Cano |
| Procedencia | Sentencia 154/2024, de 25 de marzo, de la Audiencia Provincial de Barcelona (Sección 4.ª), rollo 880/2023; juicio ordinario 450/2021 del Juzgado de Primera Instancia n.º 48 de Barcelona |
| Fallo | Desestima el recurso de casación, confirma la sentencia recurrida e impone las costas a la recurrente |
Puedes localizar la resolución en el buscador oficial del CENDOJ (Poder Judicial) introduciendo el ECLI. También la ha reseñado Noticias Jurídicas (15 de julio de 2026).
Qué se discutía
El derecho de acceso es uno de los derechos más conocidos del RGPD: permite a cualquier persona pedir a una empresa si trata sus datos personales, cuáles, para qué y a quién se los ha comunicado, además de una copia. Lo regula el artículo 15 del Reglamento (UE) 2016/679, y el responsable debe responder, como regla general, en el plazo de un mes desde que recibe la solicitud (art. 12.3 RGPD).
Según los hechos que recoge la sentencia, una usuaria, a través de un representante voluntario, envió el 12 de septiembre de 2020 un correo electrónico a la dirección que Renfe Viajeros indicaba en su política de privacidad para ejercer derechos. No obtuvo respuesta y acabó demandando a la empresa para que se declarase vulnerado su derecho y se le facilitase la información. Renfe se opuso alegando, entre otras cosas, que nunca recibió ese correo.
El Juzgado de Primera Instancia n.º 48 de Barcelona desestimó la demanda por falta de prueba de la recepción, y la Audiencia Provincial de Barcelona confirmó esa decisión. Renfe había aportado dos certificados según los cuales no había traza de la recepción de ningún correo con los datos de la remitente.
La recurrente llegó al Supremo con dos argumentos. Primero, que el art. 24.5 del Real Decreto 1720/2007 solo exige acreditar el envío y la recepción cuando se usa un canal distinto del oficial, de modo que, al haber usado el oficial, no tenía que probar nada. Segundo, que la Audiencia había infringido las reglas de la carga de la prueba del art. 217 de la Ley de Enjuiciamiento Civil.
Qué resolvió el Supremo
1. El art. 24.5 del Real Decreto 1720/2007 sigue vigente
La Sala recuerda que la Ley Orgánica 3/2018 (LOPDGDD) no ha sido desarrollada reglamentariamente y que el reglamento de 2007 solo ha quedado derogado en lo que contradiga o sea incompatible con el RGPD y con la ley orgánica. Concluye que el apartado 5 del artículo 24 no es incompatible con ninguna de las dos normas y, por tanto, continúa vigente. Según ese apartado, el responsable debe atender la solicitud aunque el afectado no haya usado el procedimiento específico del responsable, siempre que haya utilizado un medio que permita acreditar el envío y la recepción de la solicitud y que esta contenga los elementos que exige el artículo 25.1.
2. La exigencia de acreditar la recepción vale para cualquier canal
El Pleno rechaza la lectura de la recurrente. Mediante una interpretación sistemática de los tres incisos del precepto, concluye que el requisito de utilizar un medio que permita acreditar el envío y la recepción no se limita a los canales alternativos: el artículo no distingue y rige en todo caso.
3. La carga de la prueba es del demandante
Como se ejercita una acción ante los tribunales, el Supremo aplica el art. 217 LEC: corresponde al demandante probar los hechos de los que se desprende el efecto jurídico que pide. La sentencia precisa un matiz importante: la acreditación de la recepción carece de relevancia si el responsable no niega haber recibido la solicitud. Pero cuando lo niega, y aporta certificados de que no hay trazabilidad del correo, las dudas sobre la recepción perjudican a quien acciona (art. 217.1 LEC).
4. Había otra vía: la AEPD
El Supremo subraya, haciéndose eco del informe del Ministerio Fiscal, que la demandante pudo reclamar ante la Agencia Española de Protección de Datos por el procedimiento de los artículos 63 a 68 de la LOPDGDD, que describe como sencillo y más ágil. Para las reclamaciones que se refieren solo a la falta de atención de un derecho de los arts. 15 a 22 RGPD, el art. 64 LOPDGDD fija un plazo de seis meses desde la notificación del acuerdo de admisión a trámite, transcurridos los cuales el interesado puede considerar estimada su reclamación. El Ministerio Fiscal había advertido, además, del riesgo de una litigación en masa si se admitían interpretaciones laxas.
5. La resolución de la AEPD de 2023 no cambia el resultado
La recurrente invocó la Resolución de la AEPD de 29 de junio de 2023, que, para las reclamaciones ante la propia Agencia, pide copia del documento que acredite la recepción solo cuando se ha usado un canal alternativo. El Supremo la descarta: no estaba en vigor cuando se hizo la solicitud ni cuando se presentó la demanda, y contiene instrucciones para quien acude a la AEPD, no a los tribunales.
Por qué te importa si ejerces tus derechos de protección de datos
La enseñanza práctica es sencilla: enviar la solicitud no basta si luego tienes que demostrar que llegó. Si la empresa no responde y, ante un juez, sostiene que nunca recibió tu petición, la prueba de que la recibió recae sobre ti. Un correo electrónico enviado desde tu bandeja de salida, por sí solo, puede no ser suficiente cuando el responsable aporta certificados de que no consta recepción. Tal fue el caso.
La sentencia no enumera qué medios cumplen el requisito. Como pauta práctica, y sin que la sentencia lo imponga, conviene elegir un medio que deje constancia verificable tanto del envío como de la recepción: por ejemplo, un formulario web que genere justificante, un servicio de correo con acuse de recibo o un envío certificado. Guarda siempre copia de lo enviado, de la fecha y de cualquier confirmación.
Si tu problema es que una empresa te ignora, la AEPD es una vía distinta de la judicial, con su propio procedimiento. Lo explicamos en nuestra guía sobre cómo reclamar ante la AEPD paso a paso, y en el área de derecho digital y protección de datos encontrarás el resto de situaciones habituales.
Límites: lo que esta sentencia no dice
- No restringe el derecho de acceso. Sigue vigente el deber del responsable de informar sobre los medios para ejercerlo y de responder; la sentencia solo resuelve quién carga con la prueba de la recepción en un pleito.
- No afecta a quien sí puede probar la recepción. Si la empresa no niega haber recibido la solicitud, acreditarla pierde relevancia, según la propia sentencia.
- Se resuelve sobre unos hechos concretos. Un correo electrónico sin constancia de recepción y dos certificados de la empresa que negaban haberlo recibido.
- Es una sentencia de un caso. Aunque procede del Pleno de la Sala Primera y fija criterio sobre la vigencia y la interpretación del art. 24.5, no dice que toda reclamación por falta de respuesta vaya a fracasar: depende de la prueba que se aporte.
Preguntas frecuentes
¿Qué dice el Supremo sobre el derecho de acceso y la carga de la prueba?
Que, si se demanda por falta de respuesta a una solicitud de acceso a datos personales, corresponde al demandante acreditar que el responsable recibió la solicitud (art. 217 LEC y art. 24.5 del Real Decreto 1720/2007), también cuando la envió al canal oficial.
¿Sigue vigente el Real Decreto 1720/2007 tras el RGPD y la LOPDGDD?
En lo que no contradiga ni sea incompatible con el RGPD y la Ley Orgánica 3/2018, sí. La sentencia declara expresamente que el art. 24.5 continúa vigente por no ser incompatible con ellos.
¿En cuánto tiene que responderme una empresa a una solicitud de acceso?
Con carácter general, en el plazo de un mes desde la recepción de la solicitud, prorrogable otros dos meses en caso necesario, atendiendo a la complejidad y al número de solicitudes (art. 12.3 RGPD).
¿Puedo reclamar ante la AEPD en lugar de demandar?
Sí. Los arts. 63 a 68 LOPDGDD regulan el procedimiento para reclamar cuando no se atiende un derecho de los arts. 15 a 22 RGPD. El Supremo destaca que es un cauce más ágil que el judicial.
¿Qué medio conviene usar para pedir mis datos?
El que permita acreditar el envío y la recepción (art. 24.5 del Real Decreto 1720/2007). La sentencia no cierra una lista de medios válidos: guarda siempre la prueba de que la solicitud llegó.
Normas citadas
- Reglamento (UE) 2016/679 (RGPD), arts. 12 y 15.
- Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, arts. 12, 13 y 63 a 68.
- Real Decreto 1720/2007, de 21 de diciembre, art. 24.5.
- Ley 1/2000, de Enjuiciamiento Civil, art. 217.
¿Una empresa te ignora cuando pides tus datos? Cuéntanos tu caso en thejuris.es/contacto: te llamamos en 48 horas, te decimos qué vía tiene sentido (reclamación, AEPD o demanda) y los servicios de derecho digital tienen el precio publicado. Y si quieres saber qué asuntos legales tienes pendientes, haz el test gratuito JurisScore.
Información general: este artículo no sustituye el asesoramiento jurídico personalizado ni la lectura íntegra de la resolución; cada caso requiere un estudio individual.
Jorge Werner Montero Mundt — Abogado. Cofundador de The Juris.
Abogado con experiencia en derecho bancario, mercantil, autónomos y segunda oportunidad.
Lo que necesitas saber sobre derecho digital, paso a paso
Te llama un abogado de derecho digital
en menos de 48 horas.
Sin compromiso y sin coste. Y si hay que actuar, el precio está publicado antes de que nos llames y se paga hasta en 12 cuotas: servicios y precios de derecho digital →
Un abogado te llamará en menos de 48 horas (días laborables). No compartimos tus datos con nadie. También por WhatsApp: 605 443 928