62021CC0579
CONCLUSIONES DEL ABOGADO GENERAL
M. CAMPOS SÁNCHEZ-BORDONA
presentadas el 15 de diciembre de 2022 (
1
)
Asunto C‑579/21
J. M.
con intervención de:
Apulaistietosuojavaltuutettu,
Pankki S
[Petición de decisión prejudicial planteada por el Itä-Suomen hallinto‑oikeus (Tribunal de lo contencioso administrativo de Finlandia Oriental, Finlandia)]
«Procedimiento prejudicial — Tratamiento de datos de carácter personal — Reglamento (UE) 2016/679 — Datos contenidos en un registro de operaciones — Derecho de acceso — Concepto de datos de carácter personal — Concepto de destinatario — Personal al servicio del responsable del tratamiento»
1.
Un empleado y, simultáneamente, cliente de una entidad financiera solicitó a esta que le informase de la identidad de las personas que habían consultado sus datos personales en el ámbito de una investigación interna. Ante la negativa de la entidad a darle esa información, acudió a las vías de recurso correspondientes, hasta llegar al Itä-Suomen hallinto-oikeus (Tribunal de lo contencioso-administrativo de Finlandia Oriental, Finlandia).
2.
Este órgano judicial ha elevado al Tribunal de Justicia una petición de decisión prejudicial sobre la interpretación del Reglamento (UE) 2016/679. (
2
) Al responderla, el Tribunal de Justicia habrá de pronunciarse sobre el derecho del interesado a acceder a determinadas informaciones relacionadas con el tratamiento de sus datos personales.
I. Marco normativo
A.
Derecho de la Unión. RGPD
3.
El considerando decimoprimero declara:
«La protección efectiva de los datos personales en la Unión exige que se refuercen y especifiquen los derechos de los interesados y las obligaciones de quienes tratan y determinan el tratamiento de los datos de carácter personal, y que en los Estados miembros se reconozcan poderes equivalentes para supervisar y garantizar el cumplimiento de las normas relativas a la protección de los datos de carácter personal y las infracciones se castiguen con sanciones equivalentes».
4.
El artículo 4 («Definiciones») proclama:
«A efectos de este Reglamento se entenderá por:
1)
“datos personales: «toda información sobre una persona física identificada o identificable (“el interesado”); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona.
2)
“tratamiento”: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción
9)
“destinatario”: la persona física o jurídica, autoridad pública, servicio u otro organismo al que se comuniquen datos personales, se trate o no de un tercero […]».
5.
En el artículo 15 («Derecho de acceso del interesado»), apartado 1, se lee:
«El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
a)
los fines del tratamiento;
b)
las categorías de datos personales de que se trate;
c)
los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales;
d)
de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
e)
la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
f)
el derecho a presentar una reclamación ante una autoridad de control;
g)
cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
h)
la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado».
6.
Con arreglo al artículo 24 («Responsabilidad del responsable del tratamiento»), apartado 1:
«Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario».
7.
Conforme al artículo 25 («Protección de datos desde el diseño y por defecto»), apartado 2:
«El responsable del tratamiento aplicará las medidas técnicas y organizativas apropiadas con miras a garantizar que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento. Esta obligación se aplicará a la cantidad de datos personales recogidos, a la extensión de su tratamiento, a su plazo de conservación y a su accesibilidad. Tales medidas garantizarán en particular que, por defecto, los datos personales no sean accesibles, sin la intervención de la persona, a un número indeterminado de personas físicas».
8.
El artículo 29 («Tratamiento bajo la autoridad del responsable o del encargado del tratamiento») recoge:
«El encargado del tratamiento y cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo podrán tratar dichos datos siguiendo instrucciones del responsable, a no ser que estén obligados a ello en virtud del derecho de la Unión o de los Estados miembros».
9.
El artículo 30 («Registro de las actividades de tratamiento») dispone:
«1.   Cada responsable y, en su caso, su representante llevarán un registro de las actividades de tratamiento efectuadas bajo su responsabilidad. Dicho registro deberá contener toda la información indicada a continuación:
a)
el nombre y los datos de contacto del responsable y, en su caso, del corresponsable, del representante del responsable, y del delegado de protección de datos;
b)
los fines del tratamiento;
c)
una descripción de las categorías de interesados y de las categorías de datos personales;
d)
las categorías de destinatarios a quienes se comunicaron o comunicarán los datos personales, incluidos los destinatarios en terceros países u organizaciones internacionales;
[…]
f)
cuando sea posible, los plazos previstos para la supresión de las diferentes categorías de datos;
g)
cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad a que se refiere el artículo 32, apartado 1.
2.   Cada encargado y, en su caso, el representante del encargado, llevará un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta de un responsable que contenga:
a)
el nombre y los datos de contacto del encargado o encargados y de cada responsable por cuenta del cual actúe el encargado, y, en su caso, del representante del responsable o del encargado, y del delegado de protección de datos;
b)
las categorías de tratamientos efectuados por cuenta de cada responsable;
c)
en su caso, las transferencias de datos personales a un tercer país u organización internacional […]
d)
cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad a que se refiere el artículo 30, apartado 1.
3.   Los registros a que se refieren los apartados 1 y 2 constarán por escrito, inclusive en formato electrónico.
4.   El responsable o el encargado del tratamiento y, en su caso, el representante del responsable o del encargado pondrán el registro a disposición de la autoridad de control que lo solicite.
5.   Las obligaciones indicadas en los apartados 1 y 2 no se aplicarán a ninguna empresa ni organización que emplee a menos de 250 personas, a menos que el tratamiento que realice pueda entrañar un riesgo para los derechos y libertades de los interesados, no sea ocasional, o incluya categorías especiales de datos personales […] o datos personales relativos a condenas e infracciones penales […]».
10.
El artículo 58 («Poderes»), apartado 1, reza:
«Cada autoridad de control dispondrá de todos los poderes de investigación indicados a continuación:
a)
ordenar al responsable y al encargado del tratamiento y, en su caso, al representante del responsable o del encargado, que faciliten cualquier información que requiera para el desempeño de sus funciones;
[…]».
B.
Derecho nacional
1. Tietosuojalaki (1050/2018) (
3
)
11.
De acuerdo con el artículo 30, las disposiciones relativas al tratamiento de los datos personales de los trabajadores, a las pruebas y a los controles que se efectúen a los trabajadores, a los requisitos que deben cumplirse a tal efecto, así como las relativas a la vigilancia técnica en el puesto de trabajo y al acceso y a la apertura de correos electrónicos de un trabajador se recogen en la Laki yksityisyyden suojasta työelämässä (759/2004). (
4
)
12.
En virtud del artículo 34, apartado 1, el interesado no tendrá derecho a acceder a los datos recogidos relativos a él, en el sentido del artículo 15 del RGPD, en la medida en que:
1)
la puesta a disposición de los datos pueda poner en peligro la seguridad nacional, la defensa, así como la seguridad y el orden públicos o la prevención e investigación de infracciones penales;
2)
la puesta a disposición de los datos pueda suponer un riesgo serio para la salud o los cuidados del interesado o para los derechos del interesado o de un tercero, o
3)
los datos personales se utilicen en el marco de actividades de supervisión y control y la privación de los datos sea necesaria para proteger un interés económico o financiero importante de Finlandia o de la Unión Europea.
13.
Con arreglo al apartado 2 del artículo 34, en el caso de que solo una parte de los datos a los que se refiere el apartado 1 no esté amparada por el derecho establecido en el artículo 15 del RGPD, el interesado tendrá derecho a acceder a todos los demás datos que le conciernan.
14.
Según el apartado 3 del artículo 34, los motivos de la restricción deberán comunicarse al interesado, en la medida en que no se ponga en peligro la finalidad de la restricción.
15.
De conformidad con el apartado 4 del artículo 34, a petición del interesado, los datos a los que se refiere el artículo 15, apartado 1, del RGPD deberán ponerse a disposición del supervisor de protección de datos, cuando el interesado no tenga derecho a acceder a los recogidos respecto a él.
2. Laki yksityisyyden suojasta työelämässä (759/2004)
16.
A tenor de la sección 2, artículo 4, apartado 2, el empleador está obligado a informar previamente al trabajador de la obtención de los datos que sirvan para evaluar su fiabilidad. Cuando verifique la solvencia financiera del trabajador, el empleador también deberá informarle del registro del que se obtuvo la información financiera. Cuando se hayan obtenido datos relativos al trabajador de una persona distinta del propio trabajador, el empleador deberá comunicar al trabajador los datos obtenidos antes de utilizarlos para tomar decisiones que afecten al trabajador. Las obligaciones del responsable del tratamiento de poner datos a disposición del interesado, así como el derecho de acceso del interesado a los datos, se regulan en el capítulo III del RGPD.
II. Hechos, litigio y preguntas prejudiciales
17.
En 2014, J. M. tuvo conocimiento de que sus datos personales como cliente de la entidad financiera Suur-Savon Osuuspankki (en lo sucesivo, «Pankki») habían sido consultados entre el 1 de noviembre y el 31 de diciembre de 2013. Durante ese período, además de cliente, J. M. era empleado de Pankki.
18.
El 29 de mayo de 2018, al sospechar que los motivos de la consulta no habían sido lícitos en su totalidad, J. M. solicitó a Pankki que le informara sobre la identidad de los empleados que habían accedido a sus datos en el período antedicho y de los fines del tratamiento.
19.
Entre tanto, Pankki había despedido a J. M., quien motivó su solicitud aduciendo, en particular, el deseo de esclarecer los motivos de su despido.
20.
El 30 de agosto de 2018, Pankki, en su condición de responsable del tratamiento, se negó a facilitar a J. M. los nombres de los empleados que habían tratado sus datos personales. Adujo que el derecho previsto en el artículo 15 del RGPD no se aplica a los registros diarios o protocolos internos en los que consta qué empleados y en qué momento han tenido acceso al sistema informático que incorpora los datos de los clientes. Además, la información solicitada se referiría a datos personales de esos empleados, no de J. M.
21.
Con el propósito de evitar malentendidos, Pankki proporcionó estas explicaciones adicionales a J. M.:
–
Los servicios internos de la entidad habían investigado, en 2014, los datos de cliente de J. M. correspondientes al período desde el 1 de noviembre al 31 de diciembre de 2013.
–
Esas investigaciones estaban ligadas al tratamiento de los datos de otro cliente de Pankki, de los que resultaría que mantenía con J. M. una relación que podría suscitar un conflicto de intereses. El objetivo del tratamiento era, pues, clarificar esa situación. (
5
)
22.
J. M. acudió a la autoridad nacional de control (Oficina del supervisor de protección de datos, Finlandia), pidiendo que se ordenase a Pankki la entrega de la información interesada.
23.
El 4 de agosto de 2020, el supervisor adjunto de protección de datos rechazó la reclamación de J. M.
24.
J. M. interpuso un recurso ante el Itä-Suomen hallinto-oikeus (Tribunal de lo contencioso administrativo de Finlandia Oriental), sosteniendo que, con apoyo en el RGPD, tiene derecho a acceder a la información sobre la identidad y los cargos de las personas que consultaron sus datos en la entidad financiera.
25.
En esta tesitura, aquel órgano judicial ha elevado al Tribunal de Justicia las siguientes preguntas:
«1)
¿Debe interpretarse el derecho de acceso conferido al interesado por el artículo 15, apartado 1, del [RGPD], en relación con el [concepto de] “datos personales” según el artículo 4, punto 1), de dicho Reglamento, en el sentido de que la información recogida por el responsable del tratamiento de la que resulta quién ha tratado los datos personales del interesado, en qué momento y con qué fines lo ha hecho, no constituye información respecto de la cual el interesado ostente un derecho de acceso, en particular porque se trata de datos que conciernen a los trabajadores del responsable del tratamiento?
2)
En caso de respuesta afirmativa a la primera cuestión prejudicial y si, con base en el artículo 15, apartado 1, del [RGPD], el interesado no tiene derecho a acceder a la información mencionada en esa cuestión por no constituir “datos personales” del interesado en el sentido del artículo 4, apartado 1, del [RGPD], en el caso de autos también procederá tomar en consideración la información a la que el interesado tiene derecho a acceder de conformidad con el artículo 15, apartado 1, letras [a) a h)], de dicho Reglamento:
a)
¿Cómo debe interpretarse el fin del tratamiento en el sentido del artículo 15, apartado 1, letra a), en lo que se refiere al alcance del derecho de acceso del interesado, es decir, el fin del tratamiento puede dar lugar a un derecho de acceso a los datos de protocolo de usuarios recogidos por el responsable del tratamiento, como, por ejemplo, la información sobre datos personales de las personas que realizan el tratamiento, el momento y el fin del tratamiento de datos personales?
b)
En este contexto y conforme a determinados criterios, ¿pueden considerarse destinatarios de datos personales en el sentido del artículo 15, apartado 1, letra c), del [RGPD] las personas que trataron los datos de J. M. como cliente, respecto de los cuales el interesado tendría un derecho de acceso?
3)
¿Es relevante para el procedimiento el hecho de que se trate de un banco que ejerce una actividad reglada o que J. M. haya trabajado para el banco a la vez que era su cliente?
4)
¿Es relevante para la apreciación de las cuestiones que anteceden el hecho de que los datos de J. M. fueran tratados antes de la entrada en vigor del [RGPD]?»
III. Procedimiento ante el Tribunal de Justicia
26.
La petición de decisión prejudicial se registró en el Tribunal de Justicia el 22 de septiembre de 2021.
27.
Han presentado observaciones escritas J. M., Pankki, los Gobiernos austríaco, checo y finlandés y la Comisión Europea.
28.
En la vista, celebrada el 12 de octubre de 2022, comparecieron J. M., la Oficina del supervisor de protección de datos, Pankki, el Gobierno finlandés y la Comisión.
IV. Análisis
29.
En la medida en que el tribunal de reenvío interesa la interpretación de varios preceptos del RGPD, hay que dilucidar ante todo si ese Reglamento es, ratione temporis, aplicable al litigio de origen. Sobre esta duda versa la cuarta pregunta prejudicial.
A.
Aplicabilidad del RGPD (cuarta pregunta prejudicial)
30.
A tenor de su artículo 99, apartado 1, el RGPD entró en vigor el 24 de mayo de 2016. Su aplicabilidad, sin embargo, fue pospuesta al 25 de mayo de 2018. (
6
)
31.
El examen de los datos personales de J. M. tuvo lugar entre el 1 de noviembre y el 31 de diciembre de 2013, esto es, antes de la vigencia y la aplicabilidad del RGPD.
32.
Sin embargo, la fecha aquí relevante es la del 29 de mayo de 2018, día en el que J. M., amparándose en el artículo 15, apartado 1, del RGPD (aplicable desde el día 25 de mayo de 2018), solicitó la información controvertida.
33.
Como ha destacado el Gobierno austriaco, el artículo 15, apartado 1, del RGPD confiere a los interesados un derecho de carácter procedimental (derecho de acceso) para obtener información sobre el tratamiento de sus datos personales. (
7
) En tanto que regla de esa naturaleza, se aplica desde el momento de su entrada en vigor. (
8
) Por lo tanto, J. M. podía invocarla cuando solicitó la información a Pankki.
34.
Ciertamente, la licitud del tratamiento de los datos recabados antes de la entrada en vigor del RGPD deberá ponderarse a la luz de la normativa material que estaba vigente entonces, es decir, la Directiva 95/46/CE (
9
) y, en lo que resulte aplicable retroactivamente, del RGPD. (
10
)
35.
Puesto que no se discute que la información solicitada estuviera en poder del responsable del tratamiento cuando J. M. pidió acceder a ella (que es el derecho garantizado por el artículo 15, apartado 1, del RGPD), se aplicaba este último Reglamento. (
11
)
36.
Que los datos controvertidos fueran tratados antes de la entrada en vigor del RGPD resulta, en consecuencia, irrelevante para acceder o denegar la información requerida por el interesado a título del artículo 15, apartado 1, del RGPD.
B.
Preguntas prejudiciales primera y segunda
37.
Las preguntas prejudiciales primera y segunda pueden examinarse conjuntamente. El interrogante que suscitan es, en esencia, si los datos personales de J. M., recogidos y tratados por Pankki, coinciden con la información que el interesado tiene derecho a obtener en virtud del artículo 15, apartado 1, del RGPD.
1. Identidad del empleado y datos personales del interesado
38.
Recuerdo que la información solicitada por J. M. se refería a la identidad de los empleados que habían consultado sus datos como cliente en el año 2013, así como al momento en el que se había producido el tratamiento y a la finalidad de este.
39.
Se corroboró en la vista que J. M. ha circunscrito su pretensión a conocer la identidad de esos empleados. En el litigio no se pone en duda, específicamente, que el tratamiento de sus datos por la entidad bancaria haya tenido una base lícita. (
12
)
40.
Pues bien:
–
En cuanto al momento del tratamiento, según se desprende del auto de reenvío, J. M. lo conocía ya al formular su solicitud.
–
En cuanto a la finalidad del tratamiento, Pankki se la comunicó a J. M. en los términos antes expuestos. (
13
)
41.
El debate se centra, pues, únicamente en la información sobre la identidad de los empleados de Pankki que manejaron los datos personales de J. M.
42.
En realidad, esa información tiene por objeto un detalle de las operaciones de tratamiento y no, propiamente, los datos personales del interesado, en el sentido del artículo 4, punto 1, del RGPD. (
14
)
43.
Es claro que la persona cuyos datos fueron objeto de la consulta era J. M. (
15
) Una vez que este obtuvo de Pankki la confirmación de que sus datos habían sido tratados, (
16
) la información a la que tenía derecho, con arreglo al artículo 15, apartado 1, del RGPD, es la que enumeran las letras a) a h) de ese precepto. (
17
) Al facilitarla, se propicia el ejercicio de los derechos que el interesado ostenta, (
18
) en el marco de los mecanismos que garantizan la licitud del tratamiento de datos.
44.
Del artículo 15, apartado 1, del RGPD se desprende que la información a la que alude concierne a las circunstancias concurrentes en el tratamiento de los datos.
45.
En efecto, el artículo 15, apartado 1, del RGPD atribuye al interesado el derecho a obtener del responsable del tratamiento:
–
En primer lugar, la «confirmación de si se están tratando o no datos personales que le conciernen».
–
En segundo lugar, corroborada la existencia de un tratamiento, el «[…] acceso a los datos personales y a la siguiente información», (
19
) es decir, a cuanto se enumera en las letras a) a h) de ese precepto.
46.
El precepto distingue entre los «datos personales», por un lado, y la «información» a la que se refieren las letras del apartado 1, por otro.
47.
La información que ha de proporcionarse al interesado en virtud de las letras a) a h) del artículo 15, apartado 1, del RGPD no puede confundirse, pues, con los datos personales de aquel, en el sentido del artículo 4, punto 1, del mismo Reglamento.
48.
No son datos, desde luego, sino informaciones, las relativas a:
–
«los fines del tratamiento» [letra a)];
–
«las categorías de datos personales de que se trate» [letra b)];
–
el «plazo previsto de conservación» [letra d)];
–
los derechos del interesado que mencionan las letras e), f) y g); (
20
)
–
la existencia de decisiones automatizadas [letra h)].
49.
En todos estos supuestos la información versa o bien sobre determinados derechos del interesado, o bien, en particular, sobre elementos relativos al tratamiento realizado, como su finalidad (lo que es tanto como su causa) y su objeto (las categorías de datos tratados).
50.
La información sobre los destinatarios a quienes se comunicaron o serán comunicados los datos personales del interesado [artículo 15, apartado 1, letra c), del RGPD] presenta más problemas conceptuales, a los que me referiré inmediatamente.
51.
El artículo 15, apartado 1, del RGPD establece, en suma, un derecho a la información sobre el hecho en sí del tratamiento y sobre sus circunstancias. A esa información se añade la relativa a los derechos que asisten al interesado respecto de los datos objeto del tratamiento, como el de reclamar ante una autoridad de control.
52.
La mera existencia del tratamiento y sus circunstancias no constituyen, a mi juicio, «datos personales» en el sentido del artículo 4, punto 1, del RGPD.
53.
Es cierto que del tratamiento podrán resultar decisiones que afecten al interesado, como ha señalado el tribunal de reenvío. (
21
) Pero ese resultado no dependerá de qué persona o personas físicas, en concreto, hayan examinado los datos por cuenta y bajo la responsabilidad de Pankki, que es la información controvertida en el procedimiento principal.
54.
Así, J. M. tendría derecho a que Pankki, en tanto que responsable del tratamiento, le informara sobre los datos personales en su poder, bien obtenidos del propio J. M. (artículo 13 RGPD), bien por otros medios (artículo 14 RGPD). Tendría también derecho —ahora en virtud del artículo 15 del RGPD— a la información sobre la existencia y las circunstancias de cada tratamiento del que hayan sido objeto aquellos datos, pero no porque esto último constituya en sí mismo un «dato personal», sino por mandato expreso del artículo 15 del RGPD. (
22
)
55.
Avanzando lo que después expondré con mayor extensión, lo relevante para este asunto es que la identidad de los empleados que consultaron los datos de J. M. no constituye un «dato personal» de este.
56.
Otra cosa es que en los protocolos o registros a los que aludiré más tarde figuren, directa o indirectamente, datos personales del interesado, distintos de la mención de qué empleados accedieron a ellos. Si eso es así, o no, dependerá en gran medida del contenido de los correspondientes protocolos o registros. Pero, repito, circunscrito el litigio de origen a conocer la identidad de los empleados de Pankki, ese no es un dato personal de J. M., sino de esos mismos empleados.
2. Acceso a la información sobre los destinatarios a quienes se comunicaron los datos personales
57.
El tribunal de remisión quiere saber si, aun no constituyendo datos personales de J. M., este último tendría derecho, a la luz de las letras a) y c) del artículo 15, apartado 1, del RGPD, a que Pankki le facilite información sobre los empleados que habían tratado sus datos personales.
58.
Con arreglo a la letra a), el interesado tiene derecho a que el responsable le confirme cuáles son los fines del tratamiento. Pero tal letra (que, en este asunto, fue respetada, pues Pankki informó a J. M. sobre el objetivo del tratamiento) no proporciona criterios para discernir quiénes son destinatarios de los datos personales de aquel.
59.
Por el contrario, la pregunta tiene todo el sentido cuando requiere la interpretación de la letra c) del artículo 15, apartado 1, del RGPD. Recuerdo que, con arreglo a ella, el interesado tendrá derecho a obtener la información sobre los «destinatarios o categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales […]».
60.
El artículo 4, punto 9, del RGPD, a su vez, entiende por «destinatario»«la persona física o jurídica, autoridad pública, servicio u otro organismo al que se comuniquen datos personales, se trate o no de un tercero».
61.
Este último inciso («se trate o no de un tercero») podría dar lugar a equívocos sobre el ámbito subjetivo del precepto, como se advirtió en la vista. Una lectura superficial y, a mi entender, errónea, podría abonar la idea de que «destinatario» no sería únicamente cualquier tercero al que Pankki hubiera comunicado datos personales de J. M., sino también cada uno de los empleados que, en concreto, consultan esos datos en nombre y por reconducción a la persona jurídica que es Pankki.
62.
El artículo 4, punto 10, del RGPD define al «tercero» como la «persona física o jurídica, autoridad pública, servicio u organismo distinto del interesado, del responsable del tratamiento, del encargado del tratamiento y de
las personas autorizadas para tratar los datos personales bajo la autoridad directa del responsable o del encargado». (
23
)
63.
Pues bien, a la luz de esas premisas, considero que la noción de destinatario no comprende a los empleados de una persona jurídica que, al utilizar el sistema informático de esta, consultan los datos personales de un cliente por encargo de sus órganos directivos. Cuando tales empleados actúan bajo la autoridad directa del responsable del tratamiento no adquieren, por ese solo hecho, el carácter de «destinatarios» de los datos. (
24
)
64.
Puede darse, no obstante, el caso de que un empleado no se atenga a los procedimientos establecidos por el responsable del tratamiento y, por su propia iniciativa, acceda a los datos de clientes o de otros empleados de manera ilícita. En tal supuesto, el empleado desleal no habría actuado por cuenta y en nombre del responsable del tratamiento.
65.
En esa medida, al empleado desleal podría calificársele de «destinatario» a quien se le habrían «comunicado» (en sentido figurado), bien que por su propia mano y, en consecuencia, ilegalmente, datos personales del interesado, (
25
) o incluso de responsable (autónomo) del tratamiento. (
26
)
66.
De la descripción de hechos que figura en el auto de reenvío y de las alegaciones expuestas en la vista por Pankki se infiere que esta entidad autorizó, bajo su responsabilidad, a sus empleados a consultar los datos personales de J. M. Esos empleados siguieron, pues, las instrucciones del responsable del tratamiento y actuaron por cuenta de este. De ahí que no se les pueda calificar de destinatarios en el sentido de la letra c) del artículo 15, apartado 1, del RGPD. (
27
)
67.
Distinto es que la identificación de esos empleados y del momento en el que cualquiera de ellos accedió a los datos personales del cliente (esto es, el contenido a esas menciones de los ficheros o registros a los que inmediatamente dedicaré atención) se haya de poner a disposición de las autoridades de control para comprobar la regularidad de su actuación.
68.
Así lo corrobora el artículo 29 del RGPD al aludir a las personas que actúen «bajo la autoridad del responsable o del encargado y tenga[n] acceso a datos personales». Esas personas solo podrán tratar dichos datos siguiendo instrucciones de su empleador, que es el verdadero responsable (o encargado) del tratamiento.
69.
El propósito del artículo 15, apartado 1, del RGPD es propiciar que el interesado ejercite (defienda) eficazmente los derechos que le corresponden en cuanto a sus datos personales. De ahí que se le haya de indicar quién es el responsable del tratamiento y, en su caso, a qué destinatarios se han comunicado esos datos. Con tal información, el interesado podrá dirigirse, además de al responsable, a los destinatarios que tuvieron conocimiento de sus datos.
70.
Ciertamente, el interesado puede abrigar dudas sobre la regularidad de la intervención de determinadas personas en la gestión del tratamiento de sus datos por cuenta del responsable o del encargado, y bajo la dependencia de estos.
71.
En esa tesitura, como apunta el Gobierno checo y señaló la Comisión durante la vista, puede dirigirse al delegado de protección de datos (artículo 38, apartado 4, del RGPD) o a la autoridad de control para presentar una reclamación [artículo 15, apartado 1, letra f), y artículo 77, ambos del RGPD]. Lo que no se le reconoce es el derecho a recabar directamente un dato personal (la identidad) del empleado que, subordinado al responsable o al encargado del tratamiento, actúa en principio conforme a las instrucciones de este.
72.
En la vista se debatió si la posibilidad de dirigirse al delegado de protección de datos o a la autoridad de control constituía una garantía suficiente, desde el punto de vista de la defensa de los derechos de la persona cuyos datos han sido objeto de tratamiento.
73.
Al zanjar ese debate se puede adoptar una postura maximalista, de modo que cualquier interesado tendría derecho a conocer la identidad de los empleados del responsable del tratamiento que hayan accedido a sus datos, aun cuando sea por encargo y bajo la dirección de ese responsable.
74.
Creo que el RGPD no presta apoyo para defender esa tesis, sin perjuicio de que un Estado miembro pueda asumirla en su legislación interna, para uno o varios sectores específicos. (
28
)
75.
No sería prudente, a mi modo de ver, que el Tribunal de Justicia, asumiendo funciones casi legislativas, enmendara el RGPD para introducir una nueva obligación de información, superpuesta a las de su artículo 15, apartado 1. Así sucedería si se obligara, indiscriminadamente, al responsable del tratamiento a facilitar al interesado la identidad no ya del destinatario a quien se comunicaron los datos, sino de cualquier empleado, o persona del círculo interno de la empresa, que tuvo acceso legítimo a ellos. (
29
)
76.
Como ha señalado Pankki durante la vista, la identidad de los empleados singulares que han gestionado el tratamiento de datos de un cliente constituye una información particularmente sensible desde el punto de vista de su seguridad, al menos en ciertos sectores económicos.
77.
Esos empleados podrían quedar expuestos a tentativas de presión y de influencia por parte de quienes, como clientes de la entidad bancaria, pueden tener interés en personalizar su interlocutor, que no sería ya tanto la propia entidad financiera, sino alguno o algunos de sus trabajadores, como eslabón más débil de la cadena empresarial. Así podría suceder, por ejemplo, cuando el seguimiento de las transacciones, a través de la consulta de los datos del cliente, se realizase con el fin de cumplir con las obligaciones a las que están sometidos los bancos en materia de prevención y lucha contra el delito en el ámbito financiero.
78.
Es verdad que el cliente puede dudar de la probidad o de la imparcialidad de la persona física que ha intervenido por cuenta del responsable en el tratamiento de sus datos. Esa duda, si fuera razonable, podría justificar su interés en conocer la identidad del empleado, con vistas al ejercicio de su derecho a dirigirse contra él.
79.
En atención a la sensibilidad de esa información, el interés en conocer la identidad del empleado se enfrenta al no menos indiscutible interés de los gestores del tratamiento en preservar la discreción sobre la identidad de sus empleados, y al derecho de estos últimos a la protección de sus propios datos. El punto de equilibrio, en mi opinión, se logra con la intermediación de la autoridad de control, como árbitro entre esos dos intereses enfrentados.
80.
En un supuesto como el de autos, pues, habrá de ser la autoridad de control la que, desde su posición de imparcialidad, valore si las dudas sobre la actuación de los empleados al servicio de la entidad bancaria son fundadas y consistentes como para justificar el sacrificio de la reserva sobre su identidad.
3. Acceso a las menciones sobre la identidad de los empleados que consten en los ficheros o registros de operaciones
81.
La respuesta a la primera y segunda preguntas prejudiciales podría detenerse aquí, una vez declarado que los empleados de la entidad que actúan por cuenta de esta y siguiendo sus instrucciones no son, propiamente, los destinatarios que menciona la letra c) del artículo 15, apartado 1, del RGPD.
82.
Sin embargo, es oportuno completar la respuesta con el análisis del supuesto derecho del interesado a conocer la identidad de los empleados, cuando conste en los ficheros o registros de operaciones de una entidad. Aunque, como ya he avanzado, no todos esos ficheros o registros tendrán necesariamente un contenido idéntico, se acepta en general que reflejan quién (de entre los empleados del responsable del tratamiento), cómo y cuándo consultó los datos de los clientes.
83.
Este tipo de registros permiten al responsable del tratamiento conformarse a su obligación de cumplir con los principios establecidos en el artículo 5, apartado 1, del RGPD y de aplicar las medidas técnicas y organizativas apropiadas para garantizar y acreditar la conformidad del tratamiento con los mandatos de aquel reglamento (artículos 24, apartado 1, y 25, apartado 2, del propio RGPD).
84.
En el ámbito específico de la Directiva (UE) 2016/680, (
30
) traída a colación por la Comisión como ejemplo (
31
) de un régimen particular de protección de datos en el ámbito de las infracciones penales:
–
Su artículo 24 obliga a que cada responsable conserve un registro de todas las categorías de actividades de tratamiento de datos personales efectuadas bajo su responsabilidad (apartado 1); y a que cada encargado del tratamiento lleve un registro de todas las categorías de actividades de tratamiento de datos personales efectuadas en nombre de un responsable (apartado 2).
–
Su artículo 25 exige que «[…] se conserven registros de, al menos, las operaciones de tratamiento en sistemas de tratamiento automatizados siguientes: recogida, alteración, consulta, comunicación incluidas las transferencias, combinación o supresión. Los registros de consulta y comunicación harán posible determinar la justificación, la fecha y la hora de tales operaciones y, en la medida de lo posible, el nombre de la persona que consultó o comunicó datos personales, así como la identidad de los destinatarios de dichos datos personales». (
32
)
85.
Ahora bien, de conformidad con el artículo 14 de la Directiva 2016/680, la información relativa, en particular, a la identidad del empleado que haya tratado los datos personales no figura entre aquella a la que tiene derecho de acceso la persona afectada.
86.
En esa misma línea, el artículo 30 del RGPD prescribe la existencia de lo que denomina «registro de actividades de tratamiento», cuyo contenido coincide —con un menor grado de concreción en cuanto a la definición de las operaciones— con el del artículo 25 de la Directiva 2016/680. (
33
) Y, al igual que sucede con esta última, tampoco la información registrada sobre la identidad del empleado se cuenta entre la que es accesible al interesado a título del artículo 15 del RGPD.
87.
La razón de esta asimetría entre la información registrada, por un lado, y el derecho de acceso a ella, por otro, radica en la diferencia de las finalidades a las que sirven los preceptos que disciplinan, respectivamente, los registros de las actividades de tratamiento y la accesibilidad de su contenido.
88.
Con los registros de los que se ocupa el artículo 30 del RGPD se pretende, repito, asegurar la legalidad del tratamiento y de garantizar la integridad y la seguridad de los datos. La responsabilidad de que así sea atañe, con carácter general, a la autoridad de control, a cuya disposición deben poner los registros de operaciones el responsable y el encargado del tratamiento (artículo 30, apartado 4, del RGPD).
89.
En el RGPD, el derecho a reclamar ante las autoridades de control [artículo 15, apartado 1, letra f)], a las que compete velar por su debida aplicación, tiende a proteger los derechos de las personas físicas en lo que respecta al tratamiento de sus datos. Así lo afirma el artículo 51, apartado 1, del RGPD y se desprende de la enumeración de las funciones que les atribuye el artículo 57 del propio Reglamento.
90.
La función general de supervisar la aplicación del RGPD y proteger los derechos de las personas físicas justifica las prerrogativas de la autoridad de control. Entre ellas, la de conocer las circunstancias en las que se han desarrollado los tratamientos de datos a cargo de un encargado o de un responsable. Precisamente una de esas circunstancias es la que aquí importa: la identidad de las personas que consulten datos personales de los clientes en nombre del responsable o del encargado.
91.
En ningún lugar del RGPD se exige, sin embargo, que esas menciones a la identidad de los empleados que figuran en los registros internos de las entidades, con las que estas pueden saber (y, en su caso, poner a disposición de la autoridad de control) quién ha examinado, y cuándo, datos personales de un cliente, hayan de estar abiertas al conocimiento de este último.
92.
Por el contrario, a la persona afectada por un tratamiento concreto se le habrá de facilitar la información necesaria para conocer las circunstancias relevantes, a los efectos de apreciar la licitud del tratamiento y cuestionarla, en su caso, ante la autoridad de control o, en último término, ante la autoridad judicial.
93.
No obsta a lo anterior que, si en esos registros de operaciones constasen efectivamente datos personales del interesado (es decir, distintos de la mera identidad de los empleados), este tendrá, lógicamente, un derecho a obtener del responsable del tratamiento la confirmación de que se están tratando sus datos personales. A tales efectos, es indiferente que estos últimos se encuentren en un registro de operaciones o en cualquier otro fichero o base de datos interna de la entidad.
C.
Tercera pregunta prejudicial
94.
El tribunal de reenvío quiere saber si «es relevante para el procedimiento el hecho de que se trate de un banco que ejerce una actividad reglada o que J. M. haya trabajado para el banco a la vez que era su cliente».
95.
A mi entender, cuanto hasta ahora se ha dicho no cambia porque el responsable del tratamiento de los datos ejercite una actividad reglada. Que ese responsable sea un banco sujeto a la regulación específica propia de este género de entidades (
34
) puede, sin embargo, tener incidencia para discernir la legitimidad (la base jurídica) del tratamiento, cuando este derive del cumplimiento de las obligaciones legales a las que está sujeto. (
35
)
96.
En principio, tampoco es relevante que la persona cuyos datos se han consultado haya sido trabajador y, al tiempo, cliente de aquel banco. El artículo 15, apartado 1, del RGPD no establece diferencias en función de la actividad profesional del interesado, superpuesta a su condición de cliente de la entidad financiera. (
36
)
97.
Cierto es, como ha apuntado la Comisión, que el artículo 23 del RGPD permite a los Estados miembros limitar legislativamente el alcance de las obligaciones y de los derechos establecidos, entre otros, en su artículo 15, mediante disposiciones sectoriales para una categoría específica de personas afectadas. Sin embargo, el tribunal de reenvío no menciona ninguna limitación nacional de esta especie.
V. Conclusión
98.
A tenor de lo expuesto, sugiero al Tribunal de Justicia responder al Itä-Suomen hallinto-oikeus (Tribunal de lo contencioso-administrativo de Finlandia Oriental, Finlandia) en los términos siguientes:
«El artículo 15, apartado 1, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), en relación con el artículo 4, punto 1, de dicho Reglamento,
debe interpretarse en el sentido de que:
Es aplicable cuando la solicitud de acceso a la información que el interesado haya dirigido al responsable del tratamiento de sus datos se hubiera presentado después del 25 de mayo de 2018.
No otorga al interesado el derecho a conocer, de entre la información de la que dispone el responsable del tratamiento (en su caso, a través de registros o ficheros de las operaciones), la identidad del empleado o empleados que, bajo la autoridad y siguiendo las instrucciones de aquel, hayan consultado sus datos personales».
(
1
)	Lengua original: español.
(
2
)	Reglamento del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO 2016, L 119, p. 1; corrección de errores en DO 2021, L 74, p. 35; en lo sucesivo, «RGPD»).
(
3
)	Ley de protección de datos. A tenor de su artículo 1, esta ley desarrolla y complementa el RGPD.
(
4
)	Ley de protección de la privacidad en la vida profesional.
(
5
)	Pankki quería esclarecer la posible existencia de un conflicto de intereses entre un cliente del banco de cuya cuenta era gestor responsable J. M. y este último. Se concluyó finalmente que J. M. no era sospechoso de ninguna acción incorrecta.
(
6
)	Artículo 99, apartado 2, del RGPD.
(
7
)	En el mismo sentido, véanse las conclusiones del abogado general Pitruzzella en el asunto Österreichische Post (Información relativa a los destinatarios de datos personales) (C‑154/21, EU:C:2022:452), apartado 33: «[…] el derecho de acceso previsto en el artículo 15, apartado 1, letra c), del RGPD desempeña un papel funcional e instrumental respecto del ejercicio de otras prerrogativas del interesado previstas en el RGPD».
(
8
)	O, como aquí ocurre, desde el momento en el que la propia norma comienza a ser aplicable, si no coincide con el de la entrada en vigor.
(
9
)	Directiva del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (DO 1995, L 281, p. 31).
(
10
)	La doctrina del Tribunal de Justicia sobre la eficacia en el tiempo de las modificaciones normativas se sintetiza en la sentencia de 15 de junio de 2021, Facebook Ireland y otros (C‑645/19, EU:C:2021:483).
(
11
)	Con referencia a la Directiva 95/46, la sentencia de 7 de mayo de 2009, Rijkeboer (C‑553/07, EU:C.2009:293), apartado 70, declaró que «el artículo 12, letra a), de la Directiva obliga a los Estados miembros a garantizar un derecho de acceso a la información […] no solo para el presente, sino también para el pasado. Corresponde a los Estados miembros fijar un plazo de conservación de dicha información, así como el acceso correlativo a esta, guardando un justo equilibrio entre, por un lado, el interés del afectado en proteger su intimidad, concretamente a través de las distintas vías de intervención y de recurso previstas por la Directiva y, por otro, la carga que la obligación de dicha información puede representar para el responsable del tratamiento». Cursiva añadida.
(
12
)	Sin perjuicio de que ese extremo lo habría de dilucidar, en su caso, el tribunal de reenvío, en la vista se adujeron como bases para legitimar el tratamiento de los datos, por un lado, las obligaciones derivadas de las leyes finlandesas en cuya virtud Pankki, como entidad financiera, ha de velar por la correcta gestión de riesgos, además de respetar las normas de prevención y lucha contra el blanqueo de capitales en cuanto a la trazabilidad de las transacciones; por otro lado, los contratos del banco con sus clientes y empleados, que autorizarían la consulta de sus datos en circunstancias como las de autos.
(
13
)	Véase el punto 21 de estas conclusiones.
(
14
)	Con arreglo a ese precepto, son datos personales «toda información sobre una persona física identificada o identificable», es decir, «cuya identidad pueda determinarse, directa o indirectamente».
(
15
)	Su identidad no se precisó como consecuencia o como efecto del tratamiento, pues este se llevó a cabo, justamente, previa identificación de J. M.
(
16
)	Como ha hecho notar la Comisión, bien podría ser que J. M. considere que la información facilitada no es suficiente o resulta imprecisa. En cualquier caso, y de acuerdo con el artículo 15, apartado 1, del RGPD, J. M. tiene derecho a que se le confirme si se han tratado o se están tratando sus datos (lo que comporta la indicación del cuándo) y los fines a los que responde el tratamiento. Correspondería al tribunal de reenvío determinar si ambas informaciones se le facilitaron de manera suficiente.
(
17
)	Véase su transcripción en el punto 9 de estas conclusiones.
(
18
)	Como ha afirmado el Tribunal de Justicia en relación con la Directiva 95/46 y en términos que pueden aplicarse al RGPD, los principios de la protección garantizada por el derecho de la Unión en este ámbito «tienen su expresión, por una parte, en las distintas obligaciones que incumben a las personas que efectúen tratamientos —obligaciones relativas, en particular, a la calidad de los datos, la seguridad técnica, la notificación a las autoridades de control y las circunstancias en las que se puede efectuar el tratamiento— y, por otra parte, en los derechos otorgados a las personas cuyos datos sean objeto de tratamiento de ser informadas acerca de dicho tratamiento, de poder acceder a los datos, de poder solicitar su rectificación o incluso de oponerse a su tratamiento en determinadas circunstancias» (sentencia de 20 de diciembre de 2017, Nowak, C‑434/16, EU:C:2017:994, apartado 48).
(
19
)	Cursiva añadida.
(
20
)	Derechos de solicitar la rectificación o supresión de datos, o la limitación u oposición al tratamiento; de reclamar ante una autoridad de control y de ser informado sobre el origen de los datos que no se hayan obtenido del interesado.
(
21
)	Apartado 38 del auto de reenvío.
(
22
)	Los artículos 13, 14 y 15 del RGPD, integrados en el capítulo III («Derechos del interesado»), sección 2 («Información y acceso a los datos personales»), constituyen un sistema basado en el reconocimiento del derecho a conocer: a) los datos personales que obran en poder del responsable del tratamiento, cualquiera que sea la forma en la que se hayan obtenido (artículos 13 y 14); y b) las circunstancias de cada tratamiento de dichos datos, en particular (artículo 15).
(
23
)	Cursiva añadida.
(
24
)	Así lo defiende también el Comité Europeo de Protección de Datos en sus Directrices 07/2020, adoptadas el 2 de septiembre de 2020, sobre los conceptos de responsable y encargado en el RGPD, apartados 83 a 90.
(
25
)	En esa hipótesis, entraría en juego el artículo 34, apartado 1, del RGPD.
(
26
)	De esta opinión es el Comité Europeo de Protección de Datos en las Directrices 07/2020, antes citadas, apartado 88: «los empleados, etc., que accedan a datos a los que no estén autorizados a acceder y para fines distintos de los establecidos por el empresario. Estos empleados se considerarían terceros en relación con el tratamiento realizado por el empresario. En caso de que el empleado trate datos personales para sus propios fines distintos de los del empresario, se considerará responsable del tratamiento y asumirá todas las consecuencias y responsabilidades correspondientes por el tratamiento de los datos personales».
(
27
)	Al mismo resultado se llega interpretando las referencias que los artículos 13 y 14 del RGPD, así como su considerando sexagésimo primero, hacen al momento en que ha de facilitarse a los interesados la información sobre el tratamiento de los datos personales comunicados a los destinatarios. De ellas se deduce que el destinatario es una entidad o persona externa, ajena al responsable/encargado.
(
28
)	El Gobierno finlandés aseveró en la vista que así lo ha hecho en cuanto a los datos sanitarios.
(
29
)	Las consecuencias de reconocer esa obligación son difícilmente previsibles para la actividad diaria de las empresas, en particular, para aquellas que se ven obligadas a tratar (lógicamente, a través de sus empleados) millones de datos personales de sus clientes.
(
30
)	Directiva del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión marco 2008/977/JAI del Consejo (DO 2016, L 119, p. 89).
(
31
)	En la vista se aclaró que la referencia a la Directiva 2016/680 no implicaba que fuese aplicable al asunto de autos, carente de connotaciones penales.
(
32
)	Previsiones que se reproducen en el artículo 88 del Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n.o 45/2001 y la Decisión n.o 1247/2002/CE (DO 2018, L 295, p. 39), con el añadido, en su apartado 2, de que los registros se eliminarán transcurridos tres años, a menos que sean necesarios para efectuar un control continuo.
(
33
)	El artículo 25, apartado 1, de la Directiva 2016/680 se refiere explícitamente a «la persona que consultó o comunicó datos personales». De manera más general, y sin aludir a cada concreta actividad de tratamiento, sino a «las categorías de actividades de tratamiento efectuadas por cuenta de un responsable», el artículo 30, apartado 2, letra a), del RGPD hace mención del «nombre y los datos de contacto del encargado», es decir, con arreglo al artículo 4, apartado 8, del RGPD, «la persona […] que trate datos personales por cuenta del responsable del tratamiento».
(
34
)	Esa regulación específica puede implicar, por ejemplo, como proclama el considerando undécimo de la Directiva 2016/680, que «[…] con fines de investigación, detección o enjuiciamiento de infracciones penales, las instituciones financieras conserv[e]n determinados datos personales que ellas mismas tratan y únicamente facilitan dichos datos personales a las autoridades nacionales competentes en casos concretos y de conformidad con el derecho del Estado miembro».
(
35
)	Véase la nota 12 de estas conclusiones.
(
36
)	El tribunal de reenvío no pregunta por la eventual vulneración de los derechos que, en cuanto trabajador al servicio de Pankki, ostenta J. M.