Derechos del Interesado en el RGPD y la LO 3/2018.
El Capítulo 3 del RGPD y el Título III de la Ley Orgánica 3/2018 tratan de los derechos del interesado. Se reconocen los siguientes derechos:
- Derecho de información.
- Derecho de acceso.
- Derecho de rectificación.
- Derecho de supresión (olvido).
- Derecho a la limitación del tratamiento.
- Derecho a la portabilidad de los datos.
- Derecho de oposición.
- Derecho a no ser objeto de decisiones individuales automatizadas.
Derecho de Acceso.
(Artículo 15 del RGPD y Artículo 13 de la LO 3/2018).
Contenido.
El interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a:
- Los fines del tratamiento.
- Las categorías de datos personales.
- Los destinatarios o categorías de destinatarios (incluidos terceros países u organizaciones internacionales).
- El plazo previsto de conservación de los datos o los criterios usados para determinarlo.
- La existencia del derecho a solicitar rectificación, supresión, limitación u oposición al tratamiento.
- El derecho a presentar una reclamación ante una autoridad de control.
- El origen de los datos (si no se obtuvieron del interesado).
- La existencia de decisiones automatizadas, incluida la elaboración de perfiles.
Además, cuando se transfieran datos a terceros países, el interesado tendrá derecho a ser informado de las garantías adecuadas (art. 46 del RGPD). El responsable facilitará una copia de los datos personales objeto de tratamiento.
Plazo.
- El responsable facilitará la información sin dilación indebida, y como máximo, en el plazo de un mes desde la solicitud.
- Este plazo puede prorrogarse por otros dos meses si es necesario, informando al interesado de los motivos.
Forma de Ejercicio.
- Si se solicita electrónicamente, se facilitará en formato electrónico de uso común (salvo que el interesado indique lo contrario).
- El acceso se entenderá otorgado si el responsable facilita un sistema remoto, directo y seguro de acceso permanente.
- El responsable puede pedir al interesado que especifique los datos si se trata de una gran cantidad de información.
Derecho de Rectificación.
(Artículo 16 del RGPD y Artículo 14 de la LO 3/2018).
- Derecho a obtener la rectificación de los datos personales inexactos sin dilación indebida.
- Derecho a completar datos incompletos, inclusive mediante una declaración adicional.
- El afectado deberá indicar qué datos deben corregirse y aportar documentación justificativa.
Derecho de Supresión (“Derecho al Olvido”).
(Artículo 17 del RGPD y Artículo 15 de la LO 3/2018).
Supuestos.
El interesado podrá solicitar la supresión de sus datos cuando:
- Ya no sean necesarios para los fines para los que se recogieron.
- Retire su consentimiento (y no haya otra base legal).
- Se oponga al tratamiento sin que existan motivos legítimos prevalentes.
- Los datos hayan sido tratados ilícitamente.
- La supresión sea necesaria para cumplir una obligación legal.
- Se hayan obtenido en el contexto de servicios de la sociedad de la información.
Si los datos han sido publicados, el responsable deberá adoptar medidas razonables, incluso técnicas, para informar a otros responsables del tratamiento sobre la solicitud de supresión.
Limitaciones.
El derecho no se aplicará si el tratamiento es necesario:
- Para ejercer la libertad de expresión e información.
- Para cumplir una obligación legal o misión en interés público.
- Por razones de salud pública.
- Con fines de archivo en interés público, investigación científica o estadística.
- Para la formulación, ejercicio o defensa de reclamaciones.
Nota: Si se ejerce el derecho de oposición, el responsable puede conservar los datos identificativos para evitar tratamientos futuros con fines de mercadotecnia directa.
Derecho a la Limitación del Tratamiento.
(Artículo 18 del RGPD y Artículo 16 de la LO 3/2018).
Supuestos.
Se puede limitar el tratamiento cuando:
- El interesado impugne la exactitud de los datos (hasta su verificación).
- El tratamiento sea ilícito y el interesado solicite su limitación en vez de su supresión.
- El responsable ya no necesite los datos, pero el interesado los requiera para reclamaciones.
- El interesado se haya opuesto al tratamiento y se está verificando si prevalecen los intereses del responsable.
Efectos.
Mientras dure la limitación, los datos solo podrán ser tratados:
- Con consentimiento del interesado.
- Para reclamaciones.
- Para proteger derechos de otra persona.
- Por interés público de la UE o del Estado miembro.
El responsable informará al interesado antes de levantar la limitación. La limitación debe constar claramente en los sistemas de información. No debe confundirse con el bloqueo de datos.
Derecho a la Portabilidad de los Datos.
(Artículo 20 del RGPD y Artículo 17 de la LO 3/2018).
Requisitos.
El interesado podrá:
- Recibir sus datos en un formato estructurado, de uso común y lectura mecánica.
- Transmitirlos a otro responsable, cuando:
- El tratamiento se base en el consentimiento o contrato.
- Se realice por medios automatizados.
Alcance.
- Derecho a la transmisión directa entre responsables, si es técnicamente posible.
- No se aplica al tratamiento en interés público o ejercicio de poderes públicos.
- No debe afectar negativamente a los derechos de otros.
Derecho de Oposición.
(Artículo 21 del RGPD y Artículo 18 de la LO 3/2018).
Supuestos y Consecuencias.
El interesado puede oponerse al tratamiento de sus datos por motivos relacionados con su situación particular, cuando el tratamiento se base en:
- Interés público.
- Interés legítimo del responsable.
Incluye elaboración de perfiles.
El responsable cesará el tratamiento, salvo que existan motivos legítimos imperiosos o que sean necesarios para reclamaciones.
Mercadotecnia Directa.
- Derecho a oponerse en todo momento al tratamiento con fines de mercadotecnia, incluida la elaboración de perfiles.
- Los datos dejarán de ser tratados para ese fin.
- El derecho se comunicará de forma clara y destacada en la primera comunicación.
- Puede ejercerse mediante medios automatizados.
Decisiones Individuales Automatizadas.
(Artículo 22 del RGPD).
Todo interesado tiene derecho a no ser objeto de decisiones basadas únicamente en tratamiento automatizado, incluida la elaboración de perfiles, que produzcan efectos jurídicos o le afecten significativamente.
Excepciones.
No se aplicará si:
- Es necesaria para un contrato.
- Está autorizada por ley (con garantías).
- Se basa en el consentimiento explícito del interesado.
En estos casos, el responsable debe garantizar:
- Intervención humana.
- Expresión del punto de vista.
- Impugnación de la decisión.
Solo se permite con categorías especiales de datos si se cumplen los requisitos del artículo 9.2 a) o g) y se aplican medidas de salvaguarda adecuadas.
Disposiciones Generales sobre el Ejercicio de los Derechos.
(Artículo 12 de la LO 3/2018).
El responsable está obligado a informar al afectado de los medios disponibles para ejercer estos derechos.
Los derechos del RGPD (arts. 15 a 22) pueden ejercerse directamente o mediante representante legal o voluntario.
Medios de Ejercicio.
- Se garantizará el ejercicio gratuito de los derechos, especialmente mediante formularios, sistemas de información u otros medios electrónicos.
- El ejercicio del derecho no puede estar supeditado al pago de una cantidad económica, salvo en caso de solicitudes manifiestamente infundadas, excesivas o repetitivas, donde el responsable podrá:
- Cobrar un canon proporcional.
- Negarse a actuar.
- El responsable debe probar el carácter infundado o excesivo de la solicitud.
Delegado de Protección de Datos (DPD).
- El interesado puede dirigir el ejercicio de sus derechos al DPD, si ha sido designado.
Limitaciones al Ejercicio de los Derechos.
(Artículo 23 del RGPD y Artículo 23 de la LO 3/2018).
Fines de las Limitaciones.
Los derechos y obligaciones previstos en los artículos 12 a 22 del RGPD podrán restringirse por ley si dicha restricción:
- Respeta el contenido esencial de los derechos y libertades fundamentales.
- Constituye una medida necesaria y proporcionada en una sociedad democrática.
- Busca salvaguardar alguno de los siguientes intereses:
- Seguridad del Estado.
- Defensa.
- Seguridad pública.
- Prevención, investigación, detección o enjuiciamiento de infracciones penales.
- Otros objetivos importantes de interés público general.
- Protección de la independencia judicial y procedimientos judiciales.
- Prevención, investigación y detección de infracciones deontológicas.
- Protección del interesado o de los derechos y libertades de otros.
- Ejecución de reclamaciones de derecho civil.
Forma de Imposición.
- Las restricciones deberán establecerse mediante normas con rango de ley.
- Deberán contener disposiciones específicas, como:
- Finalidades del tratamiento.
- Categorías de datos.
- Ámbito de aplicación.
- Medidas para mitigar riesgos.
- Garantías frente a abusos.
- Duración de la limitación.
- Derecho a ser informado (si no se perjudica la finalidad).
Requisitos para el Ejercicio de los Derechos.
Acreditación de Identidad.
El responsable debe verificar la identidad del solicitante para evitar accesos indebidos a datos personales. Se puede solicitar:
- DNI u otro documento oficial.
- Datos adicionales que permitan confirmar la identidad.
Plazo para Responder.
- El responsable debe responder en un máximo de un mes desde la recepción de la solicitud.
- Este plazo podrá ampliarse otros dos meses en casos complejos, previa comunicación motivada al interesado.
Medios de Respuesta.
- Por el mismo medio por el que se hizo la solicitud, salvo que se indique otro.
- En todo caso, de forma clara, concisa y accesible.
Reclamación ante la Agencia Española de Protección de Datos (AEPD).
(Artículo 37 de la LO 3/2018).
- Si el interesado considera que no se ha satisfecho adecuadamente el ejercicio de sus derechos, puede presentar una reclamación ante la AEPD.
- La Agencia evaluará si el responsable ha actuado correctamente y puede imponer medidas correctoras o sanciones.