Las personas tienen derechos sobre sus datos, y usted puede recibir una petición sin esperarla: en una tienda, en un colegio, en recursos humanos o por correo electrónico. Saber reconocerla y pasarla a tiempo evita sanciones.
Los derechos
- Acceso (artículo 15 del RGPD): saber si se tratan sus datos y obtener una copia, además de información sobre el tratamiento.
- Rectificación (artículo 16): corregir datos inexactos o completar los incompletos.
- Supresión (artículo 17): pedir que se borren los datos cuando ya no hacen falta, cuando retira el consentimiento o cuando se trataron de forma ilícita. No es un derecho absoluto: la empresa puede guardar datos que una ley le obliga a conservar.
- Oposición (artículo 21): oponerse a un tratamiento basado en el interés legítimo o en una misión de interés público, y en todo momento a la publicidad (mercadotecnia directa).
- Portabilidad (artículo 20): recibir sus datos en un formato estructurado y común, cuando el tratamiento se basa en el consentimiento o en un contrato y es automatizado.
- Limitación (artículo 18): pedir que los datos se conserven pero no se usen, por ejemplo mientras se comprueba si son exactos.
También existe el derecho a no ser objeto de decisiones basadas únicamente en un tratamiento automatizado con efectos importantes (artículo 22).
El plazo: un mes
El responsable debe contestar como máximo en el plazo de un mes desde que recibe la solicitud (artículo 12.3 del RGPD). Si es compleja o hay muchas, se puede prorrogar otros dos meses, pero hay que avisar a la persona del retraso y de sus motivos dentro del primer mes.
Atender el derecho es gratuito. Solo se puede cobrar un canon razonable o negarse a actuar si las peticiones son manifiestamente infundadas o excesivas, y la empresa debe poder justificarlo.
Qué hacer si le llega una solicitud
- Reconózcala. No hace falta que mencione una ley ni que use un formulario. Frases como "quiero saber qué datos tienen sobre mí" o "borren mis datos" ya son una solicitud.
- No la ignore ni la deje en su bandeja de entrada. El plazo empieza a contar desde que la empresa la recibe, también si la recibió usted.
- Páselas de inmediato a la persona o al departamento que su empresa haya designado, o al delegado de protección de datos si existe.
- No responda por su cuenta ni entregue datos a quien se los pide por teléfono sin que se haya comprobado su identidad.
Comprobar la identidad
Antes de entregar datos hay que estar seguro de que quien los pide es realmente la persona interesada. Si hay dudas razonables, la empresa puede pedir información adicional para confirmarlo (artículo 12.6). Es una de las formas más habituales de fuga: alguien se hace pasar por otra persona y pide sus datos.
La reclamación ante la AEPD
Si la empresa no responde, responde mal o fuera de plazo, la persona puede presentar una reclamación ante la Agencia Española de Protección de Datos (artículo 77 del RGPD y LOPDGDD) y acudir a los tribunales. La AEPD puede ordenar que se atienda el derecho y sancionar a quien no lo hizo.
Recuerde: en materia de derechos, el reloj corre desde que alguien de la empresa recibe la petición. Reenvíela el mismo día.