El RGPD da a todas las personas derechos sobre sus datos personales. Como empleado, usted los tiene también, y puede ser la primera persona que reciba una solicitud de un cliente o un compañero.
Los derechos
- Información (artículos 13 y 14): a que le digan cómo se usan los datos.
- Acceso (artículo 15): a saber si la organización usa datos suyos, a obtener una copia y a conocer las finalidades, los destinatarios y el plazo de conservación.
- Rectificación (artículo 16): a que se corrijan los datos erróneos y se completen los incompletos.
- Supresión (artículo 17, «derecho al olvido»): en casos concretos, por ejemplo cuando los datos ya no son necesarios o se retira el consentimiento. No es absoluto. Cuando la ley exige conservar los datos, estos se quedan.
- Limitación (artículo 18): a que los datos se guarden pero no se usen mientras se resuelve una disputa.
- Portabilidad (artículo 20): a recibir los datos que facilitó en un formato común y legible por máquina, cuando el uso se basa en el consentimiento o en un contrato y es automatizado.
- Oposición (artículo 21): al tratamiento basado en intereses legítimos o en una misión de interés público, y siempre al marketing directo.
- Decisiones automatizadas (artículo 22): a no ser objeto de una decisión basada únicamente en un tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos o le afecte significativamente de modo similar, con excepciones. Las personas pueden pedir una revisión humana.
Solicitudes de acceso del interesado (SAR)
Una solicitud no necesita palabras especiales, un formulario ni la expresión «subject access». Puede llegar por correo electrónico, carta, teléfono, redes sociales o en persona, y puede dirigirse a cualquier miembro del personal. «¿Puedo tener todo lo que tienen sobre mí?» es una SAR válida. También lo es la presentada por un abogado o por otra persona con la autorización del interesado.
El plazo: un mes
La organización debe responder sin dilación indebida y, en cualquier caso, en el plazo de un mes desde que recibe la solicitud (artículo 12.3). El plazo puede prorrogarse hasta dos meses más si las solicitudes son complejas o numerosas, pero hay que avisar a la persona dentro del primer mes, con los motivos. El reloj empieza a correr cuando llega la solicitud, no cuando llega a la mesa adecuada. Por eso debe trasladarla el mismo día.
Qué hacer si recibe una
- No la ignore ni la responda usted si no es su función.
- Remítala de inmediato a la persona o al equipo que indique el procedimiento del empleador, como el DPD o el responsable de protección de datos.
- Anote la fecha y cómo se recibió.
- No borre ni cambie nunca registros tras recibir una solicitud para evitar la divulgación. Esto anula el derecho de acceso de la persona, puede acarrear medidas disciplinarias y siempre empeora las cosas.
Reglas para la organización
- Una SAR es normalmente gratuita. Solo puede cobrarse una tasa razonable por una solicitud manifiestamente infundada o excesiva, o por copias adicionales, y la organización puede rechazar una solicitud así si explica por qué.
- Puede pedir un documento que acredite la identidad, si es razonable.
- No debe entregar datos de otras personas sin base jurídica, por lo que el personal tacha o retiene lo que corresponda.
- Parte de la información puede retenerse al amparo de las exenciones de la Data Protection Act 2018, por ejemplo el material protegido por el secreto profesional de los abogados. Aplicarlas es decisión del DPD o del asesor jurídico.
- Si rechaza la solicitud, debe explicar por qué e informar a la persona de que puede reclamar ante la DPC y acudir a los tribunales.
Los empleados y las SAR
El personal puede pedir su propio expediente laboral, los correos que lo mencionan y las notas sobre ellos. Piense antes de escribir sobre un compañero o un cliente en un correo o una nota: puede que tenga que divulgarse. Escriba como si la persona fuera a leerlo.
Reclamaciones y vías de recurso
Las personas pueden reclamar ante la DPC (artículo 77). También pueden ejercitar una acción de protección de datos ante los tribunales, y la Data Protection Act 2018 (artículo 117) permite al tribunal conceder una indemnización por daños materiales o morales, como la angustia sufrida.
Qué debe recordar
- Una SAR puede hacerse a cualquiera, de cualquier forma. Trasládela el mismo día.
- El plazo es de un mes, prorrogable dos meses más en casos complejos.
- Normalmente es gratuita.
- No destruya ni altere nunca registros después de recibir una solicitud.