El RGPD da a las personas, los interesados, derechos precisos sobre sus datos. Cualquier empleado puede encontrarse con una solicitud, por ejemplo en el mostrador, por teléfono o en un correo. Debe saber reconocerla y pasarla enseguida a quien deba ocuparse de ella.
Los derechos principales (arts. 15 a 22 del RGPD)
- Acceso (art. 15): saber si se tratan los datos, obtener una copia y conocer fines, destinatarios y plazo.
- Rectificación (art. 16): conseguir que se corrijan o completen los datos erróneos.
- Supresión, el llamado «derecho al olvido» (art. 17): conseguir que se supriman los datos en ciertos casos, por ejemplo cuando ya no hacen falta o cuando se ha retirado el consentimiento. No es absoluto: los datos que la ley obliga a conservar se conservan.
- Limitación (art. 18): pedir que los datos solo se conserven, por ejemplo mientras se comprueba su exactitud.
- Portabilidad (art. 20): recibir en formato estructurado los datos proporcionados, cuando el tratamiento se basa en el consentimiento o en el contrato y es automatizado.
- Oposición (art. 21): oponerse a un tratamiento basado en el interés legítimo o en el interés público, y siempre al marketing directo.
- No ser objeto de decisiones basadas únicamente en el tratamiento automatizado con efectos relevantes (art. 22).
Existe también el derecho a retirar el consentimiento en cualquier momento (art. 7).
El plazo de un mes
El responsable debe contestar sin dilación indebida y, a más tardar, en el plazo de un mes desde la recepción de la solicitud. En casos complejos el plazo puede prorrogarse otros dos meses, pero hay que informar de la prórroga a la persona dentro del primer mes (art. 12, apartado 3). Por regla general la respuesta es gratuita.
El mes empieza a contar desde que la empresa recibe la solicitud, aunque haya llegado a un solo empleado. Por eso importa la rapidez con que usted la traslade.
Cómo reconocer una solicitud
No hacen falta fórmulas especiales ni un formulario. La persona puede decir:
- «Quiero saber qué datos tienen sobre mí.»
- «Borren mi número de su lista.»
- «No quiero recibir más ofertas suyas.»
- «Hay un error en mi dirección, corríjanlo.»
Puede llegar por correo electrónico, por correo postal, por teléfono, por redes sociales o en el mostrador. Si una frase parece una solicitud sobre datos, trátela como tal.
Qué hace usted
- Escuche y anote: quién es, qué pide, cuándo y cómo lo ha pedido.
- No responda por su cuenta sobre el fondo ni prometa plazos. No entregue datos por teléfono a quien no conoce.
- Traslade enseguida la solicitud a la persona de contacto de privacidad, al DPD o al responsable que indique la empresa.
- No borre ni modifique los datos «para resolverlo rápido»: una supresión al margen del procedimiento puede destruir lo que la ley obliga a conservar.
Verificar la identidad
Antes de dar datos a quien los pide hay que estar seguro de que es de verdad el interesado (art. 12, apartado 6). Entregar la copia de los datos a una persona que se hace pasar por otra es una violación de la seguridad de los datos. El responsable puede pedir la información necesaria para confirmar la identidad, pero solo esa.
Datos de otras personas
El derecho de acceso se refiere a los datos propios. No debe revelar datos de otras personas: por ejemplo, en una copia de un documento interno se ocultan los nombres de terceros, si no hay motivo para lo contrario. Decide el responsable, no usted.
Reclamación e indemnización
Quien considera vulnerados sus derechos puede presentar una reclamación ante el Garante (art. 77 del RGPD) o acudir a un juez (art. 79), y puede pedir una indemnización por los daños (art. 82). Una respuesta lenta o descortés a una solicitud sencilla puede dar lugar a una reclamación.