Las personas cuyos datos se tratan tienen derechos. El trabajador es titular de sus propios datos, y es también quien recibe a menudo las solicitudes de clientes, usuarios o compañeros. Por eso interesa conocer los derechos y saber qué hacer cuando alguien los ejerce.
Los derechos principales
- Información (artículos 13 y 14 del RGPD): saber quién trata los datos, para qué, durante cuánto tiempo y a quién se comunican.
- Acceso (artículo 15): saber si hay datos suyos en tratamiento y obtener una copia de ellos e información sobre el tratamiento.
- Rectificación (artículo 16): corregir datos inexactos o completar datos incompletos.
- Supresión (artículo 17): pedir que se supriman los datos en ciertas situaciones, por ejemplo cuando ya no son necesarios.
- Limitación del tratamiento (artículo 18): suspender el uso de los datos mientras se resuelve una impugnación.
- Portabilidad (artículo 20): recibir los datos que facilitó en un formato estructurado y, si lo desea, transmitirlos a otro responsable. La Lei n.º 58/2019 (artículo 18) la limita a los datos facilitados por el interesado.
- Oposición (artículo 21): oponerse al tratamiento en ciertas condiciones, por ejemplo al marketing directo.
- Derecho a no ser objeto de decisiones automatizadas con efectos significativos (artículo 22).
Algunos derechos tienen límites. Si una ley impone un plazo de conservación, la supresión solo puede ejercerse una vez transcurrido (artículo 21, apartado 5, de la Lei n.º 58/2019).
Plazos y costes
- El responsable responde sin dilación indebida y, como máximo, en el plazo de un mes desde la recepción de la solicitud (artículo 12, apartado 3, del RGPD).
- Ese plazo puede prorrogarse otros dos meses, si la solicitud es compleja o hay muchas solicitudes. Se informa al interesado de la prórroga y de sus motivos dentro del primer mes.
- Por regla general, el ejercicio de los derechos es gratuito. Solo puede cobrarse una tasa razonable, o rechazarse la solicitud, cuando es manifiestamente infundada o excesiva, y el responsable tiene que demostrarlo (artículo 12, apartado 5).
- El responsable puede pedir información adicional para confirmar la identidad de quien la solicita.
Qué debe hacer quien recibe una solicitud
- Reconozca la solicitud, aunque llegue por correo electrónico, carta, teléfono o de forma oral. No hace falta citar el RGPD.
- Trasládela de inmediato a quien la gestiona en la empresa, como el DPD, la dirección o la persona indicada en las instrucciones. El plazo cuenta desde la recepción, y no desde el momento en que alguien la abre.
- No responda por su cuenta con datos, sin instrucciones. Antes de dar cualquier información, hay que confirmar la identidad.
- No suprima ni modifique datos para "resolver el problema" antes de que la empresa decida. Suprimir con prisas puede ser ilícito.
Personas fallecidas
Los datos de las personas fallecidas siguen protegidos en ciertos casos, como los datos de salud. Los derechos los ejerce quien la persona haya designado a tal efecto o, a falta de designación, los herederos (artículo 17 de la Lei n.º 58/2019).
Reclamaciones e indemnización
Quien considere que sus derechos han sido vulnerados puede presentar una reclamación ante la CNPD (artículo 77 del RGPD), acudir a los tribunales y pedir una indemnización por los daños sufridos (artículo 82 del RGPD y artículo 33 de la Lei n.º 58/2019). Las empresas deben tener un procedimiento interno para tramitar estas solicitudes.
Resumen: reconocer, trasladar con rapidez, confirmar la identidad y no improvisar.