Los derechos del interesado en virtud del GDPR: todo lo que necesitas saber

Derecho a ser informado

Las organizaciones deben proporcionar a los usuarios información sobre sus actividades de tratamiento de datos. Esta información puede facilitarse por escrito, incluso electrónicamente, mediante una política de privacidad. La información debe ser concisa, transparente, comprensible, fácilmente accesible, redactada en un lenguaje claro y sencillo (especialmente si va dirigida a un niño) y gratuita.

Si los datos se obtienen del propio usuario al que se refieren, éste debe recibir la información sobre privacidad en el momento en que se obtienen los datos. Sin embargo, si los datos personales se obtienen de una fuente distinta del usuario individual, éste debe recibir la información sobre privacidad en un «plazo razonable» a partir de los datos obtenidos. Este plazo no puede ser superior a un mes en general, o a más tardar cuando se produzca la primera comunicación (si los datos se utilizan para comunicarse con el usuario).

El derecho de acceso

Los usuarios tienen derecho a acceder a sus datos personales y a la información sobre cómo se procesan. A petición del usuario, los responsables del tratamiento deben proporcionar una descripción general de las categorías de datos procesados, una copia de los datos reales recopilados y una descripción de cómo se procesan los datos. También deben aclarar la finalidad del tratamiento, cómo se obtuvieron los datos y con quién se compartieron posiblemente.

Por último, la organización debe proporcionar al usuario solicitante una copia de sus datos personales de forma gratuita (si el usuario solicita más de una copia, se le puede cobrar una tarifa razonable). Los datos solicitados deben facilitarse a la persona sin demora indebida y a más tardar un mes después de la recepción de la solicitud; el número exacto de días en que la organización debe atender una solicitud depende del mes en que se haya realizado.

El derecho de acceso está estrechamente relacionado con el derecho a la portabilidad de los datos, aunque estos dos derechos no son idénticos. Por tanto, es importante que haya una distinción clara entre estos dos derechos en la política de privacidad.

El derecho de rectificación

Los usuarios tienen derecho a solicitar la rectificación de sus datos personales si son inexactos o incompletos. Este derecho también implica que la rectificación debe comunicarse a todos los terceros implicados en el tratamiento de los datos en cuestión, a menos que esto sea imposible o particularmente difícil. Si el usuario lo solicita, la organización también debe informarle de la identidad de estos terceros.

Las solicitudes pueden prorrogarse otros dos meses si la solicitud es compleja o si se han recibido numerosas solicitudes del particular. El particular debe ser informado en el plazo de un mes desde la recepción de la solicitud, con una explicación de por qué es necesaria la prórroga. Las solicitudes deben atenderse sin demora indebida y, a más tardar, en el plazo de un mes desde su recepción.

En la mayoría de los casos, las organizaciones deben satisfacer una solicitud de rectificación sin cobrar honorarios. Sin embargo, si se considera que una solicitud es «manifiestamente infundada o excesiva», se puede cobrar una «tasa razonable» para satisfacerla o denegarla. En ambos casos, la decisión debe estar legítimamente justificada. Si se deniega una solicitud, debe informarse al interesado (junto con la justificación) sin demora indebida y en el plazo de un mes desde su recepción.

Derecho de oposición

En virtud del RGPD, los usuarios tienen derecho a oponerse a determinadas actividades de tratamiento de sus datos personales llevadas a cabo por el responsable del tratamiento (también conocido como Responsable del Tratamiento). En resumen, los usuarios pueden oponerse al tratamiento de sus datos siempre que esté basado en un interés legítimo o en el cumplimiento de una misión de interés público/ejercicio de poderes públicos o con fines de investigación científica/histórica y estadística. El usuario deberá justificar su oposición, salvo que el tratamiento se realice con fines de marketing directo. En este último caso, de hecho, no son necesarias razones para ejercer este derecho.

Si se recibe una objeción al tratamiento de datos personales y no hay motivos para rechazarla, la actividad de tratamiento debe cesar. Aunque la actividad de tratamiento (incluido el almacenamiento) debe cesar para las actividades concretas de tratamiento objetadas, la supresión puede no ser necesaria si los datos se tratan para otros fines (incluido el cumplimiento de obligaciones legales o contractuales), ya que los datos deberán conservarse para estos fines.

Las solicitudes deben atenderse sin demora indebida y a más tardar un mes después de su recepción. Las solicitudes pueden prorrogarse otros dos meses si la solicitud es compleja o si se han recibido numerosas solicitudes del particular. La persona debe ser informada en el plazo de un mes desde la recepción de la solicitud, con una explicación de por qué es necesaria la prórroga.

Si no hay motivos para denegarla, en la mayoría de los casos las organizaciones deben atender la solicitud sin cobrar honorarios. Sin embargo, si se considera que una solicitud es «manifiestamente infundada o excesiva», se puede cobrar una «tasa razonable» por atenderla o denegarla. En ambos casos, la decisión debe estar legítimamente justificada. Si se deniega una solicitud, debe informarse al interesado (junto con la justificación) sin demora indebida y en el plazo de un mes desde su recepción.

Derecho a la portabilidad de los datos

Tienes derecho a obtener (en un formato electrónico legible) tus datos personales con el fin de transferirlos a otro responsable del tratamiento, sin que el actual responsable del tratamiento ponga ningún obstáculo. Tanto los datos «facilitados» por el usuario como los datos «observados» entran en el ámbito de esta disposición. Este derecho sólo se aplica a los datos personales y, como tal, no se aplica a los datos genuinamente anónimos (datos que no se pueden rastrear hasta la persona).

Las solicitudes deben atenderse sin demora indebida y a más tardar un mes después de su recepción. Las solicitudes pueden prorrogarse otros dos meses si la solicitud es compleja o si se han recibido numerosas solicitudes del particular. La persona debe ser informada en el plazo de un mes desde la recepción de la solicitud, con una explicación de por qué es necesaria la prórroga.

En la mayoría de los casos, las organizaciones deben atender la solicitud sin cobrar honorarios. Sin embargo, si se considera que una solicitud es «manifiestamente infundada o excesiva», se puede cobrar una «tasa razonable» por atenderla o denegarla. En ambos casos, la decisión debe estar legítimamente justificada. Si se deniega una solicitud, debe informarse al interesado (junto con la justificación) sin demora indebida y en el plazo de un mes desde su recepción.

Derecho de cancelación

Cuando los datos ya no sean útiles para los fines para los que fueron recogidos, en caso de retirada del consentimiento por parte del usuario, o cuando los datos personales hayan sido tratados de forma ilícita, el usuario tiene derecho a solicitar su supresión, así como el cese de cualquier otra forma de difusión.

Las solicitudes deben atenderse sin demora indebida y a más tardar un mes después de su recepción. Las solicitudes pueden prorrogarse otros dos meses si la solicitud es compleja o si se han recibido numerosas solicitudes del particular. La persona debe ser informada en el plazo de un mes desde la recepción de la solicitud, con una explicación de por qué es necesaria la prórroga.

El derecho de cancelación puede ser denegado:

• cuando se traten datos personales por un interés público (como la investigación científica);
• cuando los datos sean necesarios para la defensa en juicio o para cumplir una obligación legal;
• para la realización de una tarea de interés público;
• para el ejercicio de poderes públicos conferidos al responsable del tratamiento;
• cuando los datos sean necesarios para ejercer el derecho a la libertad de expresión;
• cuando se traten con fines sanitarios y de interés público.

Derecho a limitar el tratamiento

Tienes derecho a solicitar la limitación del tratamiento de tus datos personales si:

• impugnaron su exactitud;
• se opuso al tratamiento y la organización está estudiando si existe un motivo legítimo para excluirle;
• el tratamiento es ilícito, pero el usuario solicita una restricción en lugar de la supresión;
• los datos ya no son necesarios, pero el usuario los necesita para establecer, ejercer o defender una reclamación legal.

La restricción debe comunicarse a todos los terceros implicados en el tratamiento de los datos en cuestión, a menos que sea imposible o particularmente difícil. Si el usuario lo solicita, la organización también le informará de la identidad de dichos terceros.

Las solicitudes deben atenderse sin demora indebida y a más tardar un mes después de su recepción. Las solicitudes pueden prorrogarse otros dos meses si la solicitud es compleja o si se han recibido numerosas solicitudes del particular. La persona debe ser informada en el plazo de un mes desde la recepción de la solicitud, con una explicación de por qué es necesaria la prórroga.

En la mayoría de los casos, las organizaciones deben atender la solicitud sin cobrar honorarios. Sin embargo, si se considera que una solicitud es «manifiestamente infundada o excesiva», se puede cobrar una «tasa razonable» por atenderla o denegarla. En ambos casos, la decisión debe estar legítimamente justificada. Si se deniega una solicitud, debe informarse al interesado (junto con la justificación) sin demora indebida y en el plazo de un mes desde su recepción.

Derechos relativos a los procesos automatizados de toma de decisiones y a la elaboración de perfiles

Los usuarios tienen derecho a no ser sometidos a procesos de toma de decisiones que se basen en el tratamiento automatizado o en la elaboración de perfiles y que produzcan un efecto jurídico, o un efecto igualmente significativo.

Las organizaciones sólo podrán tomar decisiones automatizadas si son necesarias para la ejecución de un contrato, están autorizadas por la legislación del país de la UE aplicable al responsable del tratamiento, no tienen efectos jurídicos o relevancia similar para el usuario o se basan en el consentimiento explícito del interesado. Las decisiones automatizadas que impliquen categorías especiales de datos sólo podrán tomarse con el consentimiento explícito del usuario o por razones de interés público importante.