¿Qué son los derechos ARCO-POL? ¿Cómo ejercerlos y respetarlos?

Derechos de los interesados en la protección de datos personales

Tribuna
Protección de datos guía completa_img

En el ámbito del derecho de protección de datos de carácter personal, tanto la normativa nacional, Ley Organica de protección de datos y garantía de los derechos digitales (LOPD), como comunitaria, Reglamento General de Protección de Datos (RGPD), recogen una serie de derechos de los interesados que desarrollamos a continuación.

Recibir información del tratamiento de los datos

El responsable del tratamiento de los datos personales ha de facilitar al interesado toda la información sobre el mismo, así como las comunicaciones relativas al ejercicio de los derechos de protección de datos y las violaciones de su seguridad (RGPD art.12 a 14; LOPD art.11).

Esta obligación queda excepcionada, no obstante, cuando sea imposible o exija esfuerzos desproporcionados, si bien ni el RGPD ni la LOPD ofrecen criterios interpretativos sobre este concepto jurídico indeterminado.

Además, en virtud de esta obligación, el responsable tendrá también que informar al interesado acerca de los destinatarios, si este así lo solicita.

¿Cómo se proporciona la información?

Esta información, ha de proporcionarse de forma concisa, transparente, inteligible y con fácil acceso, con un lenguaje claro y sencillo, y, además, en su caso, visualizable. Por escrito o por otros medios, inclusive, si procede, por medios electrónicos, por ejemplo, cuando esté dirigida al público, mediante un sitio web.

Cuando los datos personales sean rectificados, suprimidos o se limite su tratamiento, en virtud del ejercicio de cada uno de estos derechos de protección de datos, el responsable del tratamiento tendrá que comunicarlo a los destinatarios a los que haya comunicado los datos personales.

Acceso a los datos

Los interesados tienen derecho a acceder a los datos personales recogidos que le conciernan y a ejercer dicho derecho con facilidad y a intervalos razonables, con el fin de conocer y verificar la licitud del tratamiento (RGPD art.15; LOPD art.13).

Tiene carácter de derecho esencial ya que, más allá de su propio ejercicio, permite al interesado saber si una organización está tratando o no sus datos personales y, si procede, ejercitar los demás derechos que se le reconocen.

Su ejercicio supone el acceso a los datos personales en sí mismos y no a una mera descripción general de los datos personales objeto de tratamiento, ni una referencia a las categorías de datos personales objeto de tratamiento por parte del responsable.

¿Qué obtiene el interesado?

En virtud del derecho de acceso el interesado al que se refieren los datos personales objeto de tratamiento obtiene:

- la confirmación de si el responsable trata sus datos o no; y,

- en caso de que los datos personales del interesado sean objeto de tratamiento, el acceso a los mismos y a la información sobre dicho tratamiento.

Rectificación

El interesado tiene derecho a que, sin dilación indebida, el responsable del tratamiento rectifique los datos personales inexactos que le conciernan. Asimismo, teniendo en cuenta los fines del tratamiento, también tiene derecho a que se completen los que sean incompletos, inclusive mediante una declaración adicional (RGPD art.16; LOPD art.14).

Es un derecho de protección de datos esencial. Se trata de garantizar así el derecho fundamental a la protección de datos personales, ya que si los datos personales no fueran exactos, completos y actualizados, la persona física a la que se refieren sufriría una injerencia en sus derechos y libertades fundamentales.

Supresión

En virtud del derecho de supresión o «derecho al olvido», el interesado puede solicitar al responsable del tratamiento que suprima sus datos personales cuando resulte procedente, es decir, siempre y cuando no exista alguna excepción al ejercicio de este derecho (RGPD art.17; LOPD art.3 y 15).

La supresión dará lugar a que los datos personales ya no estén disponibles, de manera que no podrán ser objeto de tratamiento. No obstante, en caso de que la supresión de los datos personales se deba al ejercicio del derecho de oposición, el responsable puede, si así lo estima oportuno, conservar los datos identificativos del interesado para no tratarlos más con fines de mercadotecnia directa.

¿Cuándo puede ejercitarlo?

El interesado tiene derecho a obtener del responsable del tratamiento la supresión de sus datos personales cuando se dé alguna de las siguientes circunstancias:

- que los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;

- que el interesado retire el consentimiento en que se basa el tratamiento y este no se base en otro fundamento jurídico;

- que el interesado se oponga al tratamiento y no prevalezcan otros motivos legítimos para el tratamiento o se oponga al tratamiento de sus datos con fines de mercadotecnia directa, incluida la elaboración de perfiles;

- que los datos personales hayan sido tratados ilícitamente;

- que los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;

- que los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información.

Limitación del tratamiento

El interesado tiene derecho a obtener del responsable la limitación del tratamiento de los datos cuando se cumpla alguna de las condiciones que se exponen a continuación (RGPD art.18; LOPD art.16).

En concreto, tiene por objeto que los datos personales no sean modificados o suprimidos, sino que se mantengan con la finalidad de que el interesado, entre otros supuestos, pueda utilizarlos para demostrar a la autoridad competente un tratamiento ilícito, utilizarlos en caso de una reclamación o que el responsable del tratamiento compruebe la exactitud de los datos personales tratados.

Condiciones

Este derecho de protección de datos requiere tener:

- por una parte, los casos en los que puede solicitarse la suspensión del tratamiento y,

- por otra, la conservación de los datos personales, evitando así su modificación o supresión en este último caso.

Es decir, la limitación tiene un doble alcance, ya que el responsable suspenderá el tratamiento y/o conservará los datos personales.

Portabilidad de los datos

El interesado tiene derecho a recibir sus datos personales del responsable del tratamiento, y a transmitirlos o a que se transmitan a otro responsable del tratamiento (RGPD art.20; LOPD art.17).

Este derecho tiene por objeto facultar a los interesados con respecto a sus propios datos personales, ya que mejora su capacidad de trasladar, copiar o transmitir datos personales fácilmente de un entorno informático a otro -ya sea a sus propios sistemas, a los sistemas de terceros de confianza o a los de otros responsables del tratamiento-.

Medios para efectuar la portabilidad

Cuando el tratamiento de los datos personales se efectúe por medios automatizados, debe permitirse, asimismo, que los interesados que hubieran facilitado datos personales que les conciernan a un responsable del tratamiento los reciban en un formato estructurado, de uso común, de lectura mecánica e interoperable, y los transmitan a otro responsable del tratamiento.

El interesado tiene derecho a que los datos personales se transmitan directamente de un responsable del tratamiento a otro, cuando sea técnicamente posible.

Específicamente, los usuarios de las redes sociales y de los servicios de la sociedad de la información tienen derecho a recibir y transmitir los contenidos que hubieran facilitado a los prestadores de dichos servicios, así como a que los prestadores los transmitan directamente a otro prestador designado por el usuario, siempre que sea técnicamente posible, lo que es parte del derecho de portabilidad.

Los prestadores de servicios de redes sociales y servicios de la sociedad de la información equivalentes, cuando sea necesario para cumplir con una obligación legal que les sea aplicable, podrán conservar, sin difundirla a través de Internet, copia de los contenidos.

Oposición

El interesado tiene derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular, a que datos personales que le conciernan sean objeto de un tratamiento (RGPD art.21; LOPD art.18):

El responsable del tratamiento dejará de tratar los datos personales, salvo que acredite motivos legítimos imperiosos que prevalezcan sobre los intereses, los derechos y las libertades del interesado, o para la formulación, el ejercicio o la defensa de reclamaciones.

Cuando el tratamiento de datos personales tenga por objeto la mercadotecnia directa, el interesado tiene derecho a oponerse en todo momento Cuando el interesado se oponga, los datos personales dejarán de ser tratados para dichos fines.

Servicios de la sociedad de la información

Por otro lado, cuando el derecho de oposición se ejerce en el contexto de los servicios de la sociedad de la información, el interesado podrá ejercer su derecho a oponerse por medios automatizados que apliquen especificaciones técnicas.

Decisiones individuales automatizadas y la elaboración de perfiles

Los avances tecnológicos y las posibilidades del análisis de macrodatos, la inteligencia artificial y el aprendizaje automático han facilitado la creación de perfiles y han automatizado las decisiones, y tienen el potencial de afectar de forma significativa a los derechos y libertades de las personas (RGPD art.22; LOPD art.18).

La amplia disponibilidad de datos personales en internet y en los dispositivos del internet de las cosas (IdC), así como la capacidad de hallar correlaciones y crear vínculos, puede permitir determinar, analizar y predecir ciertos aspectos de la personalidad o el comportamiento, los intereses y los hábitos de una persona.

Beneficios

La elaboración de perfiles y las decisiones automatizadas pueden resultar de utilidad para las personas y organizaciones, ofreciendo beneficios como:

- mayor eficiencia; y

- ahorro de recursos.

Tienen muchas aplicaciones comerciales, por ejemplo, pueden utilizarse para mejorar la segmentación de mercados y para personalizar servicios y productos a fin de armonizarlos con las necesidades individuales. La medicina, la educación, la asistencia sanitaria y el transporte también pueden beneficiarse de estos procesos.

Riesgos

No obstante, pueden plantear riesgos importantes para los derechos y libertades de las personas que requieren unas garantías adecuadas. Puede perpetuar los estereotipos existentes y la segregación social. Asimismo, puede encasillar a una persona en una categoría específica y limitarla a las preferencias que se le sugieren. Esto puede socavar su libertad a la hora de elegir ciertos productos o servicios o llevar a la denegación de servicios y bienes y a una discriminación injustificada.

Limitación

Como norma, existe la prohibición general de tomar decisiones individuales basadas únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzcan efectos jurídicos o efectos significativamente similares.

No obstante, existen excepciones a esta norma. Cuando se aplique una de estas excepciones, deberán existir medidas en vigor para garantizar los derechos y libertades del interesado, así como sus intereses legítimos.

¿Puede negarse el interesado a ser objeto de una decisión individual automatizada?

En este ámbito, el derecho de protección de datos del interesado incluye el derecho a no ser objeto de una decisión individual automatizada, es decir, una decisión basada únicamente en el tratamiento de sus datos personales, incluida la elaboración de perfiles, que produzca efectos jurídicos para el mismo o que le afecte significativamente de forma similar (RGPD art.22; LOPD art.18).

Testamento digital

Una vez que las personas han fallecido, en nuestro ordenamiento se regula de forma separada el destino de sus datos personales y sus contenidos digitales, incluyendo el derecho a la protección de datos personales (LOPD art.96).

¿Qué comprenden los contenidos digitales?

Aunque incluye los perfiles de usuarios en redes sociales, los «contenidos digitales» abarcan también las cuentas de correo electrónico, los perfiles sociales en Internet, los datos personales alojados en servidores, los archivos digitales -ebooks, archivos musicales o audiovisuales, fotografías-, sus criptomonedas -bitcoins- o las cuentas que tuviera abiertas en servicios de prestación de música o películas en línea, entre otros.

¿Quién puede acceder a los contenidos digitales?

El testamento digital se configura como un «derecho digital» de los ciudadanos, por el que cual determinados sujetos pueden acceder a los contenidos digitales de las personas fallecidas que estuvieran siendo gestionados por prestadores de servicios de la sociedad de la información.

Están legitimados:

- las personas vinculadas al fallecido por razones familiares o de hecho, así como sus herederos;

- el albacea testamentario o la persona o institución que el fallecido haya designado expresamente;

- sus representantes legales o el Ministerio Fiscal, en caso de menores de edad o personas con discapacidad.

¿Qué decisiones pueden adoptar?

Las personas legitimadas legalmente para ello, pueden decidir acerca del mantenimiento o eliminación de los perfiles personales de personas fallecidas en redes sociales o servicios equivalentes, a menos que el fallecido hubiera decidido acerca de esta circunstancia, en cuyo caso se estará a sus instrucciones.

En cualquier caso, el responsable del servicio al que se le comunique la solicitud de eliminación del perfil, deberá proceder sin dilación a la misma.

Cómo ejercer los derechos ARCO-POL

El procedimiento para ejercer los derechos ARCO-POL es un proceso gratuito ágil, claro y sencillo. El propietario del fichero debe expresar claramente cómo tramitar el ejercicio de estos derechos

Por lo general, estos procedimientos se realizan por vía digital. Se pueden iniciar personalmente o con un representante legal en el plazo de 1 mes desde la solicitud, salvo en casos excepcionalmente complejos o con muchísimos datos, en los que se prorroga el plazo 2 meses más.

Transcurridos 30 días, el responsable del fichero debe informar de su no actuación, del estado del proceso o de su finalización.

En caso de incumplimiento, hay que acudir a la correspondiente Autoridad de Control.

Limitaciones generales al ejercicio de los derechos (RGPD art.23)

Tanto el Derecho de la Unión Europea como el nacional en materia de protección de datos pueden imponer restricciones al ejercicio de los derechos de información, acceso, rectificación o supresión de datos personales, a la portabilidad de los datos, al derecho de oposición y las decisiones basadas en la elaboración de perfiles.

¿Cuál es la finalidad de las limitaciones?

Estas limitaciones son posibles en la medida en que sean proporcionadas y necesarias para salvaguardar la seguridad pública, incluida la protección de la vida humana, especialmente en respuesta a catástrofes naturales o de origen humano, la prevención, investigación y el enjuiciamiento de infracciones penales o la ejecución de sanciones penales, incluida la protección frente a las amenazas contra la seguridad pública o de violaciones de normas deontológicas en las profesiones reguladas, y su prevención, otros objetivos importantes de interés público general de la Unión o de un Estado miembro, en particular un importante interés económico o financiero de la Unión o de un Estado miembro, la llevanza de registros públicos por razones de interés público general, el tratamiento ulterior de datos personales archivados para ofrecer información específica relacionada con el comportamiento político durante los regímenes de antiguos Estados totalitarios, o la protección del interesado o de los derechos y libertades de otros, incluida la protección social, la salud pública y los fines humanitarios.

 

Nota.- Para el estudio exhaustivo de los derechos de los interesados en la protección de datos personales y su ejercicio, puede consultarse el Memento Protección de Datos y Derechos Digitales 2023-2024 de Lefebvre.

 


ElDerecho.com no comparte necesariamente ni se responsabiliza de las opiniones expresadas por los autores o colaboradores de esta publicación