Reglamento General de Protección de Datos (RGPD) : Derechos de rectificación, supresión y limitación

17 abril, 2017 Por Fernando Ramos Sin comentarios

2.3 DERECHO DE RECTIFICACIÓN

El derecho de rectificación viene regulado en al art. 16 y en el considerando 65 del RGPD.

Artículo 16: Derecho de rectificación
El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la rectificación de los datos personales inexactos que le conciernan. Teniendo en cuenta los fines del tratamiento, el interesado tendrá derecho a que se completen los datos personales que sean incompletos, inclusive mediante una declaración adicional.

Existe una vinculación directa del derecho a la rectificación con el carácter inexacto o incompleto de los datos. Será por tanto obligación de los responsables que los datos no sean incompletos o inexactos, debiendo garantizar que los mismos serán actualizados sin dilación indebida y al mismo tiempo el interesado tiene el derecho a que sus datos sean rectificados en los supuestos en que los mismos sean inexactos.

2.4 DERECHO DE SUPRESIÓN

El derecho de supresión viene regulado en al art. 17 y en los considerandos 65 y 66 del RGPD.

Artículo 17: Derecho de supresión

El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:

los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;

el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a) (Consentimiento), o el artículo 9, apartado 2, letra a) (Consentimiento en categorías especiales de datos), y este no se base en otro fundamento jurídico;

el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1 (Derecho de oposición personal, interés público o interés legítimo), y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2 (Derecho de oposición marketing Directo);

los datos personales hayan sido tratados ilícitamente;

los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;

los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8 (Condiciones aplicables al consentimiento del niño en relación con los servicios de la sociedad de la información), apartado 1.

Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos.

Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:

para ejercer el derecho a la libertad de expresión e información;

para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;

por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras h) e i), y apartado 3 (Tratamiento de categorías especiales de datos personales);

con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1 (Investigación científica estadística), en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o

para la formulación, el ejercicio o la defensa de reclamaciones.

Alcance

El derecho a la supresión de los datos y por tanto que los mismos sean suprimidos y dejen de tratarse por el responsable sin dilación indebida se produce en los siguientes supuestos:

Dejan de ser necesarios para los fines en los que fueron recabados.
El consentimiento ha sido retirado por el interesado.
El interesado se opone al tratamiento de los mismos conforme al 21 del RGPD.
Los datos han sido tratados ilícitamente.
Para el cumplimiento de una obligación legal establecida por el Derecho de la UE o de los Estados miembros.
Se hayan obtenido en relación a una oferta de servicios de la sociedad de la información efectuada a menores conforme el 8 del RGPD (consentimiento de menores en relación a los SSI).

Se hace también referencia expresa al “Derecho al olvido”. Es decir, a la manifestación del derecho de supresión en Internet. De manera que cuando el responsable de tratamiento haya publicado datos personales que han dejado de ser útiles o necesarios para la finalidad en que fueron recabados y reciba solicitudes de supresión de interesados adoptará las medias razonables para informar a los responsables que estén tratando dichos datos personales de que existe una solicitud de supresión del interesado que afecta tanto a enlaces, como a cualquier copia o réplica.

Derecho a la Retención o Bloqueo.

Si bien no hay una mención expresa al bloqueo de datos, si se establece en el art. 17 y considerando 65 una mención a la posible retención de los datos por parte del responsable de tratamiento o excepciones al derecho de supresión. Así se señala que, aunque los datos dejen de ser útiles o necesarios o el interesado retire el consentimiento para el tratamiento, cuando el tratamiento es necesario para:

El ejercicio de las libertades de expresión e información
El Cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros.
Tratamiento para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable.
Razones de interés público en el ámbito de la salud pública.
Fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, en la medida en que el derecho pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento
Formulación, ejercicio o defensa de reclamaciones.

PREGUNTAS FRECUENTES:

¿Es posible realizar un bloqueo de datos por responsabilidades nacidas del tratamiento de datos solo durante los plazos legales establecidos de responsabilidad según el apartado 17.3 b RGPD?

El plazo para el ejercicio de las acciones legales de responsabilidad que se establecen en la ley Española es la que efectivamente nos permitiría realizar una conservación o bloqueo de datos personales, y por tanto conservarlos durante el plazo de prescripción de dichas acciones. Sin embargo, pueden existir otros supuestos de conservación, como los establecidos en el art. 17.3 e): formulación, ejercicio o defensa de reclamaciones etc. En algún caso podría incluso surgir un conflicto en relación a la información facilitada al interesado sobre el plazo de conservación, ya que podría producirse un incumplimiento si transcurrido dicho plazo los datos se siguen conservando para el ejercicio o defensa de reclamaciones. En estos casos de posible conflicto, la conclusión a la que llegamos, es que si una ley obliga a dicha conservación, o si se ha informado al interesado de la posibilidad de conservar los datos personales para el ejercicio de acciones, los mismos podrían ser conservados y por tanto bloqueados únicamente para el ejercicio de dichas acciones de responsabilidad existentes (17.3 b) o para la formulación o atención a las reclamaciones (17.3 e).

¿Qué cambios introduce el RGPD en el actual procedimiento de cancelación/bloqueo?

Desde un punto de vista práctico, el RGPD no introduce grandes cambios, puesto que se permite conservar los datos para atender a posibles reclamaciones. Por tanto, será posible conservar los datos o mantenerlos bloqueados para atender a las reclamaciones que puedan surgir en función de la responsabilidad de dichos tratamientos. Si bien no se hace mención a ello específicamente, entendemos que no permitir dicho bloqueo con conservación podría producir una situación de indefensión al Responsable si tiene que eliminarlos o borrarlos y luego no puede presentarlos como prueba en procedimientos judiciales. En todo caso lo que, sí sería necesario de regular es el procedimiento por el que se procede al bloqueo para garantizar que dichos datos no serán tratados con otras finalidades y que por tanto únicamente se accederá a ellos para la atención de dichas responsabilidades surgidas del tratamiento.

CONCLUSIONES

La supresión se producirá cuando dejen de ser necesarios para la finalidad en que fueron recabados, se retire el consentimiento, el interesado se oponga, lo establezca la ley, en supuestos de menores y SSI, y cuando han sido tratados ilícitamente.
Se permite conservar los datos para el ejercicio o defensa de reclamaciones.

2.5 DERECHO DE LIMITACIÓN DEL TRATAMIENTO

El derecho a la limitación viene regulado en los art. 18 y considerando 67 del RGPD.

Artículo 18: Derecho a la limitación del tratamiento

El interesado tendrá derecho a obtener del responsable del tratamiento la limitación del tratamiento de los datos cuando se cumpla alguna de las condiciones siguientes:

el interesado impugne la exactitud de los datos personales, durante un plazo que permita al responsable verificar la exactitud de los mismos;

b) el tratamiento sea ilícito y el interesado se oponga a la supresión de los datos personales y solicite en su lugar la limitación de su uso;

c) el responsable ya no necesite los datos personales para los fines del tratamiento, pero el interesado los necesite para la formulación, el ejercicio o la defensa de reclamaciones;

d) el interesado se haya opuesto al tratamiento en virtud del artículo 21 (Derecho de oposición), apartado 1, mientras se verifica si los motivos legítimos del responsable prevalecen sobre los del interesado.

Cuando el tratamiento de datos personales se haya limitado en virtud del apartado 1, dichos datos solo podrán ser objeto de tratamiento, con excepción de su conservación, con el consentimiento del interesado o para la formulación, el ejercicio o la defensa de reclamaciones, o con miras a la protección de los derechos de otra persona física o jurídica o por razones de interés público importante de la Unión o de un determinado Estado miembro.

Todo interesado que haya obtenido la limitación del tratamiento con arreglo al apartado 1 será informado por el responsable antes del levantamiento de dicha limitación.

Alcance

El derecho a la limitación del dato personal establece un derecho a que los datos sean marcados de tal manera que se evite por parte del responsable un tratamiento en un futuro.

Art.4. Definiciones

3) «limitación del tratamiento»: el marcado de los datos de carácter personal conservados con el fin de limitar su tratamiento en el futuro;

Si bien en nuestra normativa de protección de datos establecía que el bloqueo era una consecuencia derivada de la cancelación, en el caso de la limitación es un derecho en sí mismo considerado. De tal manera que el responsable de tratamiento deberá limitar el mismo en determinados supuestos:

Impugnación de exactitud de datos, durante el plazo que se permite al responsable verificar la misma.
Tratamientos ilícitos en los que el interesado se opone a la supresión.
Los datos ya no son necesarios para la finalidad del tratamiento pero el interesado los necesita para la formulación, el ejercicio o la defensa de reclamaciones.
Oposición conforme al art. 21 del RGPD.

Modo

En los supuestos contemplados de limitación, los datos sólo podrán ser objeto de tratamiento para:

Su conservación.
Con el consentimiento del interesado.
Para la formulación, el ejercicio o defensa de reclamaciones.
Para la protección de los derechos de la persona física o jurídica
Por razones de interés público de la UE o Estados miembros.

Los interesados que obtengan la limitación de sus datos deberán ser informados por los responsables antes del levantamiento de dicha limitación.

Por último, el considerando 67 establece qué métodos son aconsejables para la limitación del tratamiento.

Entre los métodos para limitar el tratamiento de datos personales cabría incluir los consistentes en trasladar temporalmente los datos seleccionados a otro sistema de tratamiento, en impedir el acceso de usuarios a los datos personales seleccionados o en retirar temporalmente los datos publicados de un sitio internet. En los ficheros automatizados la limitación del tratamiento debe realizarse, en principio, por medios técnicos, de forma que los datos personales no sean objeto de operaciones de tratamiento ulterior ni puedan modificarse. El hecho de que el tratamiento de los datos personales esté limitado debe indicarse claramente en el sistema.

PREGUNTAS FRECUENTES:

¿El derecho en la limitación del tratamiento debe ser solicitado expresamente por el interesado o es una medida que deberá adoptar directamente el responsable del tratamiento cuando concurran los supuestos del art. 18.1?

El derecho en la limitación del tratamiento se concibe, más bien, como una verdadera obligación del responsable del tratamiento.

Cuando un interesado me solicite suprimir sus datos y pueda hacerlo porque ya no sean necesarios por ninguna causa, contractual, legal…. ¿Podría anonimizarlos en lugar de borrarlos de mis Sistemas?

Con la anonimización de los datos personales ya no es aplicable la normativa de protección de datos, de tal modo que la opción de anonimización en lugar de borrado es altamente recomendable.

Según el art. 18 RGPD el interesado tendrá derecho a obtener del responsable de Tratamiento la limitación del tratamiento de datos, en unos supuestos determinados; ¿pero esta limitación opera por defecto o como un derecho del interesado, éste debe solicitarla?

En los apartados b) y c) del art 18, está claro que el interesado ejercita el derecho cuando se opone a la supresión de los datos y solicita la limitación de uso o cuando le manifiesta al responsable que limite el tratamiento porque los necesita para reclamaciones.

En cambio, en los apartados a) y d) surge la duda de si debe operar por defecto o debe ser solicitado por el interesado:

Cuando el interesado impugne la exactitud de los datos, el responsable deberá limitar el tratamiento, por tanto, es consecuencia del interesado.

Cuando el tratamiento es lícito y el interesado se opone a la supresión, en este caso también nace del interesado.

En conclusión, más que una solicitud como tal del interesado, se viene entendiendo que la limitación en el tratamiento es una obligación del responsable ante determinadas actuaciones del interesado, conforme dicta el art. 18.

CONCLUSIONES

La limitación se debe de realizar por el responsable cuando el interesado impugne la exactitud de los datos, haya ejercitado el derecho de oposición, el tratamiento es ilícito y el interesado se opone a la supresión, y aunque los datos no son necesarios el interesado los necesita para su defensa ante reclamaciones.