Los derechos del interesado

El derecho de acceso es la puerta de entrada de todos los demás: el interesado tiene derecho a acceder a sus datos personales y, además, a que se le facilite información sobre el tratamiento que se está haciendo con ellos. Sin saber qué tienen sobre uno, no hay forma de pedir que lo corrijan o lo borren.

El derecho de rectificación es su continuación natural: permite corregir los datos inexactos, y el responsable debe atenderlo sin dilación indebida. Esa expresión no fija un número de días, fija un mandato de inmediatez: se hace en cuanto se puede, no cuando conviene.

Acceso y rectificación son los dos derechos que se apoyan directamente en el principio de exactitud: primero se ve qué hay, después se corrige lo que está mal.

El derecho de supresión, popularizado como derecho al olvido, permite al interesado obtener que sus datos personales se supriman sin dilación indebida. Es el más contundente de los seis: cuando procede, el dato desaparece.

El derecho a la limitación del tratamiento es más sutil y por eso se falla más. No borra nada: permite al interesado obtener del responsable que el tratamiento de los datos quede limitado. El dato sigue existiendo, pero queda congelado, marcado para que no se use mientras dura la limitación.

Limitar no es borrar. Es la confusión más habitual entre los dos derechos y la que más se explota en las preguntas.

El derecho a la portabilidad de los datos permite al interesado recibir sus datos personales en un formato estructurado, de uso común y de lectura mecánica. Los tres adjetivos van juntos y significan algo muy concreto: no vale entregarle una foto o un papel escaneado, tiene que ser un archivo que otra empresa pueda leer con una máquina.

El derecho de oposición permite oponerse a que sus datos personales sean objeto de tratamiento, incluida la elaboración de perfiles. Esa mención expresa a los perfiles no es decorativa: la publicidad segmentada y la puntuación automática de clientes son justo el terreno donde este derecho se ejerce.

Portabilidad mira hacia fuera (llevarse los datos a otro sitio); oposición mira hacia dentro (que aquí dejen de usarlos).

La Ley Orgánica 3/2018 añade dos exigencias prácticas que valen para los seis derechos. La primera es que los medios para que el interesado los ejerza deben ser fácilmente accesibles: no vale esconder el formulario. La segunda es que serán gratuitas las actuaciones que lleve a cabo el responsable del tratamiento para atender esas solicitudes.

La regla mnemotécnica para no dejarse ninguno es PARSOL: Portabilidad, Acceso, Rectificación, Supresión, Oposición y Limitación.

El Reglamento añade el plazo: el responsable informa de lo hecho en el plazo de un mes desde la solicitud, prorrogable otros dos meses si la complejidad o el número de solicitudes lo exigen, avisando al interesado de la prórroga dentro del primer mes.

No siempre son los propios afectados quienes entregan sus datos: a veces llegan de un tercero, de una fuente accesible al público o de otra empresa del grupo. Cuando los datos personales no se han obtenido del afectado, la información que hay que darle incluye, además de lo habitual, las fuentes de las que proceden los datos.

Tiene sentido si se piensa desde el lado del ciudadano: si nunca dio sus datos a esa empresa, lo primero que quiere saber es de dónde los ha sacado. Sin esa información no puede reclamar en el origen.