Tus derechos sobre tus datos personales (RGPD): guía completa

Cada vez que te registras en un servicio, compras en línea o rellenas un formulario, una organización pasa a tratar tus datos personales. La normativa de protección de datos no te deja sin herramientas frente a ellas: te permite ejercer una serie de derechos ante quien los trata. Esta guía recorre esos derechos tal como los describe la Agencia Española de Protección de Datos (AEPD): qué son, cuándo se aplican, cómo se ejercen, qué plazos menciona la Agencia y qué puedes hacer si no te responden.

Nos basamos solo en siete páginas de la AEPD, citadas al final. Cuando una fuente no precisa un punto, lo decimos en lugar de rellenarlo. La página sobre el derecho de acceso, la de portabilidad, la de decisiones individualizadas y la de derecho al olvido en buscadores no forman parte de este material, así que no las detallamos.

Qué hacer primero

Si tienes prisa y quieres saber por dónde empezar, estos son los pasos en el orden que se desprende de las páginas de la AEPD:

1. Identifica quién trata tus datos. Los derechos se ejercen ante el responsable del tratamiento.
2. Decide qué derecho encaja con lo que quieres: ver tus datos, corregirlos, borrarlos, frenar un uso concreto o congelarlos mientras se aclara algo.
3. Busca los medios que el responsable debe ofrecerte para ejercer tus derechos. La AEPD dice que está obligado a informarte de ellos.
4. Redacta tu solicitud. La AEPD publica formularios para varios derechos, y puedes usarlos como punto de partida.
5. Guarda una copia de lo que envías y de la respuesta que recibas. Te servirá como prueba si más adelante tienes que reclamar.
6. Espera la respuesta dentro del plazo que indica la AEPD. Si no atienden tu solicitud, existe la vía de la reclamación ante la Agencia.

Los apartados siguientes desarrollan cada paso.

Los derechos que reconoce la normativa

La página «Ejerce tus derechos» resume el conjunto: la normativa de protección de datos permite que puedas ejercer ante el responsable del tratamiento tus derechos de acceso, rectificación, oposición, supresión («derecho al olvido»), limitación del tratamiento, portabilidad y de no ser objeto de decisiones individualizadas.

Dicho en lenguaje cotidiano:

• Acceso: pedir al responsable que te dé acceso a los datos que tiene sobre ti.
• Rectificación: pedir que se corrijan o completen datos inexactos o incompletos.
• Supresión: pedir que se borren tus datos cuando se da alguna de las circunstancias que la AEPD enumera.
• Oposición: pedir que dejen de tratar tus datos en los supuestos que describe la Agencia.
• Limitación del tratamiento: pedir que se suspenda el tratamiento o que se conserven tus datos en casos concretos.
• Portabilidad y no ser objeto de decisiones individualizadas: dos derechos que la AEPD cita junto a los anteriores y que cuentan con páginas propias, que quedan fuera de esta guía.

Una precisión de vocabulario: el responsable del tratamiento es la persona o la organización que decide para qué y cómo se usan tus datos.

Reglas comunes a todos los derechos

La página «Ejerce tus derechos» enumera una serie de características que valen para este conjunto de derechos. Conviene conocerlas antes de escribir a nadie, porque son las que te dan margen de maniobra.

Es gratuito

Según la AEPD, el ejercicio de estos derechos es gratuito. Eso significa que no deberías tener que pagar por pedir acceso, corrección, supresión u oposición.

Hay una excepción que la Agencia describe con claridad. Si las solicitudes son manifiestamente infundadas o excesivas, y pone como ejemplo el carácter repetitivo, el responsable puede hacer una de dos cosas: cobrar un canon proporcional a los costes administrativos soportados, o negarse a actuar. La página no concreta importes ni cuántas solicitudes se consideran repetitivas, y tampoco lo haremos nosotros.

Hay un plazo para responder

La AEPD indica que las solicitudes deben responderse en el plazo de un mes. Añade que, si se tiene en cuenta la complejidad y el número de solicitudes, se puede prorrogar el plazo otros dos meses más.

Conviene, por tanto, anotar la fecha en que envías la solicitud. Con ella sabrás cuándo vence el primer mes y podrás comprobar si te han respondido a tiempo.

El responsable debe decirte cómo ejercer tus derechos

El responsable está obligado a informarte sobre los medios para ejercitar estos derechos. La AEPD añade dos matices importantes para ti:

• Esos medios deben ser accesibles.
• No se puede denegar el derecho por el solo motivo de que optes por otro medio.

La segunda idea es útil en la práctica. Si la empresa te indica un canal pero tú le escribes por otro, no puede rechazar tu solicitud solo por eso, según lo que dice la Agencia. La página no detalla qué canales son válidos ni qué ocurre si el medio elegido es poco habitual, así que no entramos en ello.

Si no te dan curso, deben explicarlo

Si el responsable no da curso a tu solicitud, debe informarte, a más tardar en un mes, de las razones de su no actuación y de la posibilidad de reclamar ante una autoridad de control.

Puedes actuar tú o por medio de otra persona

La AEPD precisa que puedes ejercer los derechos directamente o por medio de tu representante legal o voluntario. La página no explica cómo se acredita esa representación, así que si necesitas hacerlo conviene consultar directamente a la Agencia o al responsable.

Derecho de supresión («derecho al olvido»)

La AEPD explica que puedes ejercerlo ante la persona responsable solicitando la supresión de tus datos de carácter personal cuando concurra alguna de las circunstancias que enumera.

Cuándo puedes pedir la supresión

Según la página de la AEPD, en estos casos:

• Si tus datos personales ya no son necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo.
• Si el tratamiento se ha basado en el consentimiento que prestaste y lo retiras, siempre que el tratamiento no se base en otra causa que lo legitime.
• Si te has opuesto al tratamiento al ejercer el derecho de oposición, en dos situaciones: cuando el responsable se basaba en el interés legítimo o en el cumplimiento de una misión de interés público y no han prevalecido otros motivos para legitimar el tratamiento, o cuando tus datos son objeto de mercadotecnia directa, incluida la elaboración de perfiles relacionada con ella.
• Si tus datos personales han sido tratados ilícitamente.
• Si deben suprimirse para cumplir una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable.
• Si los datos se han obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1, que regula las condiciones aplicables al tratamiento de datos de los menores en relación con esos servicios.

Fíjate en la primera idea: se trata de situaciones concretas, no de un permiso general para pedir el borrado de cualquier dato. Cuando redactes tu solicitud, te conviene indicar cuál de estos supuestos se da en tu caso.

La conexión con el «derecho al olvido»

La AEPD añade que el RGPD, al regular este derecho, lo conecta de cierta forma con el denominado «derecho al olvido». La consecuencia que describe es que, si el responsable del tratamiento ha hecho públicos datos personales, está obligado a indicar a los responsables que estén tratando esos datos que supriman todo enlace a ellos, o las copias o réplicas de tales datos.

La página no desarrolla cómo se aplica esto en un caso concreto ni cuánto tarda, de modo que no podemos decir más.

Un derecho que no es ilimitado

La Agencia advierte expresamente de que este derecho no es ilimitado. Puede ser factible no proceder a la supresión cuando el tratamiento sea necesario para:

• el ejercicio de la libertad de expresión e información;
• el cumplimiento de una obligación legal;
• el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
• razones de interés público en el ámbito de la salud pública;
• fines de archivo de interés público, fines de investigación científica o histórica o fines estadísticos;
• la formulación, el ejercicio o la defensa de reclamaciones.

Una respuesta que conserve parte de tus datos no es necesariamente incorrecta. Si te lo dicen, pide que te expliquen el motivo concreto.

Formulario

La página de supresión enlaza con un formulario para el ejercicio de este derecho. Lo vemos más abajo, en el apartado de modelos.

Derecho de oposición

La AEPD describe este derecho con una idea simple: puedes oponerte a que el responsable realice un tratamiento de tus datos personales en dos supuestos.

Tratamiento basado en una misión de interés público o en el interés legítimo

Si el tratamiento se basa en una misión de interés público o en el interés legítimo, incluida la elaboración de perfiles, el responsable dejará de tratar los datos. Hay dos salvedades que la página recoge: que acredite motivos imperiosos que prevalezcan sobre los intereses, derechos y libertades del interesado, o que el tratamiento sea necesario para la formulación, el ejercicio o la defensa de reclamaciones.

Dicho de otro modo, en este primer supuesto el responsable puede seguir tratando tus datos si demuestra esos motivos. La carga de acreditarlos recae en él, según la formulación de la Agencia.

Mercadotecnia directa

Cuando el tratamiento tiene como finalidad la mercadotecnia directa, incluida también la elaboración de perfiles antes citada, la regla es más directa. Según la página, una vez ejercitado este derecho para esta finalidad, los datos personales dejarán de ser tratados para dichos fines.

En este supuesto la página no menciona excepciones comparables a las del primero. Es, por tanto, el derecho al que acudir si lo que quieres es dejar de recibir comunicaciones comerciales basadas en tus datos, siempre dentro de lo que dice la fuente. La página no detalla qué tipos de comunicaciones comerciales se incluyen ni cómo se comprueba el cese.

Oposición y supresión

Como vimos, la AEPD incluye entre los supuestos de supresión el de haberte opuesto al tratamiento en los dos casos descritos. La oposición puede ser, por tanto, un paso previo a pedir la supresión.

Derecho de rectificación

Aquí la AEPD es muy concreta. El ejercicio de este derecho supone que podrás obtener la rectificación de tus datos personales que sean inexactos sin dilación indebida del responsable del tratamiento. Además, teniendo en cuenta los fines del tratamiento, tienes derecho a que se completen los datos personales que sean incompletos, inclusive mediante una declaración adicional.

Qué debe incluir tu solicitud

La Agencia es la única de las páginas que da indicaciones sobre el contenido de la solicitud:

• Debes indicar a qué datos te refieres.
• Debes indicar la corrección que hay que realizar.
• Cuando sea necesario, debes acompañar la solicitud de la documentación que justifique la inexactitud o el carácter incompleto de tus datos.

Ten presente la expresión «cuando sea necesario». La página no enumera qué documentos valen en cada caso, de modo que la decisión sobre qué adjuntar es tuya y depende de lo que quieras corregir.

Como en los otros derechos, hay un formulario específico para pedir la rectificación.

Derecho a la limitación del tratamiento

La AEPD presenta este derecho como la posibilidad de que obtengas la limitación del tratamiento de tus datos que realiza el responsable. La página señala que su ejercicio presenta dos vertientes. La primera es la suspensión del tratamiento y la segunda es la conservación de los datos.

Pedir la suspensión del tratamiento

Puedes solicitar la suspensión del tratamiento de tus datos en dos situaciones:

• Cuando impugnes la exactitud de tus datos personales, durante un plazo que permita al responsable su verificación.
• Cuando te hayas opuesto al tratamiento que el responsable realiza en base al interés legítimo o a una misión de interés público, mientras aquel verifica si esos motivos prevalecen sobre los tuyos.

En ambos casos, la lógica es la misma: mientras se aclara algo, el tratamiento se detiene. La página no concreta cuánto puede durar esa verificación más allá de hablar de un plazo que permita al responsable verificar.

Pedir que conserven tus datos

También puedes solicitar al responsable que conserve tus datos en dos situaciones:

• Cuando el tratamiento sea ilícito, te hayas opuesto a la supresión de tus datos y, en su lugar, solicites la limitación de su uso.
• Cuando el responsable ya no necesite los datos personales para los fines del tratamiento, pero tú los necesites para la formulación, el ejercicio o la defensa de reclamaciones.

El segundo supuesto es interesante porque va en sentido contrario al de la supresión: no pides que los borren, sino que no lo hagan todavía, porque te hacen falta.

La AEPD señala que se trata de un «nuevo derecho». También enlaza con un formulario para ejercerlo.

El derecho de acceso y otros derechos con página propia

La AEPD cita el derecho de acceso como primero de la lista de derechos en «Ejerce tus derechos», y su página de modelos incluye un formulario de solicitud específico. El contenido de la página de la Agencia dedicada a este derecho no forma parte del material que hemos podido consultar para esta guía, así que no detallamos qué información puedes obtener ni cómo se concreta la respuesta. Si quieres ejercerlo, parte del formulario de acceso y de las reglas comunes que ya hemos visto: gratuidad, plazo de un mes y obligación del responsable de informarte de los medios.

Lo mismo vale para la portabilidad y para el derecho a no ser objeto de decisiones individualizadas. La AEPD los cita en «Ejerce tus derechos» y la lista de formularios incluye uno para la portabilidad de los datos. Pero la descripción detallada de cada uno está en páginas propias de la Agencia que no hemos usado aquí. Si te interesan, consúltalas directamente.

Los formularios de la AEPD

La página «Modelos y formularios» recoge, bajo el epígrafe «Formularios de solicitudes para el ejercicio de los derechos», seis formularios de solicitud, uno por derecho:

• derecho de acceso;
• derecho de rectificación;
• derecho de oposición;
• derecho de supresión;
• derecho a la limitación del tratamiento;
• derecho a la portabilidad de los datos.

Esa página lista además modelos pensados para organizaciones (cláusulas informativas, registro de actividades y cartel de videovigilancia), que no sirven para ejercer tus derechos como particular.

Cómo usar un formulario

Lo que la fuente permite afirmar es limitado: la AEPD ofrece estos formularios en su web y las páginas de cada derecho enlazan con el correspondiente. No hemos reproducido el contenido de los formularios, porque la página de modelos es solo una lista y no lo incluye. Para rellenarlos, descárgalos desde la web de la AEPD.

Dos recordatorios, que salen de las reglas comunes:

• El formulario se dirige al responsable del tratamiento, no a la AEPD.
• La AEPD no dice que sea obligatorio usarlo. Dice que el responsable debe informarte de los medios para ejercer tus derechos y que no puede denegarte el derecho solo porque elijas otro medio.

Qué hacer si no atienden tu solicitud

Si el responsable no da curso a tu solicitud, debe informarte de las razones y de la posibilidad de reclamar ante una autoridad de control, como vimos en las reglas comunes. En España, esa autoridad es la AEPD.

La página de preguntas frecuentes de la Agencia sobre reclamaciones prevé un enlace específico de la sede electrónica para el caso de una solicitud de derechos no atendida. Las fuentes que hemos usado no detallan qué documentación hay que adjuntar ni los plazos del procedimiento, así que consulta la sede electrónica de la AEPD antes de presentarla.

Otras reclamaciones relacionadas con tus datos

La AEPD tiene también una página general sobre cómo interponer una reclamación si han vulnerado tus datos de carácter personal. Explica que, si dispones de pruebas o indicios que acrediten la vulneración de tu derecho a la protección de datos, puedes presentar una reclamación a través de la sede electrónica, con enlaces distintos según el motivo:

• si has sido incluido en un fichero de morosidad o te reclaman deudas;
• si se trata de publicidad no deseada (y, si la recibes por vía telefónica, la Agencia aconseja consultar los casos en los que puede actuar);
• si se trata de una solicitud de derechos no atendida;
• si se trata de cámaras de videovigilancia;
• para otras cuestiones.

La página añade que las reclamaciones se presentan preferentemente de forma telemática, con el formulario de reclamación de la sede electrónica, y remite a una resolución de la AEPD para consultar la información que debe incluirse en cada supuesto.

Para el caso que nos ocupa en esta guía, el que importa es el de la solicitud de derechos no atendida.

Cómo elegir el derecho adecuado

Pregúntate qué quieres conseguir y qué página de la AEPD se ajusta a ello:

• Si quieres corregir un dato erróneo o incompleto, el camino es la rectificación.
• Si quieres que se borren tus datos porque ya no son necesarios, porque retiraste tu consentimiento o porque el tratamiento es ilícito, el camino es la supresión.
• Si quieres que dejen de usar tus datos para mercadotecnia directa, el camino es la oposición.
• Si quieres que se detenga el tratamiento mientras se verifica algo, o que conserven tus datos porque los necesitas para una reclamación, el camino es la limitación.
• Si quieres saber qué datos tienen sobre ti, el camino es el acceso.

Puedes combinar derechos: como hemos visto, la oposición puede conducir a la supresión. Cuando escribas, di cuál de las circunstancias que enumera la AEPD se da en tu caso.

Dónde encaja el análisis gratuito de Remove Me

Antes de ejercer un derecho conviene saber qué datos tuyos están a la vista. Remove Me ofrece un análisis gratuito, sin cuenta: introduces tus datos y el servicio busca resultados visibles en la web pública, filtraciones de datos conocidas (a través de Have I Been Pwned) y un registro de intermediarios de datos (data brokers), y después muestra un informe. El informe se desbloquea con un código de 6 dígitos enviado por correo electrónico. Remove Me no envía todavía solicitudes de supresión en tu nombre: las solicitudes que se describen en esta guía las presentas tú.

Lo que las fuentes no precisan

Para que no te lleves una idea más completa de la que ofrecen las páginas, estos son los puntos que la AEPD no detalla en el material que hemos usado:

• No indica cuánto tiempo concreto puede durar la verificación en la limitación del tratamiento.
• No enumera qué documentos hay que adjuntar para justificar una rectificación, más allá de la expresión «cuando sea necesario».
• No explica cómo se acredita la representación legal o voluntaria.
• No concreta cuándo una solicitud se considera excesiva o repetitiva, ni el importe del canon.
• No dice si el uso de sus formularios es obligatorio.
• No describe el contenido de la información que puedes obtener con el derecho de acceso, ni desarrolla la portabilidad ni las decisiones individualizadas en las páginas utilizadas.
• No fija en estas páginas el plazo que tarda la AEPD en resolver una reclamación.

Si alguno de estos puntos es decisivo en tu caso, consulta directamente a la AEPD o al responsable del tratamiento.