Con la nueva normativa de protección de datos, los conocidos derechos ARCO (Acceso, Rectificación, Cancelación y Oposición), que tienen los titulares de los datos frente al tratamiento de sus datos por parte de terceros, sufren algunas modificaciones.
Así, los derechos de los interesados pasan a formularse de la siguiente forma:
Derecho de acceso
El artículo 15 del Reglamento General de Protección de Datos (RGPD) reconoce el derecho de acceso del interesado a sus datos personales. Así, el precitado artículo en su apartado primero establece:
El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
a) los fines del tratamiento;
b) las categorías de datos personales de que se trate;
c) los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros u organizaciones internacionales;
d) de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
e) la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
f) el derecho a presentar una reclamación ante una autoridad de control;
g) cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
h) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado.
Como novedad, respecto a la normativa anterior es que se incluye la posibilidad de que el interesado pueda obtener una copia de sus datos personales objeto de tratamiento.
Derecho de rectificación
El artículo 16 del RGPD reconoce el derecho de rectificación que tiene el interesado a pedir al responsable del tratamiento que, sin dilación indebida, rectifique aquellos datos erróneos o inexactos. Así el precitado artículo recoge:
El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la rectificación de los datos personales inexactos que le conciernan. Teniendo en cuenta los fines del tratamiento, el interesado tendrá derecho a que se completen los datos personales que sean incompletos, inclusive mediante una declaración adicional.
Respecto de este derecho no se producen cambios en relación a la normativa anterior.
Derecho de supresión (Derecho al olvido)
El artículo 17 del RGPD recoge el derecho de supresión, o popularmente conocido como el derecho al olvido, que no es otro derecho que el del borrado o cancelación de los datos en el ámbito online.
Así el artículo 17.1 del RGPD establece:
El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
a) los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
b) el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
c) el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
d) los datos personales hayan sido tratados ilícitamente;
e) los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
f) los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1.
Este es un derecho reconocido desde hace tiempo por la jurisprudencia europea, concretamente por el Tribunal de Justicia de la Unión Europea en el caso de Google Spain, y que reconoce el derecho al olvido como «la manifestación de los derechos de cancelación u oposición en el entorno online«.
Derecho a la limitación del tratamiento
El artículo 18 del RGPD reconoce el derecho a la limitación del tratamiento a solicitud del interesado y supone la no aplicación de sus datos personales a determinadas operaciones. Así, el precitado artículo en su primer apartado establece:
El interesado tendrá derecho a obtener del responsable del tratamiento la limitación del tratamiento de los datos cuando se cumpla alguna de las condiciones siguientes:
a) el interesado impugne la exactitud de los datos personales, durante un plazo que permita al responsable verificar la exactitud de los mismos;
b) el tratamiento sea ilícito y el interesado se oponga a la supresión de los datos personales y solicite en su lugar la limitación de su uso;
c) el responsable ya no necesite los datos personales para los fines del tratamiento, pero el interesado los necesite para la formulación, el ejercicio o la defensa de reclamaciones;
d) el interesado se haya opuesto al tratamiento en virtud del artículo 21, apartado 1, mientras se verifica si los motivos legítimos del responsable prevalecen sobre los del interesado.
La situación más habitual en la que puede producirse el ejercicio de este derecho es cuando el interesado no quiere que se utilicen sus datos personales, pero no quiere que se borren porque precisa de esa información, de esos datos, para poder interponer una reclamación o ejercer algún derecho.
Derecho a la portabilidad de los datos
El artículo 20 del RGPD reconoce un nuevo derecho a favor del interesado. El derecho a la portabilidad de sus datos personales que consiste, básicamente, en que el interesado pueda solicitar que sus datos personales se pasen de forma completa y estructurada de un responsable del tratamiento a otro directamente, sin que él tenga que recogerlos de un responsable y llevarlos al nuevo responsable del tratamiento.
Así, el artículo 20.1 del RGPD establece:
El interesado tendrá derecho a recibir los datos personales que le incumban, que haya facilitado a un responsable del tratamiento, en un formato estructurado, de uso común y lectura mecánica, y a transmitirlos a otro responsable del tratamiento sin que lo impida el responsable al que se los hubiera facilitado, cuando
a) el tratamiento esté basado en el consentimiento con arreglo al artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), o en un contrato con arreglo al artículo 6, apartado 1, letra b), y
b) el tratamiento se efectúe por medios automatizados.
Una situación en la que puede darse el ejercicio de este derecho de forma habitual es ante un cambio de clínica privada por ejemplo, donde el interesado podría solicitar que su historial médico sea enviado directamente desde la antigua clínica a la nueva.
Derecho de oposición
El artículo 21 del RGPD reconoce el derecho de oposición al tratamiento de los datos personales.
Así, el artículo 21.1 del RGPD establece:
El interesado tendrá derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular, a que datos personales que le conciernan sean objeto de un tratamiento basado en lo dispuesto en el artículo 6, apartado 1, letras e) o f), incluida la elaboración de perfiles sobre la base de dichas disposiciones. El responsable del tratamiento dejará de tratar los datos personales, salvo que acredite motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses, los derechos y las libertades del interesado, o para la formulación, el ejercicio o la defensa de reclamaciones.
Sobre este derecho no se han producido novedades respecto a la normativa anterior.