Compartimos interesante artículo de Dª. Victoria Hernández Turiel, abogada y politóloga. Especialista en derecho de nuevas tecnologías. Experta en protección de datos, comercio electrónico y propiedad intelectual e industrial.
Este articulo hace referencia a la forma de ejercicio de los derechos de carácter personal en el seno del RGPD, abordándose las cuestiones generales sobre el ejercicio de dichos derechos, las cuales están reguladas en el artículo 12 del RGPD.
Como se comentó en otra entrada relativa a los derechos otorgados por el Reglamento General de Protección de datos en relación con los datos de carácter personal, titulado Nuevos derechos ARCO ¿Qué son y cuáles son las novedades que introduce el RGPD?, en un inicio la Directiva de Protección de Datos otorgaba cuatro derechos (Acceso, Rectificación, Cancelación y Oposición), que fueron ampliados a seis con el RGPD (Acceso, Rectificación, Supresión, Oposición, Limitación y Portabilidad), los cuales son conocidos como “nuevos Derechos ARCO”.
En consecuencia, el Reglamento refuerza el contenido de los clásicos derechos ARCO, y reconoce otros nuevos. Pero, además de regular nuevos derechos, el Reglamento también modifica el procedimiento para ejercitar los derechos, cuestión que se revisa en el presente artículo.
El RGPD retoma los principios que estaban vigentes en cuanto al ejercicio de los derechos de carácter personal con la LOPD y el RLOPD. Los principios más relevantes se podrían sintetizar en seis.
En primer lugar, cabe el ejercicio de los derechos tanto directo como por medio de representante ya sea este legal o voluntario.
En segundo lugar, hay obligación informar al interesado sobre los medios definidos por el responsable de protección de datos para el ejercicio de sus derechos.
En tercer lugar, se mantiene el principio de elección por el afectado del medio por el que ejercitar sus derechos.
En cuarto lugar, nos encontramos con la prohibición de denegación del ejercicio de los derechos, es decir, el órgano encargado de permitir el ejercicio de los derechos del Reglamento no puede negarse a la tramitación del derecho solicitado.
En quinto lugar, la posibilidad de externalización a un encargado del tratamiento como parte del encargo, la carga de la prueba recae sobre el responsable (lo cual es debido a que el RGPD entiende que el responsable es la parte fuerte y el ciudadano la débil pues es el que vio afectados sus derechos de carácter personal).
En sexto, la aplicación de las normas específicas para tratamientos concretos.
En último lugar, la gratuidad del ejercicio de los derechos con las excepciones previstas en el RGPD, puesto que en ciertos casos en los que se considere que la petición del afectado es excesiva, injustificada o demasiado repetitiva, entonces se puede plantear la necesidad de cobrar al afectado una tasa por la tramitación del procedimiento.
Adicionalmente, el nuevo RGPD incorpora un nuevo sujeto dentro de los legitimados activamente en el ejercicio de los nuevos derechos ARCO del RGPD, pues legitima a los titulares de la patria potestad o a los tutores legales de menores que no puedan consentir el tratamiento por sí mismos.
En cuanto a los aspectos procesales, en el RGPD se establece un procedimiento general para el ejercicio de los derechos, no obstante, cuando haya un procedimiento especial para ejercitar ese derecho y satisfacer así la necesidad de resarcimiento del afectado, no se aplican las normas procedimentales contenidas en el Reglamento para la tramitación de las solicitudes relacionadas con el ejercicio de los derechos de carácter personal.
En el caso de que haya un procedimiento especial, por ejemplo, en vía administrativa, tendremos que recurrir primero al mismo. Es decir, si en el Registro de Bienes Inmuebles figura que soy titular de un inmueble y no es cierto, en primer lugar tendré que pedir la cancelación del asiento, por lo que no podré ejercitar el derecho de cancelación del tratamiento. En consecuencia, únicamente si el registro no procede a cancelar el asiento, se podrá solicitar la cancelación del tratamiento de datos.
Con respecto al supuesto especifico de ejercicio de los derechos de cancelación y oposición en Internet, los formulados conjuntamente como “Derecho al olvido”, por ejemplo, frente a los motores de búsqueda en Internet, los derechos de cancelación y de oposición se pueden ejercer frente al buscador directamente, sin necesidad de dirigirse previa o simultáneamente al editor. Así lo declaró el Tribunal de Justicia de la Unión Europea, en la sentencia nº C- 131/12 del TJUE de 13 de mayo de 2014 en un asunto que enfrentó a Google y a la AEPD y a un particular, el señor Costeja. Además, matizó que, la actividad de los buscadores es distinta de la de los editores, pues conlleva una potencial injerencia grave en los derechos de las personas al permitir el acceso ubicuo a información personal, perfiles etc.
Esta sentencia, aunque recibió mucho respaldo, también fue objeto de numerosas críticas, pues se explicitaba que confería un derecho a reescribir su historia a voluntad del afectado en Internet, aunque no afectaba a la fuente de información, pues esta no se eliminaba de Internet por lo que seguía disponible. Solamente se bloqueaba el acceso a dicha información si era buscada por el nombre de la persona afectada, en consecuencia, solo se reduce la hiperaccesibilidad a la información al ser esta la causa de lesión a los derechos fundamentales.
En el caso concreto del derecho de acceso, que es el que suele plantear problemas prácticos en su ejercicio, el mismo implica que el responsable del tratamiento confirme el tratamiento o no tratamiento de los datos del interesado, así como que le permita acceder a todos los que figuren en el Registro de actividades de tratamiento que debe tener toda entidad que trate datos de carácter personal, debiéndosele facilitar una copia que puede ser en formato electrónico u otro de uso común.
Así mismo, el RGPD añade el derecho a que el responsable le facilite información complementaria (una suerte de metadatos, pues son datos respecto de los cuales también entiende el RGPD que hay que informar).
Para concluir, la información complementaria a facilitar es relativa a la siguiente: fines, categorías de datos, destinatarios o categorías de destinatarios a los que se comunican sus datos, plazo de conservación (o si no es posible los criterios utilizados para determinarlo), información sobre derechos de rectificación, supresión, limitación y oposición, así como del derecho a reclamar ante la autoridad, información sobre origen de los datos, la existencia de decisiones automatizadas, elaboración de perfiles (informando sobre la lógica aplicada y consecuencias para el interesado); transferencias internacionales y garantías entre otros ejemplos.
