Derechos del interesado

El mapa del tema

Los artículos 12 a 14 regulan transparencia e información; los artículos 15 a 20 reconocen acceso, rectificación, supresión, limitación y portabilidad; los artículos 21 y 22 establecen oposición y garantías frente a decisiones automatizadas; el artículo 23 contempla limitaciones legislativas. (art. 12)

Artículo 12: información clara y accesible

El responsable debe facilitar la información y las comunicaciones relativas al tratamiento de forma concisa, transparente, inteligible y fácilmente accesible, utilizando lenguaje claro y sencillo, especialmente cuando la información se dirija a un niño. (art. 12)

El responsable informará sobre sus actuaciones respecto de las solicitudes ejercitadas conforme a los artículos 15 a 22, en el plazo de un mes, prorrogable otros dos meses cuando sea necesario. (art. 12)

Artículo 13: información al obtener los datos

Cuando los datos personales se obtengan del interesado, el responsable facilitará en ese momento información sobre su identidad, fines del tratamiento, base jurídica, destinatarios y posibles transferencias internacionales. (art. 13)

La información inicial debe incluir los derechos de acceso, rectificación, supresión, limitación, oposición y portabilidad, además de la existencia de decisiones automatizadas y la información significativa sobre su lógica y consecuencias. (art. 13)

Artículo 14: datos no obtenidos del interesado

Si los datos no proceden del interesado, el responsable informará sobre la identidad del responsable, los fines y base jurídica, las categorías de datos, los destinatarios y las transferencias internacionales previstas. (art. 14)

La información sobre datos obtenidos indirectamente se facilitará dentro de un plazo razonable y, como máximo, en un mes, salvo que resulte aplicable el momento de la primera comunicación o transferencia. (art. 14)

Artículo 15: contenido del acceso

El derecho de acceso comprende la confirmación del tratamiento, los datos personales y la información sobre fines, categorías, destinatarios, conservación, derechos, reclamaciones, origen y decisiones automatizadas. (art. 15)

El responsable facilitará una copia de los datos personales objeto de tratamiento. Por copias adicionales puede percibir un canon razonable basado en los costes administrativos. (art. 15)

Artículo 16: rectificación

El interesado puede obtener sin dilación indebida la rectificación de los datos personales inexactos que le conciernan, atendiendo a los fines del tratamiento. (art. 16)

El derecho de rectificación incluye completar los datos personales incompletos, incluso mediante una declaración adicional, teniendo en cuenta las finalidades concretas del tratamiento. (art. 16)

Artículo 17: supresión de datos

El interesado puede obtener la supresión sin dilación indebida cuando los datos ya no sean necesarios, se retire el consentimiento, prospere la oposición, exista tratamiento ilícito u obligación legal de suprimir. (art. 17)

La supresión no procede cuando el tratamiento sea necesario para la libertad de expresión e información, obligaciones legales, salud pública, ciertos fines de investigación o reclamaciones. (art. 17)

Artículo 18: condiciones de limitación

El interesado puede solicitar la limitación si impugna la exactitud, el tratamiento es ilícito y rechaza la supresión, necesita los datos para reclamaciones o se opone mientras se ponderan motivos legítimos. (art. 18)

Durante la limitación, los datos solo podrán tratarse, además de conservarse, con consentimiento o para reclamaciones, protección de derechos ajenos o razones importantes de interés público. (art. 18)

Artículo 19: notificación a destinatarios

El responsable comunicará a cada destinatario la rectificación, supresión o limitación efectuada, salvo imposibilidad o esfuerzo desproporcionado, e informará al interesado sobre esos destinatarios si lo solicita. (art. 19)

El interesado puede solicitar que el responsable le informe acerca de los destinatarios a quienes se comunicaron las rectificaciones, supresiones o limitaciones realizadas. (art. 19)

Artículo 20: requisitos de portabilidad

La portabilidad exige que el tratamiento se base en consentimiento o contrato y que se efectúe por medios automatizados; los datos deben recibirse en formato estructurado, común y legible mecánicamente. (art. 20)

Al ejercer la portabilidad, el interesado tiene derecho a que sus datos se transmitan directamente de responsable a responsable cuando técnicamente sea posible, sin perjuicio del derecho de supresión. (art. 20)

Artículo 21: oposición por situación particular

El interesado puede oponerse por motivos relacionados con su situación particular a tratamientos basados en misión de interés público o en intereses legítimos, incluida la elaboración de perfiles. (art. 21)

Cuando el tratamiento tenga fines de mercadotecnia directa, el interesado puede oponerse en cualquier momento, incluida la elaboración de perfiles relacionada con dicha mercadotecnia, y los datos dejarán de tratarse para esos fines. (art. 21)

Artículo 22: prohibición de decisiones automatizadas

El interesado tiene derecho a no ser objeto de una decisión basada únicamente en tratamiento automatizado, incluida la elaboración de perfiles, cuando produzca efectos jurídicos o una afectación significativamente similar. (art. 22)

Cuando procedan decisiones automatizadas por contrato o consentimiento explícito, el responsable debe garantizar intervención humana, posibilidad de expresar el punto de vista e impugnación de la decisión. (art. 22)

Artículo 23: límites legislativos

El Derecho de la Unión o de los Estados miembros puede limitar mediante medidas legislativas obligaciones y derechos de los artículos 12 a 22 y 34, respetando derechos fundamentales y necesidad y proporcionalidad democráticas. (art. 23)

Las limitaciones pueden proteger, entre otros objetivos, la seguridad pública, la defensa, la investigación penal, intereses económicos importantes, la independencia judicial, los derechos ajenos o la ejecución de demandas civiles. (art. 23)

Trampas de examen

• La información y las actuaciones son gratuitas, pero ante solicitudes manifiestamente infundadas o excesivas el responsable puede cobrar un canon razonable o negarse a actuar, soportando la carga de demostrar ese carácter. (art. 12)
• El derecho de supresión no obliga siempre a borrar los datos: queda excluido cuando el tratamiento sea necesario para determinadas libertades, obligaciones, intereses públicos, investigación o reclamaciones. (art. 17)
• Ante tratamientos basados en misión pública o intereses legítimos, la oposición puede ceder si el responsable acredita motivos legítimos imperiosos que prevalezcan sobre los intereses, derechos y libertades del interesado. (art. 21)
• La portabilidad requiere consentimiento o contrato y tratamiento automatizado, y no se aplica al tratamiento necesario para una misión realizada en interés público o en ejercicio de poderes públicos. (art. 20)
• La prohibición de decisiones exclusivamente automatizadas no se aplica cuando la decisión sea necesaria para contrato, esté autorizada legalmente con garantías o se base en consentimiento explícito. (art. 22)

Chuleta final

• El plazo ordinario para informar sobre la actuación frente a una solicitud de derechos es de un mes desde su recepción; puede prorrogarse otros dos meses cuando sea necesario. (art. 12)
• La rectificación permite corregir datos inexactos y completar datos incompletos, siempre teniendo en cuenta los fines del tratamiento y sin dilación indebida. (art. 16)
• La limitación restringe el tratamiento de los datos, pero permite su conservación; los demás usos solo caben en los supuestos expresamente previstos en el artículo 18. (art. 18)
• La primera copia de los datos personales objeto de tratamiento debe facilitarse; por cualquier otra copia solicitada, el responsable puede percibir un canon razonable basado en costes administrativos. (art. 15)
• En mercadotecnia directa, la oposición puede ejercerse en todo momento y determina que los datos personales dejen de tratarse para esos fines. (art. 21)
• En los casos previstos de decisiones automatizadas por contrato o consentimiento explícito, el interesado debe poder obtener intervención humana, expresar su punto de vista e impugnar la decisión. (art. 22)
• La rectificación, supresión o limitación debe comunicarse a cada destinatario de los datos, excepto cuando hacerlo sea imposible o exija un esfuerzo desproporcionado. (art. 19)
• Cuando los datos no se obtuvieron del interesado, la información debe incluir la fuente de procedencia y, en su caso, si procede de fuentes de acceso público. (art. 14)

Preguntas frecuentes