Un cliente, un empleado o un candidato pueden pedir a la empresa que les informe de qué datos suyos trata, que los corrija o que los elimine. Estas solicitudes llegan por correo, formulario o incluso por mensajería, y deben atenderse dentro de plazo. Un descuido puede acabar en una reclamación ante la Agencia Española de Protección de Datos.
El plazo
El artículo 12.3 del Reglamento general de protección de datos obliga al responsable a facilitar al interesado información relativa a sus actuaciones sobre la base de una solicitud de los artículos 15 a 22 en el plazo de un mes a partir de la recepción. Ese plazo puede prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes.
La prórroga debe comunicarse al interesado dentro del primer mes, indicando los motivos de la dilación. No es una facultad automática.
Forma de la respuesta
Cuando el interesado presenta la solicitud por medios electrónicos, la información se facilitará por esos medios cuando sea posible. La respuesta debe ser concisa, transparente, inteligible y de fácil acceso, con lenguaje claro y sencillo.
Derechos que pueden ejercerse
Los artículos 15 a 22 regulan los derechos de acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición, así como el derecho a no ser objeto de decisiones individuales automatizadas. Cada uno tiene su alcance y sus excepciones, y no toda solicitud debe satisfacerse sin analizar.
Cómo organizar el procedimiento
Una empresa ordenada puede resolver estas solicitudes con facilidad si cuenta con:
- Un canal identificado para recibirlas, y una persona responsable.
- Un modelo interno de registro con fecha de recepción.
- Un procedimiento para verificar la identidad del solicitante.
- Un mapa de los sistemas en los que figuran datos personales.
- Plantillas de respuesta adaptables a cada derecho.
Errores frecuentes
El error más habitual es ignorar la solicitud o desviarla internamente hasta que vence el plazo. Otros son responder con información incompleta, atender solicitudes de terceros sin verificar su identidad o suprimir datos que debían conservarse por obligación legal.
Incumplimiento
La infracción de los derechos de los interesados se sitúa en el escalón superior del régimen de multas del artículo 83.5, que alcanza hasta 20 millones de euros o el cuatro por ciento del volumen de negocio anual global, la cuantía que sea mayor. Aunque en la práctica las sanciones a pymes son mucho más moderadas, conviene no minimizar el riesgo.
Registre cada solicitud el mismo día en que llega.
Este asunto se incluye en el servicio de protección de datos y compliance.
Carlos Babot Horcajadas
Abogado colegiado en Málaga, nº 10.971. Socio de Babot Aranguren Abogados. Más sobre el autor.