No atienden su derecho de supresión: la tutela ante la AEPD

El caso, en cinco líneas

Qué se ejercita

Reclamación de tutela de derechos ante la AEPD por la falta de atención de una solicitud de los artículos 15 a 22 del Reglamento, con reclamación civil de indemnización en paralelo cuando hay daño.

Ante quién

La AEPD resuelve la reclamación por falta de atención del derecho. La indemnización se reclama ante la sección de lo Civil del Tribunal de Instancia, conforme a la remisión del artículo 82 del Reglamento.

Plazo

El responsable tiene un mes desde la recepción de la solicitud, prorrogable otros dos solo si lo comunica dentro de ese mes con los motivos. Vencido, la reclamación ante la Agencia se resuelve en seis meses.

Quién puede

El interesado cuyos datos se tratan y que presentó la solicitud. No hace falta ser cliente ni tener relación vigente con el responsable en el momento de reclamar.

Riesgo económico

La tutela obliga a atender el derecho, pero no le compensa. Si además demanda la indemnización y no acredita el daño concreto, puede ver desestimada esa pretensión y cargar con las costas.

El mes del artículo 12 es lo que convierte su queja en un caso

El artículo 12 del Reglamento obliga al responsable a facilitarle información sobre sus actuaciones respecto de una solicitud de los artículos 15 a 22 en el plazo de un mes desde su recepción. Ese plazo puede prorrogarse otros dos meses por la complejidad o el número de solicitudes, pero solo si le informan de la prórroga dentro del primer mes y le indican los motivos de la dilación.

Y hay una obligación que se olvida siempre: si el responsable no da curso a la solicitud, debe informarle sin dilación y a más tardar transcurrido un mes de las razones de su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales. Callar no es una respuesta permitida, ni siquiera cuando la negativa habría sido correcta.

Por eso el vencimiento del mes es la frontera entre pedir algo y tener un caso. Antes de esa fecha usted es un solicitante esperando. Después es el titular de un derecho incumplido, con un plazo objetivo acreditado y con una reclamación que la Agencia debe resolver por un procedimiento específico. La estrategia consiste en llegar a esa frontera con la fecha bien documentada.

Pedir supresión a secas es a veces pedir lo que no procede

El artículo 17 obliga a suprimir sin dilación indebida cuando los datos ya no son necesarios para los fines, cuando se retira el consentimiento y no hay otra base, cuando prospera la oposición del artículo 21, cuando han sido tratados ilícitamente, cuando lo exige una obligación legal o cuando se obtuvieron en relación con la oferta de servicios de la sociedad de la información a menores.

Si el tratamiento se apoya en un interés legítimo, la puerta natural no es el artículo 17 sino el 21: usted puede oponerse en cualquier momento por motivos relacionados con su situación particular, y el responsable dejará de tratar los datos salvo que acredite motivos legítimos imperiosos que prevalezcan sobre sus intereses, derechos y libertades, o la formulación, el ejercicio o la defensa de reclamaciones.

Hay además un caso en el que la ley no admite discusión. Cuando el tratamiento tenga por objeto la mercadotecnia directa, el interesado tiene derecho a oponerse en todo momento, incluida la elaboración de perfiles relacionada con ella, y los datos dejarán de tratarse para esos fines. Sin ponderación, sin intereses imperiosos y sin más argumentos por parte de quien envía los correos.

El artículo 19 arrastra la supresión a quien recibió sus datos

Suprimir en la base de datos de quien le escribía no basta si sus datos habían viajado. El artículo 19 obliga al responsable a comunicar cualquier rectificación, supresión o limitación a cada uno de los destinatarios a los que se hayan comunicado los datos personales, salvo que sea imposible o exija un esfuerzo desproporcionado. Es una obligación de cadena, no de nodo.

El mismo artículo añade la pieza que le permite comprobarlo: el responsable informará al interesado acerca de dichos destinatarios si este así lo solicita. Conviene pedirlo expresamente en la solicitud inicial, porque la lista de destinatarios es lo que después explica por qué usted siguió recibiendo llamadas de una empresa a la que nunca dio sus datos.

Ese mismo bloque de derechos incluye una herramienta de información previa que casi nadie usa antes de reclamar: el artículo 15 le permite obtener confirmación de si se tratan sus datos y, en tal caso, acceso a ellos y a los fines, las categorías, los destinatarios, el plazo previsto de conservación, el origen cuando no los facilitó usted y la existencia de decisiones automatizadas.

Seis meses en la AEPD, y el silencio juega a su favor

El artículo 64 de la Ley Orgánica 3/2018 reserva un cauce propio para estos asuntos. Cuando el procedimiento se refiere exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos de los artículos 15 a 22 del Reglamento, el plazo para resolver es de seis meses a contar desde que se le notifica al reclamante que su reclamación sigue adelante.

Y la frase siguiente es la que importa: transcurrido ese plazo, el interesado podrá considerar estimada su reclamación. El silencio de la administración aquí no le perjudica, le da la razón. Eso cambia por completo la posición de negociación frente al responsable, que sabe que dejar correr el tiempo no le sirve de nada en este procedimiento concreto.

Conviene distinguir ese cauce del sancionador. Si el objeto es determinar la posible existencia de una infracción, la duración máxima es de doce meses desde el acuerdo de inicio, con caducidad y archivo al vencer, y existe además la posibilidad de que la Agencia dirija un apercibimiento con medidas correctivas en un procedimiento de seis meses. Son caminos distintos con lógicas distintas.

La tutela le devuelve el derecho; el dinero está en otro sitio

La reclamación ante la Agencia consigue que el responsable atienda lo que debió atender, y en su caso que responda de una infracción. Lo que no hace es indemnizarle a usted. Para eso está el artículo 82 del Reglamento, que reconoce a toda persona que haya sufrido daños materiales o inmateriales como consecuencia de una infracción el derecho a ser indemnizada por el responsable o el encargado.

El artículo reparte la carga de forma exigente para el infractor. Cualquier responsable que participe en la operación responde de los daños causados si la operación no cumple el Reglamento, y solo queda exento si demuestra que no es en modo alguno responsable del hecho que causó el daño. El encargado responde cuando incumplió obligaciones dirigidas específicamente a él o actuó al margen de las instrucciones legales del responsable.

Por eso las dos vías se abren en orden y no a la vez a ciegas. Primero la tutela, que fija con un pronunciamiento oficial que el derecho no fue atendido. Después, con ese documento y con la prueba del daño concreto, la reclamación civil de indemnización, que es la única que termina con una cantidad a su favor.

Cómo lo llevamos, paso a paso

1. 1

   Reconstruir la solicitud y su fecha exacta

   Se recupera el envío original, el canal utilizado y el acuse, y se comprueba si hubo comunicación de prórroga dentro del primer mes con indicación de motivos. De esa fecha depende que exista incumplimiento o solo impaciencia.

2. 2

   Elegir el derecho correcto, no el más sonoro

   Según la base del tratamiento, procede la supresión del artículo 17, la oposición del 21 o, si hay que ganar tiempo mientras se discute la exactitud, la limitación del 18. Un requerimiento final se dirige con la base correcta y un plazo cierto.

3. 3

   Pedir el acceso para ver el mapa completo

   El derecho de acceso permite conocer los fines, las categorías de datos, los destinatarios, el plazo de conservación, el origen y la existencia de decisiones automatizadas. Sin ese mapa la reclamación se queda en un correo no contestado.

4. 4

   Reclamar ante la AEPD vencido el mes

   La reclamación por falta de atención del derecho se presenta con la solicitud, el acuse y el cómputo del plazo. Debe resolverse en seis meses desde que se notifica al reclamante que sigue adelante, y transcurrido ese plazo puede considerarse estimada.

5. 5

   Comprobar el efecto en los destinatarios

   Se exige que la supresión o la limitación se comunique a cada destinatario al que se hubieran cedido los datos, salvo imposibilidad o esfuerzo desproporcionado, y se pide la lista de esos destinatarios para verificar que la cadena se ha cerrado.

6. 6

   Reclamar la indemnización si hubo daño

   Con el pronunciamiento de la Agencia y la prueba del perjuicio concreto se ejercita la acción del artículo 82 ante la vía civil, frente al responsable y, cuando proceda, frente al encargado que actuó fuera de las instrucciones recibidas.

La norma aplicable

• Art. 12 RGPD. Obliga a facilitar la información de forma concisa, transparente, inteligible y de fácil acceso, y a informar sobre las actuaciones derivadas de una solicitud de los artículos 15 a 22 en el plazo de un mes desde su recepción, prorrogable otros dos por complejidad o número de solicitudes si se comunica dentro del primer mes con los motivos. Si no se da curso a la solicitud, hay que informar en ese mes de las razones y de la posibilidad de reclamar ante una autoridad de control y de ejercitar acciones judiciales. Todo es gratuito salvo solicitudes manifiestamente infundadas o excesivas, cuya prueba corresponde al responsable, que también puede pedir información adicional ante dudas razonables sobre la identidad. 32016R0679
• Art. 17 RGPD. Obliga a suprimir sin dilación indebida cuando los datos ya no son necesarios para los fines, se retira el consentimiento sin otra base, prospera la oposición del artículo 21, han sido tratados ilícitamente, lo exige una obligación legal o se obtuvieron en relación con servicios de la sociedad de la información ofrecidos a menores. Quien los hizo públicos debe adoptar medidas razonables para informar a otros responsables de la solicitud de supresión de enlaces y copias. No se aplica cuando el tratamiento es necesario para la libertad de expresión e información, obligaciones legales o misiones públicas, la salud pública, fines de archivo, investigación o estadística, o la formulación, ejercicio o defensa de reclamaciones. 32016R0679
• Art. 21 RGPD. Permite oponerse en cualquier momento, por motivos relacionados con la situación particular, a los tratamientos basados en misión de interés público o en interés legítimo, incluida la elaboración de perfiles, debiendo el responsable dejar de tratar los datos salvo que acredite motivos legítimos imperiosos que prevalezcan o la formulación, ejercicio o defensa de reclamaciones. Frente a la mercadotecnia directa la oposición es incondicionada y los datos dejan de tratarse para esos fines. El derecho debe mencionarse expresamente y de forma separada a más tardar en la primera comunicación con el interesado. 32016R0679
• Art. 18 RGPD. Reconoce el derecho a obtener la limitación del tratamiento cuando se impugna la exactitud de los datos, durante el tiempo que permita verificarla; cuando el tratamiento es ilícito y el interesado prefiere la limitación a la supresión; cuando el responsable ya no los necesita pero el interesado sí para reclamaciones; y mientras se verifica si prevalecen los motivos legítimos del responsable tras una oposición. Limitados, los datos solo pueden conservarse o tratarse con consentimiento, para reclamaciones, para proteger a otra persona o por interés público importante, y hay que avisar al interesado antes de levantar la limitación. 32016R0679
• Art. 19 RGPD. Obliga al responsable a comunicar cualquier rectificación, supresión o limitación del tratamiento efectuada conforme a los artículos 16, 17.1 y 18 a cada uno de los destinatarios a los que se hubieran comunicado los datos personales, salvo que resulte imposible o exija un esfuerzo desproporcionado, e impone informar al interesado acerca de dichos destinatarios cuando este lo solicite. 32016R0679
• Art. 64 LOPDGDD. Reserva un procedimiento propio para la falta de atención de una solicitud de los derechos de los artículos 15 a 22 del Reglamento: el plazo para resolver es de seis meses desde que se notifica al reclamante que su reclamación sigue adelante, y transcurrido ese plazo el interesado puede considerarla estimada. Cuando el objeto es determinar la existencia de una infracción, la duración máxima es de doce meses desde el acuerdo de inicio, con caducidad y archivo al vencer, y de seis meses si el asunto se reconduce a un apercibimiento con medidas correctivas. Los plazos se suspenden cuando deba recabarse un pronunciamiento de órganos de la Unión o de otras autoridades de control. BOE-A-2018-16673

Artículos comprobados uno a uno contra el texto consolidado del BOE.

Preguntas frecuentes