Proteccion de datos: derechos RGPD y reclamar ante la AEPD

El Reglamento General de Protección de Datos (RGPD, Reglamento UE 2016/679) y la Ley Orgánica 3/2018 (LOPDGDD) le reconocen un conjunto de derechos que puede ejercer frente a cualquier empresa u organismo que trate sus datos. Son gratuitos y personales: los ejerce usted o un representante que autorice.

Los principales son: acceso (saber qué datos tienen sobre usted y para qué), rectificación (corregir datos inexactos), supresión o derecho al olvido (que los borren), oposición (que dejen de usarlos para una finalidad, por ejemplo publicidad), limitación del tratamiento (que los conserven pero no los usen mientras se resuelve una discrepancia) y portabilidad (recibir sus datos en un formato reutilizable y llevárselos a otra empresa).

Debe dirigir la solicitud al responsable del tratamiento (la empresa). Por regla general no hace falta motivarla: la oposición al tratamiento con fines de publicidad o mercadotecnia directa es incondicional y no exige alegar motivo alguno (artículo 21.2 RGPD), mientras que la oposición basada en el interés legítimo del responsable o en una misión de interés público sí requiere que exprese motivos relacionados con su situación particular (artículo 21.1 RGPD). La empresa está obligada a responderle y no puede cobrarle, salvo que la petición sea manifiestamente infundada o excesiva (artículo 12.5 RGPD).

Si ha ejercido un derecho y la empresa no le contesta en plazo, o la respuesta es insatisfactoria, puede presentar una reclamación por falta de atención al ejercicio de sus derechos ante la Agencia Española de Protección de Datos (AEPD), que la Agencia tramita como procedimiento de derechos. También puede reclamar por un uso indebido de sus datos: publicidad no deseada, cesión sin consentimiento, inclusión en un fichero de morosidad o videovigilancia.

La reclamación se presenta preferentemente por vía telemática, cumplimentando el formulario de la sede electrónica de la AEPD (sedeaepd.gob.es), identificándose con certificado digital, DNIe o Cl@ve. También cabe en papel conforme a la Ley 39/2015. Reclamar ante la AEPD es gratuito.

Debe aportar pruebas o indicios de la vulneración: en la reclamación por derechos no atendidos, la copia de la solicitud que envió a la empresa y la respuesta recibida (o la constancia de que no la hubo). La AEPD examina la admisión a trámite y, en su caso, abre actuaciones de investigación frente a la empresa.

Managora redacta su reclamación, reúne las pruebas y la presenta por usted en la sede de la AEPD. Puede ver el importe actualizado en la ficha del trámite reclamacion_aepd.

El derecho al olvido es la vertiente digital del derecho de supresión: permite pedir que se eliminen sus datos personales cuando ya no son necesarios, cuando ha retirado el consentimiento, cuando se opone y no hay motivo legítimo prevalente, o cuando se han tratado de forma ilícita (artículo 17 RGPD).

En buscadores, puede solicitar la retirada de resultados asociados a su nombre cuando la información sea inadecuada, no pertinente o excesiva. El buscador debe valorar su petición y, si la deniega o no responde, puede reclamar ante la AEPD. La supresión no es absoluta: puede ceder ante la libertad de información, obligaciones legales de conservación o el interés público.

Managora prepara la solicitud de supresión ante la empresa o el buscador y, si no atienden, la reclamación ante la AEPD. Puede ver el importe en la ficha derecho_olvido_aepd.

Una brecha de seguridad es cualquier incidente que provoque la destrucción, pérdida, alteración o el acceso o comunicación no autorizados de datos personales: un ciberataque, el envío de datos a destinatarios erróneos, la pérdida de un dispositivo o el robo de una base de datos.

La empresa (responsable del tratamiento) debe notificar la brecha a la AEPD sin dilación indebida y, a más tardar, en 72 horas desde que tiene conocimiento de ella, salvo que sea improbable que suponga un riesgo para los derechos de las personas (artículo 33 RGPD). Si la brecha entraña un alto riesgo, además debe comunicarla sin dilación a los afectados (artículo 34 RGPD).

No notificar en plazo es una infracción sancionable. Si usted es la empresa afectada, Managora prepara y presenta la notificación de la brecha en la sede de la AEPD dentro de las 72 horas. Puede ver el importe en la ficha denuncia_aepd_brecha_seguridad. Si es un particular afectado por una brecha, puede reclamar ante la AEPD por el uso indebido de sus datos.

El Delegado de Protección de Datos (DPD, o DPO) es la persona que supervisa el cumplimiento del RGPD en la organización. Es obligatorio en tres supuestos del artículo 37 RGPD: cuando el tratamiento lo realiza una autoridad u organismo público; cuando la actividad principal exige una observación habitual y sistemática de personas a gran escala; y cuando se tratan a gran escala categorías especiales de datos (salud, ideología, biometría) o datos penales.

La LOPDGDD (artículo 34) amplía la obligación a numerosos sectores: colegios profesionales, centros docentes y universidades, entidades de crédito y financieras, aseguradoras, empresas de inversión, distribuidores de energía, prestadores de servicios de la sociedad de la información que elaboren perfiles a gran escala, centros sanitarios, empresas de publicidad y prospección comercial, empresas de seguridad privada y operadores de juego, entre otros.

Una vez designado, hay que comunicar sus datos de contacto a la AEPD en el plazo de diez días (artículo 34.3 LOPDGDD). Managora comunica e inscribe a su DPD ante la AEPD. Puede ver el importe en la ficha aepd_inscripcion_dpd.

Ejercer sus derechos ante una empresa es gratuito y presentar una reclamación ante la AEPD también lo es: la Agencia no cobra tasa. El coste de Managora por preparar y presentar el trámite figura en cada ficha (reclamacion_aepd, derecho_olvido_aepd, denuncia_aepd_brecha_seguridad, aepd_inscripcion_dpd): puede ver el importe actualizado allí.

Los plazos legales son claros: la empresa dispone de un mes para responder a su solicitud (ampliable a dos meses más si es compleja); la notificación de una brecha a la AEPD es de 72 horas; y la comunicación del DPD, de diez días. La tramitación posterior de la AEPD tras una reclamación depende de cada caso.