Con la creciente digitalización, la protección de los datos personales se ha convertido en una preocupación central para gobiernos, organizaciones y ciudadanos. Por ello, la Unión Europea aprobó el Reglamento General de Protección de Datos (RGPD), aplicable desde el 25 de mayo de 2018. El RGPD establece normas destinadas a garantizar la privacidad, la seguridad de los datos personales y los derechos de los interesados.
Qué son los derechos de los interesados
Los derechos de los interesados se encuentran entre los pilares fundamentales del RGPD. Gracias a ellos, las personas pueden proteger y gestionar sus propios datos, por ejemplo mediante el acceso, la rectificación, la supresión y la portabilidad. Estos derechos se basan en los principios del tratamiento, que explicamos en el artículo sobre el derecho a la protección de datos personales. En conjunto, garantizan que las organizaciones traten los datos personales de forma transparente y, así, fomentan la confianza en el entorno digital.
En este artículo, analizamos cada uno de estos derechos, su importancia y su impacto en las personas y en las organizaciones. Además, mostramos cómo las plataformas de gestión documental ayudan a responder a las solicitudes dentro de plazo. Por último, reunimos las buenas prácticas que aseguran el cumplimiento, sobre todo cuando los interesados son trabajadores propios o de contratistas.
Derecho de acceso
Los interesados tienen derecho a saber si una organización trata sus datos personales. En tal caso, también tienen derecho a acceder a esos datos. Este derecho incluye el acceso a información como la siguiente:
Los fines del tratamiento.
Las categorías de datos personales de que se trate.
Los destinatarios a los que la organización ha comunicado o comunicará los datos.
El plazo previsto de conservación de los datos o los criterios utilizados para determinarlo.
La existencia del derecho a solicitar la rectificación, la supresión o la limitación del tratamiento de los datos personales.
El origen de los datos, si la organización no los ha obtenido directamente del interesado.
La existencia de decisiones automatizadas, incluida la elaboración de perfiles, e información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado.
Derecho de rectificación
Los interesados pueden solicitar la rectificación de los datos personales inexactos y completar los datos incompletos. Por consiguiente, las organizaciones deben responder sin dilación indebida y mantener los datos exactos y actualizados.
Derecho de supresión («derecho al olvido»)
Este derecho permite a los interesados solicitar la supresión de sus datos personales en determinadas circunstancias, como las siguientes:
Los datos personales ya no son necesarios para los fines para los que se recogieron o trataron.
El interesado retira el consentimiento en el que se basa el tratamiento y no existe otro fundamento jurídico para el mismo.
El interesado se opone al tratamiento y no prevalecen otros motivos legítimos que lo justifiquen.
La organización ha tratado los datos personales de forma ilícita.
La organización debe suprimir los datos personales para cumplir una obligación legal.
Derecho a la limitación del tratamiento
Los interesados pueden solicitar la limitación del tratamiento de sus datos personales en determinadas situaciones, como las siguientes:
Cuando impugnan la exactitud de los datos, durante un plazo que permita a la organización verificarla.
Cuando el tratamiento es ilícito y el interesado se opone a la supresión de los datos y solicita, en su lugar, la limitación de su uso.
Cuando la organización ya no necesita los datos, pero el interesado los necesita para formular, ejercer o defender reclamaciones en un proceso judicial.
Cuando el interesado se ha opuesto al tratamiento, mientras se verifica si los motivos legítimos de la organización prevalecen sobre los suyos.
Derecho de oposición
Los interesados pueden oponerse en cualquier momento al tratamiento de sus datos por motivos relacionados con su situación particular. Este derecho es especialmente relevante cuando la organización trata los datos con fines de mercadotecnia directa.
Derecho a la portabilidad de los datos
Los interesados tienen derecho a recibir los datos personales que han facilitado a una organización. La entrega se realiza en un formato estructurado, de uso común y de lectura mecánica. Además, tienen derecho a transmitir esos datos a otra organización sin impedimentos. Sin embargo, este derecho solo se aplica cuando el tratamiento se basa en el consentimiento o en un contrato y se efectúa por medios automatizados.
Derecho a no ser objeto de decisiones automatizadas
Los interesados tienen derecho a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado, incluida la elaboración de perfiles. Esto se aplica a las decisiones que produzcan efectos jurídicos o que les afecten significativamente. Así, este derecho garantiza que ninguna decisión importante sobre una persona prescinda de la intervención humana.
Derecho a la información
Los interesados tienen derecho a recibir información sobre la recogida y el uso de sus datos personales. Por ello, las organizaciones deben explicar de forma clara y transparente cómo van a utilizar los datos. Por ejemplo, deben indicar la identidad del responsable del tratamiento, los fines del tratamiento y cualquier otro aspecto relevante.
Cómo ayudan las plataformas de gestión documental a cumplir estos derechos
En efecto, los derechos previstos en el RGPD solo funcionan si la organización localiza la información de cada interesado y responde a tiempo. Por este motivo, las plataformas de gestión documental desempeñan un papel práctico muy relevante:
| Derecho u obligación | Cómo ayuda la plataforma |
|---|---|
| Derecho de acceso | Búsqueda de todos los documentos asociados a una persona y exportación ordenada |
| Derecho de rectificación | Actualización de los datos con historial de cambios |
| Derecho de supresión | Eliminación controlada, con registro y respeto de los plazos legales de conservación |
| Derecho a la portabilidad | Exportación en formatos estructurados y de lectura mecánica |
| Limitación del plazo de conservación | Reglas automáticas de eliminación o anonimización |
| Seguridad | Control de accesos, cifrado y registros de actividad |
Cómo se ejercen los derechos en la práctica
Por regla general, el ejercicio de los derechos es gratuito. El responsable del tratamiento debe responder en el plazo de un mes, prorrogable otros dos meses en casos complejos. También puede solicitar información adicional para confirmar la identidad del solicitante, sobre todo cuando la solicitud afecta a documentos sensibles.
Si considera que la organización no ha respetado sus derechos, el interesado puede presentar una reclamación ante la autoridad de control, en Portugal la Comissão Nacional de Proteção de Dados (CNPD). Asimismo, puede acudir a los tribunales. Por eso, las organizaciones deben tratar estas solicitudes con rigor.
Buenas prácticas para responder a las solicitudes de los interesados
Para cumplir los plazos sin improvisar, conviene disponer de un procedimiento interno sencillo:
- Un canal único para recibir las solicitudes.
- Un responsable del análisis de cada solicitud, como el delegado de protección de datos.
- La confirmación de la identidad del solicitante antes de entregar datos personales, para evitar que terceros obtengan información indebidamente.
- Un modelo de respuesta para cada tipo de derecho.
- Un registro de todas las solicitudes tramitadas, con fechas y decisiones.
Los derechos en el ámbito laboral
En las plataformas de gestión documental, muchos interesados son trabajadores, propios o de empresas contratistas. En este contexto, algunos derechos tienen límites. Por ejemplo, un trabajador no puede exigir la supresión de documentos que la ley obliga a la empresa a conservar, como los registros de formación o de accidentes. Del mismo modo, la oposición al tratamiento no se aplica cuando este se deriva de una obligación legal.
Así, la organización debe explicar claramente, en el momento de la recogida, qué documentos solicita, por qué y durante cuánto tiempo los conserva. Asimismo, debe garantizar que solo las personas autorizadas acceden a esos documentos.
Ejemplos prácticos
Solicitud de acceso de un antiguo trabajador
Imagine que un antiguo trabajador de un contratista solicita a la empresa cliente acceso a todos los datos que tiene sobre él. Sin una plataforma, la respuesta exigiría buscar en mensajes de correo electrónico, carpetas compartidas y archivos en papel.
Con la plataforma, en cambio, el delegado de protección de datos busca por el identificador del trabajador. En pocos minutos, obtiene la lista de documentos, las fechas de carga y los accesos registrados. A continuación, confirma la identidad del solicitante y prepara la respuesta dentro de plazo. Como resultado, la organización cumple el RGPD con menos esfuerzo y mayor rigor.
Solicitud de rectificación de un trabajador de un subcontratista
En otro caso, un trabajador de un subcontratista comprueba que la plataforma del cliente tiene mal su fecha de nacimiento. Como ese error impide validar su certificado de formación, solicita la rectificación a través del canal indicado.
El responsable confirma la identidad del trabajador, corrige el dato y registra el cambio. Por último, informa al subcontratista y al trabajador. En consecuencia, la validación del certificado avanza y el historial de la plataforma demuestra que la organización tramitó la solicitud dentro de plazo.
Preguntas frecuentes
¿Puede la organización cobrar por responder a una solicitud de acceso?
Por regla general, no. Solo puede cobrar un canon razonable por copias adicionales o cuando las solicitudes son manifiestamente infundadas o excesivas, por ejemplo, por su carácter repetitivo.
¿Debe la organización suprimir siempre los datos cuando el interesado lo solicita?
No. El derecho de supresión tiene excepciones, por ejemplo cuando la conservación es necesaria para cumplir una obligación legal o para la defensa en un proceso judicial.
¿De cuánto tiempo dispone la organización para responder?
Por regla general, de un mes a partir de la recepción de la solicitud. Este plazo puede prorrogarse otros dos meses en casos complejos, siempre que se informe al interesado dentro del primer mes.
¿También están incluidos los documentos de los trabajadores externos?
Sí. Los trabajadores de los contratistas son interesados como cualquier otro. Por ello, la empresa cliente debe informarles sobre el tratamiento, limitar los documentos solicitados a lo necesario y definir plazos de conservación.
Conclusión sobre los derechos de los interesados
El RGPD ha cambiado de forma significativa la manera en que las organizaciones tratan los datos personales. En efecto, ha situado los derechos de los interesados en el centro de las prácticas de protección de datos. Mediante el acceso, la rectificación, la supresión y la portabilidad, el RGPD otorga a las personas un mayor control sobre sus datos. Además, exige más transparencia y responsabilidad a las organizaciones.
Cómo garantizar los derechos de los interesados
Para las empresas, el cumplimiento del RGPD es una obligación legal, pero también una oportunidad para generar confianza con clientes, trabajadores y contratistas. Garantizar estos derechos exige, sobre todo, tecnologías apropiadas, políticas claras y procesos bien definidos. Asimismo, requiere formación continua de los empleados y una cultura de privacidad dentro de la organización.
En este contexto, las plataformas de gestión documental hacen efectivos estos derechos, ya que permiten responder a las solicitudes dentro de plazo, con rigor y trazabilidad. En resumen, las organizaciones que respetan los derechos de los interesados evitan sanciones y refuerzan la confianza de quienes les confían sus datos.
Lea también: Adaptación de las plataformas de gestión documental a las directrices del RGPD y La importancia de la criptografía en la protección de datos.
Para más información sobre el ejercicio de estos derechos en Portugal, consulte la Comissão Nacional de Proteção de Dados (CNPD).