El derecho a la limitación del tratamiento es uno de los derechos ARSULIPO, introducidos con la entrada en vigor del RGPD. Es posible que sea uno de los derechos menos conocidos por los interesados, por ello, hemos elaborado este artículo para explicar en qué consiste este derecho a la limitación del tratamiento de datos personales y cuándo y cómo se puede ejercer.
En este artículo hablamos de:
- ¿Qué es el derecho a la limitación del tratamiento?
- Ámbito de aplicación del derecho a la limitación del tratamiento de datos
- Requisitos generales del derecho a la limitación
- ¿Cómo ejercer el derecho a la limitación del tratamiento? Procedimiento
- Modelo de ejercicio de limitación del tratamiento
- ¿Cuándo se puede ejercer el derecho a la limitación?
- Consecuencias de la limitación del tratamiento
- ¿Qué ocurre si la empresa no cumple con el derecho a la limitación del tratamiento?
¿Qué es el derecho a la limitación del tratamiento?
El RGPD otorga a los interesados el derecho a limitar el tratamiento de datos personales sobre ellos en determinadas circunstancias. Esto significa que un interesado puede limitar la forma en que una organización utiliza los datos sobre él. Esta es una alternativa a solicitar el borrado de datos.
Aunque el derecho a la limitación del tratamiento es distinto del derecho a la rectificación y el derecho a oponerse, está estrechamente vinculado a ellos. Si un interesado ha cuestionado la exactitud de los datos y ha solicitado rectificarlos, también tiene derecho a solicitar la limitación del tratamiento mientras se considera la rectificación u objeción.
Las personas tienen derecho a restringir el procesamiento de sus datos personales cuando tengan un motivo particular para desear la restricción. Esto puede deberse a que tienen problemas con el contenido de la información que posee o con la forma en que ha procesado sus datos. En la mayoría de los casos, no se pedirá que restrinja los datos personales de una persona de manera indefinida, pero deberá tener la restricción en vigor durante un cierto período de tiempo.
El derecho a la limitación del tratamiento permite al interesado cuyos datos sean objeto de tratamiento, solicitar el responsable del tratamiento al aplicación de medidas para evitar la modificación de los datos, o, en otros casos, el borrado o supresión de los mismos.
Ámbito de aplicación del derecho a la limitación del tratamiento de datos
El derecho a la limitación del tratamiento está regulado en el artículo 18 del RGPD, y se aplica a todo tratamiento de datos personales, total o parcialmente automatizado, no automatizado, contenidos o destinados a ser incluidos en un fichero.
La limitación del tratamiento datos es un derecho absoluto y tiene dos vertientes:
- Suspender el tratamiento de datos durante una impugnación por inexactitud de los datos o por una oposición al tratamiento.
- Conservar los datos para probar la ilicitud del tratamiento o sean necesarios para formular o ejercer una reclamación.
Requisitos generales del derecho a la limitación
Los requisitos generales que establece la ley para ejercer y responder al derecho de limitación del tratamiento son los siguientes:
- La solicitud del derecho a la limitación debe hacerla el propio interesado (o sus representantes legales o tutores legales en caso de menores de 14 años).
- En la solicitud, el interesado aportará la información necesaria para su identificación.
- El responsable facilitará una vía para ejercer el derecho de limitación al tratamiento (y resto de derechos ARSULIPO).
- El responsable no podrá negarse a atender la solicitud del derecho a la limitación del tratamiento y no podrá cobrar un canon por ello (salvo que sean peticiones excesivas, infundadas o repetitivas, en las que, debidamente motivado, se puede imponer un canon razonable para cubrir los costes de tramitación).
¿Cómo ejercer el derecho a la limitación del tratamiento? Procedimiento
Para ejercer el derecho a la limitación del tratamiento, el interesado enviará por escrito una solicitud del mismo al responsable del tratamiento, en la que hará constar el motivo por el cual solicita este derecho.
Una vez recibida la solicitud, el responsable del tratamiento tiene un plazo de un mes para responderla. Este plazo puede prorrogarse en caso de peticiones complejas o si se han recibido un número elevado de solicitudes. La respuesta se hará a través del mismo medio en que se realizó la solicitud, salvo que el interesado haya indicado lo contrario.
En caso de que el responsable no pueda identificar al interesado, podrá negarse a tramitar la solicitud.
Si el responsable no da curso a la solicitud, deberá informar de las razones para ello al interesado, así como informarle de la posibilidad de interponer una reclamación en la AEPD.
En cuanto al procedimiento que debe seguir el responsable del tratamiento para cumplir con la solicitud del derecho a la limitación, este deberá contar con procesos que le permitan restringir los datos personales si es necesario. Es importante señalar que la definición de procesamiento de datos incluye una amplia gama de operaciones, incluida la recopilación, estructuración, difusión y borrado de datos. Por lo tanto, debe utilizar métodos de restricción que sean adecuados para el tipo de procesamiento que está realizando.
El RGPD propone una serie de acciones como las siguientes para llevar a cabo la limitación del tratamiento:
- Mover temporalmente los datos a otro sistema de procesamiento
- Hacer que los datos no estén disponibles para los usuarios.
- Eliminar temporalmente los datos publicados de un sitio web.
Es particularmente importante que el responsable considere cómo almacena los datos personales que ya no necesita procesar, pero la persona le ha solicitado que restrinja (solicitando efectivamente que no se borren los datos).
Si está utilizando un sistema de archivo automatizado, debe utilizar medidas técnicas para garantizar que no se pueda realizar ningún procesamiento adicional y que los datos no se puedan cambiar mientras la restricción esté vigente. También debe tener en cuenta en su sistema que el procesamiento de estos datos ha sido restringido.
Si ha revelado los datos personales en cuestión a otros, debe comunicarse con cada destinatario e informarles sobre la restricción de los datos personales, a menos que esto sea imposible o implique un esfuerzo desproporcionado. Si se solicita, también se debe informar a la persona sobre estos destinatarios.
Modelo de ejercicio de limitación del tratamiento
Como decíamos, la solicitud del derecho de limitación al tratamiento debe hacerse por escrito, por lo que aquí os dejamos el modelo de solicitud:
………………………………………………………………. DATOS DEL RESPONSABLE DEL TDP.
Nombre: ………………………………………………………………………………………
Dirección de la Oficina / Servicio ante el que se ejercita el derecho de rectificación: C/Plaza ……………………………………………………………………………………….. nº ………..
C.Postal ……………… Localidad ………………………………. Provincia Comunidad
Autónoma ………………………… C.I.F./D.N.I. ……………………………DATOS DEL INTERESADO O REPRESENTANTE LEGAL (1).
D./ Dª , mayor de edad, con
domicilio en la C/Plaza …………………………………………………………………………….. nº ,
Localidad ……………………………………. Provincia …………………………………… C.P. ……………
Comunidad Autónoma …………………………………….. con D.N.I , del que acompaña
copia, por medio del presente escrito ejerce el derecho de limitación, aportando los correspondientes justificantes, de conformidad con lo previsto en los artículos 18 y 19 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) y en consecuencia, SOLICITA Que se proceda a acordar la limitación del TDP en base a los justificantes aportados, que se realice en el plazo de un mes a contar desde la recogida de esta solicitud, y que se me notifique de forma escrita el resultado de la limitación realizada. Que en caso de que se acuerde, dentro del plazo de un mes, que no procede realizar total o parcialmente la limitación solicitada, se me comunique motivadamente a fin de, en su caso, solicitar la tutela de la Agencia Española de Protección de Datos, al amparo del artículo 57 del mencionado Reglamento (UE) 2016/679. Que si se hubiesen realizado comunicaciones de datos personales, se notifique a los Responsables de TDP de la limitación realizada, con el fin de que también estos realicen las acciones oportunas, para que se respete lo establecido en el artículo 5 del mencionado Reglamento (UE) 2016/679.
En ……………………….a………de………………………de 20……
Firmado:
(1) Debido al carácter personalísimo de los datos de carácter personal es necesario aportar fotocopia del D.N.I. o documento equivalente que pruebe la identidad del afectado y sea considerado válido en derecho de modo que el responsable del TDP pueda constatarla. También puede ejercitarse a través del representante legal, en cuyo caso, además del DNI del interesado, habrá de aportarse DNI y documento acreditativo auténtico de la representación del tercero.
¿Cuándo se puede ejercer el derecho a la limitación?
Las personas tienen derecho a solicitar a una empresa que restrinja el procesamiento de sus datos personales en las siguientes circunstancias:
- El individuo impugna la exactitud de sus datos personales y el responsable del tratamiento está verificando la exactitud de los datos.
- Los datos han sido procesados ilegalmente y la persona se opone a la eliminación y solicita la restricción en su lugar.
- La empresa ya no necesita los datos personales, pero la persona necesita que los conserve para establecer, ejercer o defender una reclamación legal.
- La persona se ha opuesto a que se procesen sus datos en virtud del artículo 21 del RGPD, y la empresa está considerando si sus motivos legítimos prevalecen sobre los de la persona.
Aunque esto es distinto del derecho de rectificación y el derecho a oponerse, existen vínculos estrechos entre esos derechos y el derecho a restringir el procesamiento:
- Si una persona ha cuestionado la exactitud de sus datos y ha pedido a la empresa que los rectifique, también tiene derecho a solicitarle que limite el procesamiento mientras considera su solicitud de rectificación.
- Si una persona ejerce su derecho a oponerse al tratamiento de sus datos personales, también tiene derecho a solicitarle que restrinja el procesamiento mientras se considera su solicitud de objeción.
Por lo tanto, como una buena práctica, se debe restringir automáticamente el procesamiento mientras se considera su precisión o los motivos legítimos para procesar los datos personales en cuestión.
Consecuencias de la limitación del tratamiento
La limitación del tratamiento implica que el responsable solo podrá tratar los datos afectados:
- Cuando tenga el consentimiento del interesado, salvo para su conversación.
- Para la prestación, el ejercicio o la defensa de reclamaciones.
- Con el fin de proteger los derechos de otra persona física o jurídica.
- Por razones de interés público.
¿Qué ocurre si la empresa no cumple con el derecho a la limitación del tratamiento?
Negarse a cumplir con el derecho a la limitación del tratamiento, puede ser motivo de sanción, si no está justificado o es una de las exenciones que contempla la normativa.
En cuanto a las sanciones, la cuantía de las mismas depende de su gravedad, estableciendo la LOPDGDD las siguientes horquillas:
- Infracciones leves (art. 74): Multa de hasta 40.000 euros.
- Infracciones graves (art. 73): Multa de 40.001 euros a 300.000 euros.
- Infracciones muy graves (art. 72): Multa de 300.001 euros a 20 millones de euros o el 4% de la facturación anual (la cuantía que resulte superior).
Ahora bien, si se aplica una exención, puedes negarte a cumplir con una solicitud de limitación del tratamiento (total o parcialmente). No todas las exenciones se aplican de la misma manera, y debes examinar cada exención detenidamente para ver cómo se aplica a una solicitud en particular.
También puedes negarte a cumplir con una solicitud si es:
- Manifiestamente infundada.
- Excesiva.
Para decidir si una solicitud es manifiestamente infundada o excesiva, debes considerar cada solicitud caso por caso. No deberías tener una política general.
Debes poder demostrarle a la persona por qué consideras que la solicitud es manifiestamente infundada o excesiva y, si te lo solicita, explicar tus razones a la AEPD.
Una solicitud puede ser manifiestamente infundada si:
- El individuo claramente no tiene intención de ejercer su derecho a la limitación. Por ejemplo, una persona hace una solicitud, pero luego ofrece retirarla a cambio de algún tipo de beneficio de la organización.
- La solicitud tiene intenciones maliciosas y se está utilizando para acosar a una organización sin ningún otro propósito real que no sea causar interrupciones. Por ejemplo:
- El individuo ha declarado explícitamente, en la solicitud misma o en otras comunicaciones, que tiene la intención de causar una interrupción;
- La solicitud hace acusaciones sin fundamento contra ti o empleados específicos;
- La persona está apuntando a un empleado en particular contra quien tiene algún rencor personal; o
- El individuo le envía sistemáticamente diferentes solicitudes como parte de una campaña, por ejemplo, una vez a la semana, con la intención de causar interrupciones.
Una solicitud puede ser excesiva si:
- Repite el fondo de solicitudes anteriores.
- Se superpone con otras solicitudes.
Sin embargo, depende de las circunstancias particulares. No será necesariamente excesivo solo porque el individuo:
- Realiza una solicitud sobre el mismo problema. Un individuo puede tener razones legítimas para realizar solicitudes que repiten el contenido de solicitudes anteriores. Por ejemplo, si el responsable del tratamiento no ha gestionado correctamente las solicitudes anteriores.
- Hace una solicitud superpuesta, si se relaciona con un conjunto de información completamente separado; o
- solicitudes presentadas anteriormente que hayan sido manifiestamente infundadas o excesivas.
Si te niegas a cumplir la solicitud de limitación del tratamiento, debes informar a la persona sin demora indebida y dentro del mes siguiente a la recepción de la solicitud.
Debes informar a la persona sobre:
- Las razones por las que no estás tomando medidas.
- Su derecho a presentar una queja ante la AEPD.
- Su capacidad para tratar de hacer cumplir este derecho a través de un recurso judicial.
También debes proporcionar esta información si solicitas una tarifa razonable o necesitas información adicional para identificar a la persona