Los Derechos ARCO

Este elemento es una ampliación de las guías y los cursos de Lawi. Ofrece hechos, comentarios y análisis sobre este tema. [aioseo_breadcrumbs]

En el Reglamento sobre Protección de Datos

En desarrollo del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, que derogó la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre, el Capítulo III del Anteproyecto de Ley Orgánica de Protección de Datos de Carácter Personal de España regula el ejercicio de los derechos, en el siguiente articulado:

Artículo 13: Disposiciones generales sobre el ejercicio de los derechos

El artículo 13 del Anteproyecto contiene una serie de disposiciones generales destinadas a regir el ejercicio de los derechos reconocidos al interesado en los artículos 15 a 22 del Reglamento (derecho de acceso, derecho de rectificación, derecho de supresión, derecho a la limitación del tratamiento, derecho a ser notificado de la rectificación o supresión de datos personales o de la limitación del tratamiento, derecho a la portabilidad de los datos, derecho de oposición y derechos en relación con las decisiones individuales automatizadas, incluida la elaboración de perfiles).

Completa así el Anteproyecto las disposiciones que, sobre modalidades de ejercicio, contiene el artículo 12 del Reglamento Europeo, por lo que ha de analizarse si se excede o no del margen de maniobra conferido para tal desarrollo a los Estados miembros.

Algunas previsiones, como las contenidas en los apartados 1 o 4 del artículo 13 del Anteproyecto, no suscitan objeciones, al introducir reglas destinadas a clarificar algunos aspectos de ejercicio de tales derechos sin restringir lo establecido en el Reglamento; por ejemplo, la posibilidad de ejercicio por medio de representante legal o voluntario o la autorización al encargado de atender las solicitudes de ejercicio, en todo caso por cuenta del responsable del tratamiento. La obligación de información al afectado sobre los medios para ejercer los derechos y restantes previsiones del apartado 4 resultan también una consecuencia natural de lo dispuesto en el artículo 12 del Reglamento.

Tampoco cabe objetar la redacción del apartado 5 del artículo 13, en el que se establece que “la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulado por el afectado recaerá sobre el responsable”. Se trata de la concreción de la carga de la prueba en línea con la responsabilidad del responsable del tratamiento que consagra el Reglamento, clarificación que contribuye a la coherencia de éste con la normativa española.

Mayores dificultades plantea la conformidad con el Reglamento de lo dispuesto en el apartado 2 de este artículo 13 del Anteproyecto: “La identidad del afectado y, en su caso, la de su representante deberá acreditarse mediante documento válido, incluido aquel que permita su identificación electrónica”. La exigencia de un “documento válido” (aunque sea en su formato electrónico) parece ir más allá de lo previsto en el Reglamento general, cuyo artículo 12.6 se limita a indicar que “cuando el responsable del tratamiento tenga dudas razonables en relación con la identidad de la persona física que cursa la solicitud a que se refieren los artículos 15 a 21, podrá solicitar que se facilite la información adicional necesaria para confirmar la identidad del interesado”, y el considerando 64 contiene también una referencia genérica en cuanto a los medios de identificación (“el responsable del tratamiento debe utilizar todas las medidas razonables para verificar la identidad de los interesados que soliciten el acceso (…)”). La exclusión de otros medios de identificación alternativos al “documento válido” -de cualesquiera otras “medidas razonables” para practicar esa identificación, como un sistema de contraseñas, por ejemplo- contraviene, por tanto, lo dispuesto en el Reglamento, lo que lleva a recomendar la supresión de este artículo 13.2.

Esta observación tiene carácter esencial, a efectos de lo previsto en el artículo 130.3 del Reglamento Orgánico del Consejo de Estado, aprobado por el Real Decreto 1674/1980, de 18 de julio.

Artículos 14 a 19

Los artículos 14 a 19 del Anteproyecto contienen una escueta regulación de los derechos atribuidos al interesado en los artículos 15 a 22 del Reglamento general, antes enumerados. Cada uno de los preceptos aquí analizados comienza con una remisión general al artículo correspondiente del Reglamento, añadiendo, en cada caso, algunas precisiones puntuales sobre el ejercicio del derecho de que se trata.

Las remisiones iniciales a los artículos del Reglamento tienen un carácter meramente ilustrativo y no parecen, a juicio del Consejo de Estado, redundantes. Aunque, evidentemente, no sean necesarias para garantizar la aplicabilidad directa del Reglamento, en la medida en que el legislador español pretende añadir algunas normas de desarrollo puntual, las remisiones contribuyen a dotar de una mayor coherencia interna a la futura ley española, haciéndola más comprensible en su conjunto.

En cuanto a las disposiciones relativas al ejercicio de cada derecho que los artículos del Anteproyecto añaden, pueden formularse las siguientes observaciones:

Artículo 14: Derecho de acceso

El artículo 14, relativo al derecho de acceso regulado en el artículo 15 del Reglamento, reproduce algunas previsiones tomadas del considerando 63 de la norma europea (por ejemplo, el párrafo segundo del apartado 1) y desarrolla otras disposiciones de ese mismo considerando (por ejemplo, la referencia, en el apartado 2, a que “el derecho de acceso se entenderá otorgado si el responsable del tratamiento facilitara al afectado un sistema de acceso remoto, directo y seguro a los datos personales que garantice, de modo permanente, el acceso a su totalidad” y que, “a tales efectos, la comunicación por el responsable al afectado del modo en que éste podrá acceder a dicho sistema bastará para tener por atendida la solicitud de ejercicio del derecho”). Ninguna de ellas va más allá de lo que permite el Reglamento, introduciendo no obstante mayor claridad y, con ella, mayor seguridad jurídica, en la aplicación del derecho del artículo 15 del Reglamento. El apartado 3 de este mismo artículo 14 plantea, sin embargo, mayores dudas, al establecer que “cuando el afectado elija un medio distinto al que se le ofrece asumirá los riesgos y los costes (o costos, como se emplea mayoritariamente en América) desproporcionados que su elección comporte”. La redacción del precepto da la impresión de que el acceso será a cargo del interesado siempre que éste se manifieste en desacuerdo con el medio que le ofrezca el responsable del tratamiento, lo que resulta frontalmente contrario al artículo 12.5 del Reglamento, que limita esa excepción a la regla general de la gratuidad del ejercicio de los derechos del interesado a los casos en que “las solicitudes sean manifiestamente infundadas o excesivas, especialmente dado su carácter repetitivo”. Debe, por tanto, eliminarse esta disposición del texto del Anteproyecto.

Esta observación tiene carácter esencial, a efectos de lo previsto en el artículo 130.3 del Reglamento Orgánico del Consejo de Estado, aprobado por el Real Decreto 1674/1980, de 18 de julio.

Artículo 18: Derecho a la portabilidad

El artículo 18 del Anteproyecto se refiere al derecho a la portabilidad regulado en el artículo 20 del Reglamento, y que constituye una de las principales novedades del mismo. La regulación anteproyectada ha sido en este punto objeto de numerosas observaciones en el expediente, en la medida en que el Anteproyecto procede a concretar el alcance de ese derecho a la portabilidad de los datos personales.

El artículo 20 del Reglamento únicamente precisa al respecto que los datos objeto del derecho son los datos personales del interesado “que le incumban” y “que haya facilitado a un responsable del tratamiento”; además, el tratamiento cuyos datos van a ser objeto de portabilidad debe estar basado en el consentimiento del interesado y efectuarse por medios automatizados.

El artículo 18 del Anteproyecto procede a interpretar qué debe entenderse por datos “facilitados” por el interesado al responsable del tratamiento. Así, por una parte, el apartado 1 precisa que el derecho podrá ejercerse respecto de los datos que el interesado hubiera facilitado al responsable del tratamiento, pero también “de los que se deriven directamente del uso por aquél de los servicios prestados por el responsable”; por el contrario, el apartado 2 establece que el derecho a la portabilidad “no se extenderá a los datos que el responsable hubiere inferido a partir de aquellos a los que se refiere el apartado anterior”, sin perjuicio de la posibilidad de ejercitar otros derechos en relación con los mismos, como el derecho de supresión del artículo 15 del Reglamento.

Basado en la experiencia de varios autores, mis opiniones, perspectivas y recomendaciones se expresarán a continuación (o en otros lugares de esta plataforma, respecto a las características en 2026 o antes, y el futuro de esta cuestión):

La redacción del Anteproyecto parece en este punto concordante con las Directrices sobre portabilidad de datos adoptadas el 13 de diciembre de 2017 (revisión de 5 de abril de 2017) por el Grupo de Trabajo creado por el artículo 29 de la Directiva 95/46/CE, en las que se permite diferenciar entre los datos facilitados por el interesado y los datos derivados del tratamiento o inferidos del mismo.

Entre los primeros, objeto del derecho de portabilidad, además de los datos activa y conscientemente facilitados por el interesado, como pueden ser el nombre de usuario, la edad o la dirección electrónica, el Grupo de Trabajo del artículo 29 incluye también los datos derivados de la observación de la actividad del interesado, como por ejemplo sus historiales de búsqueda o su localización, cuando no la haya facilitado expresamente. Frente a ello, considera no incluidos en el ámbito del derecho los datos que el propio responsable del tratamiento obtiene o “crea” a partir de los facilitados por el interesado; cita así, por ejemplo, el perfil creado para un usuario creado en un contexto de gestión de riesgos y regulaciones financieras a partir de datos suministrados a un banco, a efectos de la concesión de un crédito o de cumplir con las normativas de control del blanqueo.

El Consejo de Estado considera acertada esta delimitación del ámbito de aplicación del derecho de portabilidad. Pese a ello, es indudable que la lectura del Reglamento no permite excluir otras interpretaciones alternativas de la frase “que haya facilitado a un responsable”, especialmente si se tiene en cuenta que el derecho a la portabilidad está limitado a los datos objeto de tratamientos basados en el consentimiento del interesado y que el Reglamento excluye expresamente la posibilidad de un consentimiento meramente tácito o implícito. Por esta razón, dadas las abundantes observaciones que el precepto ha suscitado en la fase de información pública, y pese a la importante contribución que este artículo supone para la seguridad jurídica de los operadores, el Consejo de Estado no considera conveniente plasmar esta interpretación en el Anteproyecto de ley orgánica, por la rigidez que ello supone.

Derechos de acceso, rectificación, cancelación y oposición (ARCO)

En España, los derechos de acceso, rectificación, cancelación y oposición de datos se encuentran regulados en los artículos 15 y siguientes de la Ley orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (LOPD), y en los títulos III, IV y IX del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (RDLOPD).

▷ Esperamos que haya sido de utilidad. Si conoces a alguien que pueda estar interesado en este tema, por favor comparte con él/ella este contenido. Es la mejor forma de ayudar al Proyecto Lawi.