¿Cómo ejercitar el derecho a la portabilidad de datos personales?
Una de las mayores novedades del Reglamento General de Protección de Datos (en adelante RGPD), es la incorporación de nuevos derechos de los interesados.
En efecto, a los tradicionales derechos de acceso, rectificación, cancelación y oposición, se suman los derechos de:
- Supresión o “derecho al olvido”
- Limitación del tratamiento
- Portabilidad de datos personales
En este artículo nos centraremos en desarrollar qué posibles implicaciones y consecuencias tiene el ejercicio del derecho a la portabilidad de datos personales tanto para los responsables como para los interesados.
1. ¿En qué consiste el derecho a la portabilidad de datos personales?
El derecho a la portabilidad de datos personales se reconoce expresamente en el RGPD, y está muy vinculado al derecho de acceso, aunque contiene particularidades específicas que lo distinguen del primero. Concretamente, el artículo 20 del RGPD lo define de la siguiente manera:
“El interesado tendrá derecho a recibir los datos personales que le incumban, que haya facilitado a un responsable del tratamiento, en un formato estructurado, de uso común y lectura mecánica, y a transmitirlos a otro responsable del tratamiento sin que lo impida el responsable al que se los hubiera facilitado […].”
El objetivo principal de este derecho es posibilitar que el interesado tenga más control en el tratamiento que se efectúa de sus datos, al permitir que éste reciba todos los datos personales que dio a un responsable para transmitirlos a otro. Es decir, mejora la capacidad de transmitir datos personales fácilmente de un proveedor a otro, ya sea a través de sus propios sistemas, o a través de los responsables del tratamiento.
2. ¿Qué datos concretos deben incluirse?
Según lo dispuesto en el artículo 20, apartado 1 del RGPD, el responsable deberá facilitar los datos personales relativos a esa persona en cuestión y que ésta haya previamente facilitado a un responsable del tratamiento. Es decir, se aplica a los datos que un usuario haya proporcionado de manera activa y consciente, por ejemplo, a través de un contrato de prestación de servicios o completando un formulario de una página web.
De ello se deduce, que quedarán excluidos del derecho a portabilidad de datos personales los datos que:
- sean anónimos (sí se incluirá la pseudoanonimización cuando dichos datos se encuentren vinculados a la persona)
- o que no pertenezcan a ese concreto interesado.
3. ¿Existe algún procedimiento establecido por el RGPD para efectuar la transmisión de datos personales?
Cuando un interesado ejercita su derecho a la portabilidad de datos personales, el responsable deberá transmitir la información en un formato estructurado, de uso común y lectura mecánica o a que se transmitan a otro responsable del tratamiento.
Cuando el interesado solicita que la información se transfiera de un responsable a otro, el RGPD explica en el considerando 68 que “no debe obligarse al responsable a adoptar o mantener sistemas de tratamiento que sean técnicamente compatibles”. El objetivo de la portabilidad aquí es crear sistemas interoperables, no sistemas compatibles.
Ello tampoco significa que pongan obstáculos a la transmisión, al quedar prohibido por el RGPD. Si uno de los responsables se viera inmerso en alguna deficiencia que dificultara la transferencia al nuevo responsable, deberá justificar el motivo de su dificultad explicando al interesado el porqué de dicha negativa.
El RGPD por tanto, pretende que no se limite el ejercicio del derecho, y que si no se transmite la información al interesado o al nuevo responsable, sea únicamente por motivos realmente fundados.
4. ¿Cómo debo actuar si recibo una solicitud de ejercicio de portabilidad de datos personales?
El primer paso será identificar a la persona física que solicita el ejercicio del derecho a la portabilidad de datos personales. Se debe tener en cuenta que su ejercicio es gratuito.
No obstante, si el responsable recibe solicitudes que son manifiestamente infundadas o excesivas (p. ej., carácter repetitivo) el responsable podrá:
- Cobrar un canon proporcional a los costes administrativos soportados
- Negarse a actuar
Las solicitudes deben responderse en el plazo de un mes, aunque, si se tiene en cuenta la complejidad y número de solicitudes, se puede prorrogar el plazo otros dos meses más. Es muy importante tener en cuenta que se debe contestar a la solicitud, aún cuando no se disponga de datos del interesado.
El responsable tiene la obligación de informar sobre los medios para ejercitar estos derechos. Estos medios deben ser accesibles y no se puede denegar este derecho por el solo motivo de que se opte por otro medio.
Si la solicitud se presenta por medios electrónicos, la información se facilitará por estos medios cuando sea posible, salvo que el interesado solicite que sea de otro modo. Cabe la posibilidad de que el encargado sea quien atienda tu solicitud por cuenta del responsable si ambos lo han establecido en el contrato o acto jurídico que les vincule
Sin duda alguna, el derecho a la portabilidad de datos personales es uno de los derechos que más puede cambiar el panorama actual por las nuevas implicaciones prácticas que se deben tomar a la hora de contestar adecuadamente este derecho.
Por esa razón, en Grupo Adaptalia recomendamos a las empresas que comiencen a implantar procedimientos que puedan garantizar una adecuada respuesta al ejercicio del derecho a la portabilidad de datos personales de sus clientes.
Somos expertos en asesoría y consultoría de protección de datos, no dude en consultarnos sin compromiso.
