Derecho a la limitación ¿Qué es y cómo ejercerlo?
Incluye modelos
El derecho a la limitación del tratamiento es quizás uno de los menos conocidos de los derechos que tienen los ciudadanos sobre el uso de sus datos personales. En este artículo vamos a explicar qué es el derecho a la limitación del tratamiento de datos personales y cuándo y cómo se puede ejercer por los interesados.
¿Qué es el derecho a la limitación del tratamiento de datos?
El derecho a la limitación del tratamiento permite al interesado, cuyos datos personales son objeto de tratamiento, solicitar al responsable del tratamiento que aplique medidas sobre esos datos para, entre otras cosas, evitar su modificación o, en su caso, su borrado o supresión.
El derecho de limitación del tratamiento tiene su antecedente en el derecho al bloqueo previsto en la Directiva 95/46/CE. Esta Directiva preveía el derecho del interesado al bloqueo de los datos cuyo tratamiento no se ajustase a las disposiciones de la misma. En particular, «a causa del carácter incompleto o inexacto de los datos». Fue derogada por el RGPD, cuya aplicación efectiva se produce desde el 25 de mayo de 2018.
El RGPD, en primer lugar, se refiere a las condiciones que tienen que darse para que el interesado pueda obtener del responsable del tratamiento la limitación del tratamiento de sus datos personales. Se trata de los casos en los que procedería el derecho a la limitación del tratamiento de datos.
En segundo lugar, regula el alcance de este derecho y la obligación de información que tiene que facilitar el responsable del tratamiento al interesado.
Con este derecho se permite un mayor control al ciudadano sobre sus datos personales. Y es independiente de los demás derechos que le corresponden.
Este derecho también puede facilitar que el interesado pueda poner una denuncia sobre protección de datos por incumplimiento de la normativa. O para, en su caso, presentar ante los tribunales competentes una demanda cuando se hayan vulnerado derechos económicos o morales del interesado. Es decir, que se haya producido un daño que puede ser objeto de indemnización.
Ámbito de aplicación del derecho a la limitación del tratamiento de datos
El derecho de limitación del tratamiento se aplica sobre cualquier tratamiento de datos personales, sea total o parcialmente automatizado, así como no automatizado, contenidos o destinados a ser incluidos en un fichero.
Requisitos generales del derecho a la limitación
La ley para los derechos ARCO (actuales ARSULIPO) establece que la solicitud para ejercer el derecho de limitación de tratamiento de datos personales debe hacerla el propio interesado, puesto que se trata de un derecho personalísimo, o sus representantes legales o herederos. En el caso de los menores de 14 años, podrán hacerlo sus tutores legales.
El interesado, en el momento de presentar la solicitud, deberá aportar la información necesaria para su identificación, ya que el responsable del tratamiento no está obligado a solicitarla.
El responsable del tratamiento no podrá negarse a atender dicha solicitud de limitación del tratamiento, que además, no debe suponer ningún coste al interesado, salvo la excepción que contempla el propio RGPD para las peticiones excesivas, infundadas o repetitivas, a las que, motivado suficientemente, se les puede imponer un canon razonable para cubrir los costes de la tramitación.
¿Cómo ejercer el derecho a la limitación del tratamiento? Procedimiento
Para ejercer el derecho a la limitación del tratamiento, el interesado debe enviar por escrito una solicitud al responsable del tratamiento, haciendo constar en ella el motivo por el cual solicita la limitación del tratamiento de sus datos personales (que detallaremos más adelante).
Una vez recibida la solicitud, el responsable del tratamiento tendrá un mes para dar respuesta al interesado. Este plazo se puede prorrogar a dos meses en caso de que la solicitud sea compleja o haya un alto número de solicitudes. En cualquier caso, el responsable deberá informar al interesado de las causas del retraso.
En caso de que el responsable del tratamiento no pudiera identificar al interesado, podrá negarse a tramitar la solicitud.
Si no se da curso a la solicitud del interesado, el responsable tendrá que informar de las razones de su no actuación, así como de la opción de interponer una reclamación ante la AEPD (que es la autoridad de control en materia de protección de datos en España) o ejercer acciones judiciales.
Cuando la solicitud se presente por medios electrónicos, la respuesta se hará, siempre que sea posible, por el mismo medio, salvo que el interesado haya indicado lo contrario.
Además, cualquier comunicación con el interesado sobre las solicitudes de ejercicio de derechos tiene que hacerse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo.
Aquí puedes descargar los modelos de solicitud de limitación del tratamiento de datos personales y respuesta a la misma. También el modelo de denuncia ante la AEPD.
Modelos derecho a la limitación
¿Cuándo puede ejercerse?
Ahora que ya sabemos qué es la limitación del tratamiento, veamos cuáles son esos supuestos que regula el RGPD en los que se puede ejercer.
Interesado impugne ante el responsable del tratamiento la exactitud de los datos objeto del tratamiento
Cuando el interesado solicite la comprobación de la exactitud de sus datos personales objeto del tratamiento, el responsable tendrá que limitar su tratamiento y verificar su exactitud. La limitación se producirá «durante un plazo que permita al responsable verificar la exactitud» de los datos personales.
Interesado se oponga a la supresión de los datos personales y solicite en su lugar la limitación de su uso
Si el tratamiento por el responsable infringe la normativa aplicable en materia de protección de datos, el interesado podrá instarle a que limite su tratamiento de manera que no sean borrados o suprimidos. Se trata de una medida destinada a que se conserve la prueba de la infracción.
Interesado necesita los datos personales para la formulación, el ejercicio o la defensa de reclamaciones
Esto obligaría al responsable del tratamiento a mantener los datos personales del interesado en cumplimiento de su derecho a la limitación del tratamiento. Y cumpliendo además la normativa de protección de datos.
Interesado se haya opuesto al tratamiento, mientras se verifica si los motivos legítimos del responsable prevalecen sobre los del interesado
Se refiere a la oposición por el interesado al tratamiento de sus datos personales sobre la base de la necesidad del mismo para el cumplimiento de una misión realizada en interés público. O en el ejercicio de poderes públicos o del interés legítimo.
Debe determinarse si prevalece el derecho fundamental a la protección de datos personales del interesado o las razones que legitiman el tratamiento por el responsable.
Consecuencias de la limitación del tratamiento
La limitación implicará que los datos personales cuyo tratamiento se ha limitado por el responsable solo podrán ser tratados:
- Con el consentimiento del interesado, con excepción de su conservación
- Para la presentación, el ejercicio o la defensa de reclamaciones
- Con el fin de proteger los derechos de otra persona física o jurídica
- Por razones de interés público
Se trata de supuestos muy específicos en los que se exige el consentimiento del interesado. O bien que vayan a ser utilizados para una finalidad concreta.
O cuando existan razones de interés público importantes previstas en la Ley, ya sea el Derecho de la Unión Europeo o nacional.
En cuanto a las reclamaciones, cabe entender que son entre el responsable del tratamiento y el interesado.
¿Qué información debe proporcionarse al interesado sobre la limitación?
Antes de suprimir las medidas que se adoptaron para limitar el tratamiento de los datos personales, el responsable del tratamiento tendrá que comunicárselo al interesado.
El responsable del tratamiento comunicará la limitación a cada uno de los destinatarios a los que se hayan comunicado los datos personales. A no ser que exija un esfuerzo desproporcionado o sea imposible.
Y, finalmente, el responsable, haya obtenido los datos personales del propio interesado o no, deberá informarle sobre el ejercicio de este derecho. Así como establecer un procedimiento para la gestión de las solicitudes correspondientes.
¿Cómo se limita el tratamiento de los datos?
La limitación del tratamiento de los datos personales puede llevarse a cabo de diversas maneras, según cada caso concreto.
Es el responsable del tratamiento quien, atendiendo a las circunstancias concretas, tiene que aplicar las medidas que sean adecuadas para limitar el tratamiento de los datos personales.
Entre los métodos aplicables para limitar el tratamiento están:
- Mover temporalmente los datos seleccionados a otro sistema de tratamiento
- Evitar el acceso de usuarios a los datos personales seleccionados
- Quitar temporalmente los datos publicados de un sitio Internet
En los ficheros automatizados la limitación del tratamiento debe realizarse, en principio, por medios técnicos. Para que los datos personales no sean objeto de operaciones de tratamiento anterior ni puedan modificarse.
Los datos personales del interesado serán preservados o conservados, porque pueden ser necesarios para formular una reclamación o incluso para demostrar que fueron tratados ilícitamente por el responsable del tratamiento.
Por tanto, la limitación del tratamiento puede depender de las circunstancias concretas de cada caso. Pero se trata de evitar que los datos personales cuyo tratamiento tenga que limitarse se modifiquen o se borren o supriman.
¿Qué ocurre en caso de incumplimiento? Sanciones
No atender u obstaculizar las solicitudes de limitación del tratamiento se considera una infracción, que puede ser sancionada en función de su gravedad, su reiteración en el tiempo y el número de afectados.
La normativa de protección de datos establece las siguientes sanciones:
- Multa administrativa de hasta 40.000 euros por infracciones leves (artículo 74 de la LOPDGDD)
- Multa administrativa de 40.001 euros a 300.000 euros por infracciones graves (artículo 73 de la LOPDGDD)
- Multa administrativa de 300.001 euros a 20 millones de euros (o el 4% de la facturación anual, si esta cuantía es superior) por infracciones muy graves (artículo 72 de la LOPDGDD)
¿Necesitas ayuda?
¡Recibe hasta 4 presupuestos! Te ayudamos a encontrar una empresa especializada en la materia de protección de datos para poder resolver todas tus dudas.