4.2Derechos de las personas y consentimiento
Lo esencial en 30 segundos
- Derechos, no favores : acceso, rectificación, supresión, oposición, portabilidad, limitación.
- Consentimiento exigente : libre, informado, específico, inequívoco — nunca premarcado, siempre retirable.
- Transmitir, no improvisar : toda solicitud va al DPD sin demora, el plazo corre desde la recepción.
Mini-caso hilado — Karim recibe una solicitud de supresión
Un cliente escribe a Karim : « supriman todos mis datos ». Su primer reflejo sería borrarlo todo para hacerlo bien — o ignorar el mensaje urgente. En lugar de improvisar, Karim transmite la solicitud al referente de datos el mismo día con la fecha de recepción, y responde al cliente que su solicitud está en curso. El referente decidirá lo que realmente debe suprimirse y lo que debe conservarse.
Continuación del caso 4.1 — Karim pasa de detectar los datos al buen reflejo ante los derechos.
1. Derechos oponibles
El reglamento otorga derechos a cada persona : acceso (« ¿qué tienen sobre mí? »), rectificación, supresión (« derecho al olvido »), portabilidad, oposición, limitación. Son derechos, no favores : toda organización debe poder responder, generalmente en un mes.
2. El consentimiento, una base entre otras
El consentimiento debe ser libre, informado, específico e inequívoco — una casilla premarcada no basta, y es retirable con la misma facilidad con que se dio. Los banners de cookies son su aplicación más visible.
Pero el consentimiento es solo una base jurídica entre seis (contrato, obligación legal, interés legítimo…) : muchos tratamientos corrientes se basan en el contrato o la ley, no en un consentimiento. De ahí la importancia de dejar que el referente califique cada caso.
3. Transmitir, no improvisar
Una solicitud de derecho se transmite al DPD/referente sin demora : el plazo de respuesta corre desde la recepción, cada día perdido cuenta. Karim transmite el mismo día, con los hechos (quién, cuándo, qué).
Ante una solicitud de supresión, nunca improvisar : algunos datos deben conservarse (facturación, garantía), otros suprimirse. Borrarlo todo — o negarlo todo — sería una falta en ambos sentidos.
🔎 Ejemplo concreto — 🔎 Ejemplo concreto — Vivir los derechos desde ambos lados
Karim comprende los derechos practicándolos desde ambos lados :
Como persona : Karim ejerce su derecho de acceso (« descargar mis datos »)
→ descubre lo que realmente se recoge sobre él
Como empleado : « supriman mis datos » recibido → transmitido al DPD el mismo día
Formulario interno verificado : ¿información presente? ¿casillas premarcadas (prohibido)?
→ el buen reflejo : transmitir, nunca improvisarLectura : ejercer un derecho uno mismo ayuda a comprender los de los demás.
Lección : el plazo corre desde la recepción — fechar cada solicitud.
Vocabulario de la sección
- Derechos de las personas
- Acceso, rectificación, supresión, oposición, portabilidad, limitación : toda persona puede ejercerlos sobre SUS datos.
Ejemplo sencillo: El cliente de Karim pide la supresión ; un compañero podría pedir la rectificación de un dato erróneo.
Lo que no es: favores concedidos a discreción de la empresa.
Reflejo: recibir una solicitud = fecharla y transmitirla.
- Derecho de acceso
- « ¿Qué datos tienen sobre mí? » : la organización debe responder, generalmente en un mes.
Ejemplo sencillo: Karim prueba el « descargar mis datos » de un servicio que usa para ver lo que se recoge.
Lo que no es: un resumen aproximado dado oralmente meses después.
Reflejo: orientar hacia el circuito oficial, nunca responder de memoria.
- Consentimiento
- Una de las bases jurídicas : libre, específico, informado, inequívoco — y retirable con la misma facilidad con que se dio.
Ejemplo sencillo: Karim verifica un formulario : ninguna casilla premarcada, un sí explícito para cada uso.
Lo que no es: una casilla premarcada o un consentimiento forzado para acceder al servicio.
Reflejo: buscar la casilla premarcada : si existe, señalarla.
- Bases jurídicas
- El consentimiento es solo una base entre seis (contrato, obligación legal, interés legítimo…) : todo tratamiento debe apoyarse en una de ellas.
Ejemplo sencillo: Las facturas del cliente de Karim se conservan por obligación legal aunque pida la supresión.
Lo que no es: creer que todo se basa en el consentimiento y borrarlo todo a petición.
Reflejo: dejar que el referente califique la base antes de actuar.
- Información (transparencia)
- Las personas deben saber quién recoge qué, por qué, durante cuánto tiempo : avisos informativos, políticas de privacidad.
Ejemplo sencillo: Karim verifica que el formulario interno muestre finalidad, duración y derechos antes de la firma.
Lo que no es: recoger datos sin decir nada de su uso ni de su duración.
Reflejo: leer un aviso informativo entero una vez, para saber cómo es.
En la práctica — En la práctica — Vivir los derechos desde ambos lados
- Como persona : ejerce tu derecho de acceso ante un servicio que uses (sección privacidad → « descargar mis datos ») — instructivo sobre lo que realmente se recoge.
- Como empleado : si un cliente te pidiera « supriman mis datos », ¿sabrías qué hacer? Identifica el circuito interno (generalmente : transmitir al DPD, nunca improvisar).
- Verifica un formulario de tu organización : ¿la información está presente (finalidad, derechos)? ¿Las casillas de consentimiento están premarcadas (prohibido)?
- Anota la regla del plazo : una solicitud de derecho recibida = transmitida de inmediato — el plazo corre desde la recepción.
Script listo para decir — acusar recibo de una solicitud (20 s)
« He recibido su solicitud sobre sus datos, fechada hoy, y la transmito de inmediato a nuestro referente dedicado, que le responderá en los plazos previstos. ¿Pueden confirmarme su identidad para que el expediente esté completo? »
Para decir o escribir sin prometer supresión ni plazo preciso ; transmitir al DPD el mismo día.
Modelo copiar-pegar — ficha de transmisión de una solicitud
SOLICITUD RECIBIDA EL : _______________ (canal : correo / carta / oral)
SOLICITANTE (¿identidad verificada?) : _______________
DERECHO EJERCIDO (acceso / supresión / rectificación / oposición…) : _______________
DATOS / FICHEROS AFECTADOS : _______________
TRANSMITIDO AL DPD / REFERENTE EL : _______________
RESPUESTA AL SOLICITANTE (acuse el) : _______________Solicitud oral en ventanilla
Reformularla por escrito, fecharla y transmitirla igual : lo oral no exime ni de registrar ni de transmitir.
Solicitud agresiva o urgente
Mantener la cortesía, acusar recibo, transmitir : la presión no cambia ni el circuito ni el plazo, lo hace más urgente.
Formulario dudoso
Casillas premarcadas o información ausente : fotografiar y avisar al referente en lugar de « corregirlo » uno mismo.
Cookies del sitio escaparate
Verificar que rechazar sea tan fácil como aceptar : el banner es el consentimiento más visible de la empresa.
✓ Buenas prácticas
- Toda solicitud fechada y transmitida sin demora.
- Formularios : informados, nunca premarcados.
- El consentimiento no siempre es la base.
✗ Errores frecuentes
- Improvisar una respuesta de supresión.
- Casillas de consentimiento premarcadas.
- Dejar pasar el plazo sin transmitir.
Puntos clave
- Toda persona puede pedir el acceso, la corrección o la supresión de sus datos : son derechos, no favores.
- Una solicitud de derecho se transmite al DPD/referente sin demora — el plazo de respuesta corre desde la recepción.
- El consentimiento debe ser libre y explícito : casillas premarcadas y consentimientos forzados son ilegales.
- El consentimiento no siempre es la base correcta : contrato y obligación legal cubren muchos tratamientos corrientes.
Reto 48h — aplica mañana
Identifica por escrito el circuito interno de una solicitud de derecho (quién, qué dirección, qué plazo interno) y verifica 1 formulario interno (información + casillas no premarcadas).
- Puedo citar los 6 derechos de las personas.
- Sé por qué se transmite en lugar de improvisar.
- He identificado el circuito interno y verificado 1 formulario.
Preguntas frecuentes
Un cliente descontento pide la supresión de todos sus datos : ¿hay que borrarlo todo?
No necesariamente : los datos necesarios para una obligación legal (facturación, garantía) se conservan. Por eso la solicitud se transmite al DPD, que decide base jurídica por base jurídica.
¿Qué se arriesga al ignorar una solicitud de acceso?
Reclamación, requerimiento, sanción — y una imagen deteriorada. El incumplimiento de los derechos es uno de los primeros motivos de reclamaciones ante las autoridades de control.
Karim recibe « supriman mis datos ». ¿Qué debe hacer?