Todo lo que quer¨ªas saber sobre tus datos y no te atrev¨ªas a preguntar

Estos d¨ªas, seguramente, estar¨¢s recibiendo un aluvi¨®n de correos electr¨®nicos o estar¨¢s viendo innumerables avisos (en ventanas emergentes) en las webs que visitas o en las aplicaciones que utilizas, que te solicitan tu consentimiento expreso para poder seguir tratando tus datos, cumpliendo el nuevo Reglamento General de Protecci¨®n de Datos, que se aplica el pr¨®ximo viernes, 25 de mayo.

En muchos casos te sorprender¨¢ ver qui¨¦nes te escriben y te lo piden, porque no les conoces de nada y no recuerdas haberles dado nunca tu consentimiento para que capten y traten tus datos personales, ni tienes la m¨¢s m¨ªnima idea de qu¨¦ datos tuyos pueden tener, ni para qu¨¦ los estar¨¢n utilizando. Pues bien ha llegado el momento de saberlo¡­ y de no darles tu consentimiento, si no quieres.

EL RGPD exige un consentimiento libre, informado, inequ¨ªvoco y espec¨ªfico

EL RGPD exige un consentimiento libre, informado, inequ¨ªvoco y espec¨ªfico, que debe plasmarse -para poder documentarse- en una declaraci¨®n (con palabras) o en una clara acci¨®n afirmativa (marcar una casilla), para cada finalidad o uso. Obviamente, para poder dar tu consentimiento libre, te tienen que informar antes de qu¨¦ datos tuyos tienen, o quieren, y para qu¨¦ los usan, o quieren usar.

La obligaci¨®n de informaci¨®n de la empresa

Seg¨²n el RGPD de la UE y la Gu¨ªa para el cumplimiento del deber de informar de la Agencia Espa?ola de Protecci¨®n de Datos, en el momento de recabar los datos, cuando se recaben del propio titular (art. 13) o, a m¨¢s tardar, en el plazo de un mes o en la primera comunicaci¨®n que se realice, si se obtienen por otros medios (art. 14), la empresa debe informarle a ¨¦ste, entre otras cosas, de:

1. ?Qui¨¦n es el responsable del tratamiento? (y sus datos de contacto)

2. ?Qu¨¦ (tipos de) datos personales se tienen o se piden?

3. ?A qu¨¦ fines se van a destinar?, ?se van a elaborar perfiles con ellos?

4. ?Se piensan ceder a terceros?, ?a qui¨¦nes y para qu¨¦?

5. ?Con qu¨¦ base jur¨ªdica (l¨ªcita) se van a tratar esos datos personales?

Lo de la base jur¨ªdica es importante, porque el consentimiento expreso del titular no es la ¨²nica base jur¨ªdica (l¨ªcita) por la que un empresario puede tratar datos personales. Puede alegar un inter¨¦s leg¨ªtimo (suyo o de un tercero), pero debe decir cu¨¢l es ese inter¨¦s leg¨ªtimo y explicar por qu¨¦ cree ¨¦l que prevalece sobre los intereses o los derechos y libertades fundamentales del titular (su intimidad).

El derecho de acceso del cliente

Como algunas empresas no est¨¢n solicitando el consentimiento expreso, porque consideran que ya lo tienen o que no es necesario (pues basan el tratamiento de datos personales en un inter¨¦s leg¨ªtimo, suyo o de un tercero), tampoco est¨¢n facilitando a los titulares de esos datos la informaci¨®n que hemos mencionado. Pero ¨¦stos siempre pueden ejercer su derecho de acceso (art. 15).

El derecho de acceso ya exist¨ªa en la anterior Directiva europea y en nuestra Ley Org¨¢nica de Protecci¨®n de Datos, pero en el RGPD se ampl¨ªa y refuerza, siendo una de las principales novedades, junto con el derecho a recibir una informaci¨®n transparente (art. 12), por el que la empresa debe facilitarla ¡°en forma concisa, transparente, inteligible y de f¨¢cil acceso, con un lenguaje claro y sencillo¡±.

En este sentido, cuando recibas un correo de una empresa a la que no recuerdes haber dado tus datos personales ni tu consentimiento (expreso) para utilizarlos, contesta -por el mismo canal que se ha puesto en contacto contigo- y pregunta, ampar¨¢ndote en el RGPD y citando las obligaciones (y sanciones) previstas en el mismo, todo lo que quer¨ªas saber sobre tus datos y no te atrev¨ªas a preguntar.

Este es el modelo de solicitud de acceso y de informaci¨®n que deber¨¢s usar

En ejercicio de mi derecho de acceso, contemplado en el art. 15 del Reglamento General de Protecci¨®n de Datos, de aplicaci¨®n en toda la Uni¨®n Europea desde el 25 de mayo de 2018, les ruego que me confirmen si se est¨¢n tratando (o no) datos personales que me conciernen y, en tal caso, me faciliten una copia de los mismos, as¨ª como la siguiente informaci¨®n:

1. ?Qui¨¦n es el responsable del tratamiento?

2. ?Cu¨¢les son sus datos de contacto?

3. ?Qu¨¦ datos personales tienen sobre m¨ª?

4. ?C¨®mo y de d¨®nde los han obtenido?

5. ?Con qu¨¦ base jur¨ªdica se est¨¢n tratando?

6. ?A qu¨¦ fines se est¨¢ destinando cada uno de ellos?

7. ?Se est¨¢n elaborando perfiles con ellos?

8. ?Hay decisiones automatizadas basadas en ellos?

9. ?Se han cedido a terceros? ?A qui¨¦nes?

10. ?Para qu¨¦ finalidades concretas se les han cedido?

En el caso de que la ¡®base jur¨ªdica¡¯ para el tratamiento de mis datos personales sea mi consentimiento (expreso), les ruego me faciliten una copia del documento en que ¨¦ste se demuestra (art. 7.1). En el caso de que sea un ¡®inter¨¦s leg¨ªtimo¡¯, les ruego me indiquen cu¨¢l y de qui¨¦n es, as¨ª como la raz¨®n por la que creen que prevalece sobre mis intereses o derechos y libertades fundamentales (art. 6.1.f).

En el caso de ¡®elaboraci¨®n de perfiles¡¯ o existencia de ¡®decisiones automatizadas¡¯ (basadas ¨²nicamente en el tratamiento automatizado de mis datos personales), ruego me faciliten informaci¨®n sobre la base jur¨ªdica utilizada para ello (art. 22.2), as¨ª como informaci¨®n significativa (en un lenguaje claro y sencillo) sobre la l¨®gica aplicada y la importancia y las consecuencias de dichos tratamientos para m¨ª.

Les recuerdo que, en virtud del art. 12.3, deber¨¢ facilitarme toda esta informaci¨®n en el plazo de un mes a partir de la recepci¨®n de esta solicitud, y que, en virtud del art. 83.5, de no hacerlo podr¨¢n ser sancionados con multas administrativas, como m¨¢ximo, de 20.000.000 EUR o una cuant¨ªa equivalente al 4 % del volumen de negocio total anual global del ejercicio financiero anterior.