Nemoteca
Bloque

Lo que la ley orgánica añade a los derechos de las personas

18 preguntas · en 4 colecciones

El título III de la Ley Orgánica 3/2018: la transparencia y la información al afectado, las reglas comunes para ejercer los derechos y lo que la ley precisa de los derechos de acceso, rectificación, supresión, limitación del tratamiento y portabilidad, y del de oponerse al tratamiento.

Colecciones que lo incluyen

Así son sus preguntas

Resueltas, y cada una con la cita literal que la justifica, para que compruebes la respuesta por tu cuenta.

Un responsable atiende el acceso con un sistema remoto, pero el sistema no muestra parte de la información que el art. 15.1 del RGPD da derecho a conocer. Según la LO 3/2018, ¿puede el afectado pedírsela?

  • Sí: puede pedirle la información de ese artículo que el sistema no incluya
  • No: con el sistema remoto, la solicitud de acceso queda atendida a todos los efectos
  • Solo si acredita ante la Agencia que esa información le resulta necesaria
  • No, salvo que el responsable acepte facilitársela de forma voluntaria

El sistema remoto da por atendido el acceso a los datos, pero no cierra la puerta a lo demás: el afectado conserva el derecho a pedir al responsable la información del art. 15.1 del RGPD que el sistema no ofrezca. No depende de la buena voluntad del responsable ni de acreditar nada ante la Agencia.

No obstante, el interesado podrá solicitar del responsable la información referida a los extremos previstos en el artículo 15.1 del Reglamento (UE) 2016/679 que no se incluyese en el sistema de acceso remoto.
Ley Orgánica 3/2018, de 5 de diciembre

Según la LO 3/2018, ¿cuándo puede el encargado del tratamiento tramitar las solicitudes de ejercicio de derechos de los afectados?
  • Cuando lo prevea el contrato o acto jurídico que lo vincula al responsable
  • Cuando el afectado lo elija como destinatario de su solicitud
  • Cuando el responsable no las haya atendido dentro del plazo previsto
  • Cuando lo autorice la autoridad de protección de datos competente

El encargado actúa por cuenta del responsable, así que puede tramitar las solicitudes si el contrato o el acto jurídico que los une lo prevé. No lo decide el afectado al dirigirle la solicitud, no necesita autorización de ninguna autoridad y no sustituye al responsable que se retrasa: lo que decide es lo pactado entre los dos.

El encargado podrá tramitar, por cuenta del responsable, las solicitudes de ejercicio formuladas por los afectados de sus derechos si así se estableciere en el contrato o acto jurídico que les vincule.
Ley Orgánica 3/2018, de 5 de diciembre

Según la LO 3/2018, ¿qué tiene que garantizar un sistema de acceso remoto para que, con él, se entienda otorgado el derecho de acceso?
  • Un acceso directo y seguro a la totalidad de los datos, de modo permanente
  • Una consulta de los datos más relevantes durante el plazo de un mes
  • Un acceso a todos los datos, pero solo en el horario de atención al público
  • Una copia descargable de los datos del último año, previa solicitud

Para dar por atendido el acceso con un sistema remoto, la ley pide las tres cosas a la vez: que sea directo y seguro, que llegue a todos los datos y que esté disponible de forma permanente. Un acceso parcial, limitado en el tiempo o con horario no cumple, porque deja al afectado sin parte de lo que tiene derecho a ver.

El derecho de acceso se entenderá otorgado si el responsable del tratamiento facilitara al afectado un sistema de acceso remoto, directo y seguro a los datos personales que garantice, de modo permanente, el acceso a su totalidad.
Ley Orgánica 3/2018, de 5 de diciembre

Según la LO 3/2018, cuando el tratamiento de unos datos personales está limitado, ¿dónde debe constar claramente esa circunstancia?
  • En un registro público de la Agencia Española de Protección de Datos
  • En los sistemas de información del propio responsable
  • En el contrato firmado entre el responsable y el encargado
  • En el expediente del afectado ante la autoridad de control

La limitación solo funciona si quien maneja los datos la ve al usarlos: por eso la ley exige que conste con claridad en los propios sistemas de información del responsable. No hay un registro público de datos limitados, y el contrato con el encargado ni el expediente ante la autoridad son el sitio donde se consultan los datos al tratarlos.

El hecho de que el tratamiento de los datos personales esté limitado debe constar claramente en los sistemas de información del responsable.
Ley Orgánica 3/2018, de 5 de diciembre

Según la LO 3/2018, cuando los datos no se han obtenido del propio afectado, ¿qué incluye además la información básica?
  • La base jurídica del tratamiento y el plazo que tiene para reclamar
  • Las categorías de datos tratados y las fuentes de las que proceden
  • El motivo por el que no se recogieron del afectado y quién lo decidió
  • El consentimiento dado para la cesión y la fecha en que se otorgó

Quien recibe sus datos de otro no sabe qué datos tiene el responsable ni de dónde salen, y por eso la capa básica suma esas dos piezas a las comunes. La ley no pide justificar por qué no se recogieron del afectado, ni presupone que hubo un consentimiento para cederlos.

En estos supuestos, la información básica incluirá también: a) Las categorías de datos objeto de tratamiento. b) Las fuentes de las que procedieran los datos.
Ley Orgánica 3/2018, de 5 de diciembre
Ver 13 preguntas más

Según la LO 3/2018, salvo que haya causa legítima, ¿cuándo puede considerarse repetitivo el ejercicio del derecho de acceso?
  • Cuando se ejerce más de una vez en un plazo de tres meses
  • Cuando se ejerce más de dos veces en un plazo de un año
  • Cuando se ejerce más de una vez en un plazo de seis meses
  • Cuando se ejerce más de una vez dentro del mismo año natural

La ley concreta qué es una solicitud repetitiva a efectos del RGPD: volver a pedir el acceso dentro de los seis meses siguientes, salvo que haya una causa legítima que lo justifique. Los tres meses quedan cortos y el año, largo; y el corte no es por año natural ni por número de peticiones al año.

se podrá considerar repetitivo el ejercicio del derecho de acceso en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello
Ley Orgánica 3/2018, de 5 de diciembre

Un afectado se opone a que sus datos se usen para mercadotecnia directa y, por eso, el responsable los suprime. Según la LO 3/2018, ¿qué datos puede conservar el responsable, y para qué?
  • Ninguno, porque la supresión obliga a borrar todos los datos del afectado
  • Los de contacto, para ofrecerle productos distintos de los que rechazó
  • Los identificativos necesarios para impedir tratamientos futuros con ese fin
  • Los que el afectado autorice en su solicitud, para fines estadísticos

Para no volver a enviarle publicidad hace falta saber a quién no enviársela: por eso, cuando la supresión nace de oponerse a la mercadotecnia directa, el responsable puede guardar los datos identificativos imprescindibles para evitarlo. No le sirven para ofrecerle otros productos, que sería otra vez mercadotecnia.

el responsable podrá conservar los datos identificativos del afectado necesarios con el fin de impedir tratamientos futuros para fines de mercadotecnia directa
Ley Orgánica 3/2018, de 5 de diciembre

Según la LO 3/2018, ¿qué debe indicar el afectado en su solicitud cuando ejerce el derecho de rectificación?
  • El origen de los datos y la fecha en que se los facilitó al responsable
  • La fecha en que el responsable empezó a tratar los datos que quiere corregir
  • El perjuicio que le causa la inexactitud y su valoración económica
  • A qué datos se refiere y la corrección que haya de realizarse

Para que el responsable pueda corregir, el afectado le dice qué datos están mal y cómo deben quedar, y acompaña la documentación justificativa cuando sea precisa. No tiene que explicar de dónde salieron los datos ni cuándo empezó su tratamiento, ni probar un perjuicio.

el afectado deberá indicar en su solicitud a qué datos se refiere y la corrección que haya de realizarse
Ley Orgánica 3/2018, de 5 de diciembre

Según la LO 3/2018, ¿cómo pueden ejercerse los derechos que el RGPD reconoce al afectado?
  • Solo personalmente por el afectado, que tiene que identificarse ante el responsable
  • Directamente por el afectado o por medio de representante legal o voluntario
  • Por el afectado o su representante legal; el voluntario, solo para el acceso
  • Por el afectado o su representante, previa autorización de la Agencia

La ley admite las dos clases de representación: la legal, que viene dada por la ley, como la de los padres de un menor, y la voluntaria, la que el afectado otorga a quien elige. No la limita a un derecho concreto ni la somete a la autorización de nadie.

podrán ejercerse directamente o por medio de representante legal o voluntario
Ley Orgánica 3/2018, de 5 de diciembre

Según la LO 3/2018, cuando los datos se obtienen del propio afectado, ¿qué basta con que el responsable le facilite para cumplir el deber de información?
  • La identidad del responsable y nada más, si el afectado no pide otra cosa
  • La información completa, siempre que se la entregue en el mes siguiente a la recogida
  • Una información básica y una dirección electrónica u otro medio de acceso al resto
  • Un aviso de que puede pedir la información por escrito cuando lo desee

La ley permite informar por capas: una información básica en el momento y un medio que lleve de forma sencilla e inmediata a la restante. La identidad sola no basta, porque la capa básica tiene un contenido mínimo; y un aviso de que se puede pedir no da acceso inmediato a nada. Entregarlo todo un mes después no es la vía que abre la ley: la información se da al recoger los datos.

facilitando al afectado la información básica a la que se refiere el apartado siguiente e indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información
Ley Orgánica 3/2018, de 5 de diciembre

Según la LO 3/2018, ¿cuál de estos contenidos tiene que figurar, al menos, en la información básica que se da al afectado?
  • La posibilidad de ejercer los derechos de los arts. 15 a 22 del RGPD
  • El plazo durante el que se conservarán sus datos personales
  • Los datos de contacto del delegado de protección de datos
  • Los destinatarios o las categorías de destinatarios de sus datos

La capa básica tiene tres contenidos mínimos: quién es el responsable, para qué se tratan los datos y que el afectado puede ejercer los derechos de los arts. 15 a 22 del RGPD. El plazo de conservación, el delegado y los destinatarios son información que el responsable debe dar, pero puede dejarla para la información restante.

La información básica a la que se refiere el apartado anterior deberá contener, al menos: a) La identidad del responsable del tratamiento y de su representante, en su caso. b) La finalidad del tratamiento. c) La posibilidad de ejercer los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679.
Ley Orgánica 3/2018, de 5 de diciembre

Una empresa recoge datos de sus clientes y va a usarlos para elaborar perfiles. Según la LO 3/2018, ¿qué tiene que añadir a la información básica?
  • Nada: los perfiles se explican solo en la información restante, no en la básica
  • La lógica completa del algoritmo y todas las consecuencias previstas del perfil
  • La identidad de los terceros a quienes vaya a ceder los perfiles
  • Esa circunstancia y, si concurre, su derecho a oponerse a las decisiones automatizadas

Elaborar perfiles no puede quedar escondido en la segunda capa: la información básica tiene que decirlo y, cuando el derecho concurra, avisar de que el afectado puede oponerse a decisiones individuales automatizadas con efectos jurídicos o significativos. El detalle de la lógica y de los cesionarios no es lo que la ley exige subir a la capa básica.

Si los datos obtenidos del afectado fueran a ser tratados para la elaboración de perfiles, la información básica comprenderá asimismo esta circunstancia. En este caso, el afectado deberá ser informado de su derecho a oponerse a la adopción de decisiones individuales automatizadas que produzcan efectos jurídicos sobre él o le afecten significativamente de modo similar, cuando concurra este derecho de acuerdo con lo previsto en el artículo 22 del Reglamento (UE) 2016/679.
Ley Orgánica 3/2018, de 5 de diciembre

Un responsable ofrece un formulario web para ejercer los derechos y el afectado le envía su solicitud por correo postal. Según la LO 3/2018, ¿puede denegarla por ese motivo?
  • Sí, porque el afectado tiene que usar el medio que el responsable le ofrece
  • Sí, salvo que el afectado justifique por qué no ha usado el formulario web
  • No, salvo que el responsable lo advirtiera en su política de privacidad
  • No: el derecho no puede denegarse por el solo hecho de elegir otro medio

El responsable tiene que informar de los medios que ofrece, y deben ser fácilmente accesibles, pero eso no convierte su canal en obligatorio: la ley prohíbe denegar el derecho por el solo motivo de que el afectado opte por otro medio. No hay justificación que exigir al afectado ni aviso previo que lo salve.

El ejercicio del derecho no podrá ser denegado por el solo motivo de optar el afectado por otro medio.
Ley Orgánica 3/2018, de 5 de diciembre

Según la LO 3/2018, si el afectado elige para el acceso un medio distinto del que se le ofrece y que supone un coste desproporcionado, ¿quién asume el exceso de costes?
  • El responsable, que debe atender el acceso por el medio que se le pida
  • El afectado, porque su solicitud se considera excesiva
  • El responsable y el afectado, a partes iguales entre los dos
  • El encargado, cuando sea él quien tramite la solicitud de acceso

Elegir un medio caro cuando se ofrece otro convierte la solicitud en excesiva, y el exceso de costes lo paga quien lo eligió, el afectado. El responsable no tiene que absorberlo ni compartirlo, y el encargado que tramite la solicitud lo hace por cuenta del responsable, no a su costa.

la solicitud será considerada excesiva, por lo que dicho afectado asumirá el exceso de costes que su elección comporte
Ley Orgánica 3/2018, de 5 de diciembre

Una madre quiere ejercer en nombre de su hijo de doce años el derecho de supresión de sus datos. Según la LO 3/2018, ¿puede hacerlo?
  • No, porque el derecho de supresión solo puede ejercerlo el propio menor
  • Sí, pero solo si el menor presta también su consentimiento a la solicitud
  • No, salvo que lo autorice antes el Ministerio Fiscal
  • Sí, en nombre y representación de su hijo, por ser menor de catorce años

Los titulares de la patria potestad pueden ejercer en nombre y representación de los menores de catorce años cualquiera de los derechos que les correspondan, no solo el de acceso: también la supresión. La ley no pide que el menor consienta a la vez ni da aquí ningún papel al Ministerio Fiscal.

los titulares de la patria potestad podrán ejercitar en nombre y representación de los menores de catorce años los derechos de acceso, rectificación, cancelación, oposición o cualesquiera otros que pudieran corresponderles en el contexto de la presente ley orgánica
Ley Orgánica 3/2018, de 5 de diciembre

Según la LO 3/2018, ¿sobre quién recae la prueba de que se cumplió el deber de responder a una solicitud de ejercicio de derechos?
  • Sobre el afectado que presentó la solicitud
  • Sobre el encargado que trató los datos
  • Sobre el responsable del tratamiento
  • Sobre el delegado de protección de datos

Es el responsable quien tiene que poder acreditar que contestó: el afectado no carga con probar un hecho negativo, que no le respondieron. Aunque el encargado tramite la solicitud o el delegado intervenga, la prueba sigue siendo del responsable.

La prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulado por el afectado recaerá sobre el responsable.
Ley Orgánica 3/2018, de 5 de diciembre

Según la LO 3/2018, como regla, ¿qué le cuesta al afectado que el responsable atienda su solicitud de ejercicio de derechos?
  • Un canon que fija cada responsable según el volumen de datos tratados
  • Nada: las actuaciones del responsable para atenderla son gratuitas
  • Nada la primera solicitud de cada año; las siguientes, un canon razonable
  • Una tasa aprobada por la Agencia Española de Protección de Datos

Atender los derechos es gratuito para el afectado. Las salvedades son las que la propia ley enumera, por remisión al Reglamento y a su art. 13: solicitudes infundadas, excesivas o repetitivas, copias adicionales y medios elegidos por el afectado que encarecen la respuesta. Ninguna permite al responsable fijar un precio general por volumen ni cobrar por año natural, y no existe una tasa de la Agencia por ejercer los derechos.

Serán gratuitas las actuaciones llevadas a cabo por el responsable del tratamiento para atender las solicitudes de ejercicio de estos derechos, sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del Reglamento (UE) 2016/679 y en los apartados 3 y 4 del artículo 13 de esta ley orgánica.
Ley Orgánica 3/2018, de 5 de diciembre

Un banco trata una gran cantidad de datos de un cliente, y este pide el acceso sin precisar si se refiere a todos o a una parte. Según la LO 3/2018, ¿qué puede hacer el banco antes de facilitarle la información?
  • Denegar la solicitud por excesiva hasta que el cliente la presente de nuevo
  • Cobrarle un canon por el volumen de datos que tendrá que entregarle
  • Pedirle que especifique los datos o actividades de tratamiento a que se refiere
  • Entregarle solo un resumen de sus datos y dar la solicitud por atendida

Ante un volumen grande de datos y una petición genérica, la ley deja al responsable pedir que el afectado concrete qué datos o qué tratamientos quiere conocer. Es una aclaración previa, no una forma de rechazar la solicitud, de cobrarla o de atenderla a medias.

el responsable podrá solicitarle, antes de facilitar la información, que el afectado especifique los datos o actividades de tratamiento a los que se refiere la solicitud
Ley Orgánica 3/2018, de 5 de diciembre