Los derechos de rectificación, supresión, limitación, portabilidad y oposición

La portabilidad tiene dos caras: recibir los datos en un formato estructurado, de uso común y lectura mecánica para llevarlos a otro, y pedir que se transmitan directamente de responsable a responsable. Esa segunda vía tiene un solo límite, que sea técnicamente posible; no depende de la voluntad del responsable que los tiene, que no puede impedir la transmisión, ni de que los dos estén en el mismo grupo.

Recortar estos derechos exige una medida legislativa del Derecho de la Unión o de un Estado miembro, que además tiene que respetar en lo esencial los derechos fundamentales y ser necesaria y proporcionada en una sociedad democrática para salvaguardar uno de los fines tasados, como la seguridad del Estado o la seguridad pública. No lo puede hacer la autoridad de control por instrucción, ni el responsable por contrato o con sus normas internas.

Oponerse por la situación particular no detiene el tratamiento sin más: el responsable deja de tratar los datos salvo que acredite motivos legítimos imperiosos que prevalezcan sobre los intereses, los derechos y las libertades del interesado, o que los necesite para formular, ejercer o defender reclamaciones. La carga de acreditarlo es del responsable: el interesado no tiene que probar ningún perjuicio. El interés legítimo no impide oponerse, y el responsable puede alegar motivos propios, pero tienen que ser imperiosos y prevalecer.

Un derecho escondido entre otras cláusulas no se ejerce, y por eso el reglamento lo saca aparte: tiene que mencionarse explícitamente, presentarse con claridad y al margen de cualquier otra información, y a más tardar en la primera comunicación con el interesado. Diluirlo en la política general, esperar a que pregunte o retrasarlo un año no cumple.

Ante un tratamiento ilícito el interesado no está obligado a aceptar el borrado: puede oponerse a que se borren sus datos y pedir en su lugar que se limite su uso, por ejemplo porque los necesita conservados. Ese es uno de los supuestos de la limitación del tratamiento. Rectificar un dato no sana la ilicitud de un tratamiento.

La prohibición tiene tres salidas tasadas: que la decisión sea necesaria para celebrar o ejecutar un contrato, que la autorice el Derecho de la Unión o del Estado con garantías adecuadas, o que se base en el consentimiento explícito del interesado. El interés legítimo, que sí sirve como base para muchos tratamientos, no está entre ellas, y el tamaño del responsable o el sentido del resultado no eximen.

El derecho exige las dos piezas: que la decisión se base únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, y que produzca efectos jurídicos en el interesado o le afecte significativamente de modo similar. Una decisión que una persona toma apoyándose en un sistema automatizado no está dentro, y una automatizada sin efectos relevantes, tampoco. No es un derecho solo frente a las Administraciones.

Que la decisión sea necesaria para el contrato la permite, pero no la deja sin garantías: el responsable tiene que adoptar medidas adecuadas y, como mínimo, reconocer el derecho a obtener intervención humana, a expresar su punto de vista y a impugnar la decisión. El reglamento no exige revelar el código ni someter el algoritmo a auditorías periódicas.

Lo que se hizo público se copia y se enlaza, y por eso el reglamento no se conforma con el borrado propio: el responsable tiene que adoptar medidas razonables, también técnicas, para informar a los demás responsables de que el interesado pide suprimir enlaces, copias y réplicas. Es un deber de informar, medido según la tecnología disponible y su coste, no una obligación de borrar él lo que tienen otros, y no pasa por la autoridad de control.

La investigación científica sí figura entre las excepciones, pero con una condición: solo en la medida en que la supresión pudiera hacer imposible u obstaculizar gravemente los objetivos del tratamiento, y de conformidad con el art. 89.1. No es una exclusión automática por el solo fin, ni depende de que el interesado consintiera en origen el uso para investigar: la excepción mira al daño que la supresión causaría al estudio, no a cómo se recogieron los datos.

Frente a la investigación científica o histórica y la estadística, el interesado conserva el derecho a oponerse por su situación particular, con una sola salvedad: que el tratamiento sea necesario para cumplir una misión realizada por razones de interés público. No es un derecho absoluto ni está excluido de entrada, y el reglamento no lo hace depender de que los datos estén seudonimizados o agregados.

Limitar no es borrar: los datos se quedan, pero inmovilizados. La conservación es lo único que no necesita justificación; cualquier otro tratamiento exige el consentimiento del interesado o una de las causas tasadas, como las reclamaciones, la protección de los derechos de otra persona o un interés público importante. Seguir usándolos o comunicarlos vaciaría la limitación, y suprimirlos frustraría lo que el interesado pidió al limitar.

La corrección no sirve de mucho si los datos erróneos siguen circulando, así que el responsable tiene que comunicar la rectificación, la supresión o la limitación a cada destinatario al que comunicó los datos. Solo se libera si es imposible o exige un esfuerzo desproporcionado. El deber es suyo, no de la autoridad de control, y no depende de que el interesado le señale a quién avisar; lo que este sí puede pedir es que le diga quiénes son esos destinatarios.

El derecho de supresión cede cuando el tratamiento es necesario para ejercer la libertad de expresión e información, que es la primera de las excepciones que enumera el reglamento. Haberse recogido con consentimiento no lo excluye: retirarlo es precisamente uno de los motivos para pedir la supresión. Ni la naturaleza comercial del responsable ni la antigüedad de los datos son excepciones.

Que los datos ya no hagan falta para los fines para los que se recogieron o trataron es uno de los supuestos de supresión. Impugnar la exactitud es lo que abre la limitación del tratamiento mientras el responsable lo verifica, y lo que corrige un dato inexacto es la rectificación, no el borrado. Comunicar los datos a un tercero o que consten en un registro público no son, por sí, causas de supresión.