Los derechos de rectificación, supresión, limitación, portabilidad y oposición

• Cuando los datos se hayan recogido con el consentimiento del interesado
• Cuando el tratamiento sea necesario para ejercer la libertad de expresión
• Cuando el responsable del tratamiento sea una empresa con fines comerciales
• Cuando hayan pasado menos de cinco años desde que se recogieron los datos

El derecho de supresión cede cuando el tratamiento es necesario para ejercer la libertad de expresión e información, que es la primera de las excepciones que enumera el reglamento. Haberse recogido con consentimiento no lo excluye: retirarlo es precisamente uno de los motivos para pedir la supresión. Ni la naturaleza comercial del responsable ni la antigüedad de los datos son excepciones.

• Cuando el tratamiento sea automatizado, sea cual sea su base jurídica
• Cuando se base en el interés legítimo del responsable y sea automatizado
• Cuando se base en el consentimiento o en un contrato, aunque se haga en papel
• Cuando se base en el consentimiento o en un contrato y sea automatizado

La portabilidad exige dos condiciones a la vez: una base jurídica concreta —el consentimiento o la ejecución de un contrato— y un tratamiento por medios automatizados. Un tratamiento automatizado basado en el interés legítimo o en otra base no la abre, y uno en papel tampoco, aunque se base en el consentimiento.

• No: tiene que recibirlos él y transmitirlos después por su cuenta
• Sí, cuando sea técnicamente posible hacer esa transmisión directa
• Sí, pero solo si lo acepta el responsable que tiene los datos
• Solo si los dos responsables pertenecen al mismo grupo empresarial

La portabilidad tiene dos caras: recibir los datos en un formato estructurado, de uso común y lectura mecánica para llevarlos a otro, y pedir que se transmitan directamente de responsable a responsable. Esa segunda vía tiene un solo límite, que sea técnicamente posible; no depende de la voluntad del responsable que los tiene, que no puede impedir la transmisión, ni de que los dos estén en el mismo grupo.

• Cuando se base en el interés legítimo del responsable
• Cuando el resultado favorezca en parte al interesado
• Cuando se base en el consentimiento explícito del interesado
• Cuando la adopte un responsable con menos de 250 trabajadores

La prohibición tiene tres salidas tasadas: que la decisión sea necesaria para celebrar o ejecutar un contrato, que la autorice el Derecho de la Unión o del Estado con garantías adecuadas, o que se base en el consentimiento explícito del interesado. El interés legítimo, que sí sirve como base para muchos tratamientos, no está entre ellas, y el tamaño del responsable o el sentido del resultado no eximen.

• Siguen tratándose si el responsable acredita motivos legítimos imperiosos
• Dejan de tratarse solo si el interesado alega su situación particular
• Dejan de tratarse solo si el interesado no había consentido antes ese uso
• Los datos dejan de tratarse para esos fines, sin ponderar otros motivos

Frente a la mercadotecnia directa el reglamento no pide razones ni abre ninguna ponderación: el interesado puede oponerse en todo momento y, cuando lo hace, los datos dejan de tratarse para esos fines. No hace falta que alegue su situación particular, da igual que antes hubiera consentido ese uso y el responsable no puede invocar intereses propios para seguir.

• En ninguno: frente a los fines estadísticos puede oponerse siempre
• En todos: los fines estadísticos excluyen el derecho a oponerse
• Cuando el tratamiento sea necesario para una misión de interés público
• Cuando los datos se traten seudonimizados o de forma agregada

Frente a la investigación científica o histórica y la estadística, el interesado conserva el derecho a oponerse por su situación particular, con una sola salvedad: que el tratamiento sea necesario para cumplir una misión realizada por razones de interés público. No es un derecho absoluto ni está excluido de entrada, y el reglamento no lo hace depender de que los datos estén seudonimizados o agregados.

• Usarlos para los mismos fines que antes, pero sin cederlos a nadie
• Comunicarlos a los destinatarios a los que ya los hubiera cedido
• Conservarlos, pero sin someterlos a ningún otro tratamiento
• Nada: tiene que suprimirlos mientras dure la limitación

Limitar no es borrar: los datos se quedan, pero inmovilizados. La conservación es lo único que no necesita justificación; cualquier otro tratamiento exige el consentimiento del interesado o una de las causas tasadas, como las reclamaciones, la protección de los derechos de otra persona o un interés público importante. Seguir usándolos o comunicarlos vaciaría la limitación, y suprimirlos frustraría lo que el interesado pidió al limitar.

• Cuando el tratamiento no se base en otro fundamento jurídico
• Siempre, porque sin consentimiento ningún tratamiento es lícito
• Solo si además se opone al tratamiento por su situación particular
• Solo si acredita también que los datos se trataron ilícitamente

Retirar el consentimiento da derecho a la supresión cuando el tratamiento no se apoya en otra base: el consentimiento es una de las bases de licitud, no la única, y un tratamiento que también descansa, por ejemplo, en una obligación legal sigue siendo lícito. Retirar el consentimiento es un supuesto propio de supresión, así que no hace falta sumarle la objeción al tratamiento ni probar que fue ilícito.

• Pedir antes la autorización de la autoridad de control
• Informar al interesado antes de levantar la limitación
• Obtener de nuevo el consentimiento expreso del interesado
• Comunicárselo al interesado en el mes siguiente a levantarla

Quien obtuvo la limitación tiene que saber que va a terminar antes de que termine, para poder reaccionar: el reglamento exige informarle antes del levantamiento. No pide un nuevo consentimiento ni la autorización de la autoridad de control, y avisar después llega tarde.