Los derechos de rectificación, supresión, limitación, portabilidad y oposición

• No: la investigación científica no está entre las excepciones a la supresión
• Sí, siempre y en todo caso, por tratarse de un fin de investigación científica
• Sí, en la medida en que suprimirlos impida u obstaculice gravemente el estudio
• Solo si el interesado consintió en origen que sus datos se usaran para investigar

La investigación científica sí figura entre las excepciones, pero con una condición: solo en la medida en que la supresión pudiera hacer imposible u obstaculizar gravemente los objetivos del tratamiento, y de conformidad con el art. 89.1. No es una exclusión automática por el solo fin, ni depende de que el interesado consintiera en origen el uso para investigar: la excepción mira al daño que la supresión causaría al estudio, no a cómo se recogieron los datos.

• Nada: el derecho de rectificación alcanza solo a los datos inexactos
• Que se completen, incluso mediante una declaración adicional
• Que se supriman, porque un dato incompleto se trata como ilícito
• Que se limite su tratamiento hasta que aporte los datos que faltan

La rectificación no se queda en corregir lo que está mal: teniendo en cuenta los fines del tratamiento, el interesado puede pedir que se completen los datos incompletos, y el reglamento admite hacerlo con una declaración adicional. Un dato incompleto no convierte el tratamiento en ilícito, así que no abre por sí la supresión, y la limitación sirve para otros supuestos.

• Por una instrucción de la autoridad de control de cada Estado
• Por medidas legislativas del Derecho de la Unión o de los Estados
• Por una cláusula del contrato entre el responsable y el encargado
• Por las normas internas que apruebe el propio responsable

Recortar estos derechos exige una medida legislativa del Derecho de la Unión o de un Estado miembro, que además tiene que respetar en lo esencial los derechos fundamentales y ser necesaria y proporcionada en una sociedad democrática para salvaguardar uno de los fines tasados, como la seguridad del Estado o la seguridad pública. No lo puede hacer la autoridad de control por instrucción, ni el responsable por contrato o con sus normas internas.

• Nada más: su deber se agota en suprimirlos de sus propios sistemas
• Borrar él mismo toda copia que exista en Internet, cueste lo que cueste
• Pedir a la autoridad de control que ordene retirarlos en toda la Unión
• Tomar medidas razonables para avisar a quienes los estén tratando

Lo que se hizo público se copia y se enlaza, y por eso el reglamento no se conforma con el borrado propio: el responsable tiene que adoptar medidas razonables, también técnicas, para informar a los demás responsables de que el interesado pide suprimir enlaces, copias y réplicas. Es un deber de informar, medido según la tecnología disponible y su coste, no una obligación de borrar él lo que tienen otros, y no pasa por la autoridad de control.

• Cuando el interesado impugne la exactitud de los datos que le conciernen
• Cuando el responsable los haya comunicado antes a un tercero
• Cuando ya no sean necesarios para los fines para los que se recogieron
• Cuando los datos figuren también en un registro de acceso público

Que los datos ya no hagan falta para los fines para los que se recogieron o trataron es uno de los supuestos de supresión. Impugnar la exactitud es lo que abre la limitación del tratamiento mientras el responsable lo verifica, y lo que corrige un dato inexacto es la rectificación, no el borrado. Comunicar los datos a un tercero o que consten en un registro público no son, por sí, causas de supresión.

• Cuando los datos se hayan recogido con el consentimiento del interesado
• Cuando el tratamiento sea necesario para ejercer la libertad de expresión
• Cuando el responsable del tratamiento sea una empresa con fines comerciales
• Cuando hayan pasado menos de cinco años desde que se recogieron los datos

El derecho de supresión cede cuando el tratamiento es necesario para ejercer la libertad de expresión e información, que es la primera de las excepciones que enumera el reglamento. Haberse recogido con consentimiento no lo excluye: retirarlo es precisamente uno de los motivos para pedir la supresión. Ni la naturaleza comercial del responsable ni la antigüedad de los datos son excepciones.

• Cuando se base en el interés legítimo del responsable
• Cuando el resultado favorezca en parte al interesado
• Cuando se base en el consentimiento explícito del interesado
• Cuando la adopte un responsable con menos de 250 trabajadores

La prohibición tiene tres salidas tasadas: que la decisión sea necesaria para celebrar o ejecutar un contrato, que la autorice el Derecho de la Unión o del Estado con garantías adecuadas, o que se base en el consentimiento explícito del interesado. El interés legítimo, que sí sirve como base para muchos tratamientos, no está entre ellas, y el tamaño del responsable o el sentido del resultado no eximen.

• En ninguno: frente a los fines estadísticos puede oponerse siempre
• En todos: los fines estadísticos excluyen el derecho a oponerse
• Cuando el tratamiento sea necesario para una misión de interés público
• Cuando los datos se traten seudonimizados o de forma agregada

Frente a la investigación científica o histórica y la estadística, el interesado conserva el derecho a oponerse por su situación particular, con una sola salvedad: que el tratamiento sea necesario para cumplir una misión realizada por razones de interés público. No es un derecho absoluto ni está excluido de entrada, y el reglamento no lo hace depender de que los datos estén seudonimizados o agregados.

• De las basadas solo en tratamiento automatizado y con efectos jurídicos o similares
• De cualquiera en cuya preparación se haya usado un tratamiento automatizado
• De las basadas solo en tratamiento automatizado, aunque no le afecten en nada
• De las que adopte una Administración pública mediante cualquier actuación automatizada

El derecho exige las dos piezas: que la decisión se base únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, y que produzca efectos jurídicos en el interesado o le afecte significativamente de modo similar. Una decisión que una persona toma apoyándose en un sistema automatizado no está dentro, y una automatizada sin efectos relevantes, tampoco. No es un derecho solo frente a las Administraciones.