Derecho de cancelación: protocolo de actuación y respuesta ante solicitudes
Ratio: 4 / 5
- Detalles
- Publicado: Jueves, 31 Mayo 2012 16:17
La Normativa de Protección de Datos de Carácter Personal reconoce a los interesados, como titulares de los datos que son, una serie de derechos que reciben comúnmente la denominación de derechos “ARCO” (“Acceso”, “Rectificación”, “Cancelación” y “Oposición”)
Dichos derechos se caracterizan por otorgar a los afectados un poder de control sobre aquellos de sus datos de carácter personal que se encuentren sometidos a tratamiento por parte de organismos públicos o entidades privadas.
Más concretamente, el derecho de cancelación confiere al ciudadano la posibilidad de solicitar la supresión de aquellos datos que resulten inadecuados o excesivos, y en general, cuando su tratamiento no se ajuste a lo dispuesto por la LOPD, sin perjuicio del deber de bloqueo de los mismos en los casos que proceda llevarlo a cabo.
Su empresa podrá establecer un protocolo interno de actuación efectivo, así como garantizar una respuesta eficaz ante cualquier solicitud del derecho de cancelación, teniendo en cuenta los aspectos que se indican a continuación:
1) Quien puede solicitarlo:
Como todos los derechos ARCO, el derecho de cancelación tiene la consideración de “personalísimo”, por lo que sólo el interesado, como persona titular de los datos, puede ejercitarlo.
No obstante, existen diversas circunstancias al respecto frente a las que podemos encontrarnos y que deberemos tener en cuenta:
a) Que se efectúe directamente por el propio interesado, debiendo acreditar éste su identidad, mediante copia del DNI, pasaporte u otro documento de carácter equivalente que lo identifique (o mediante firma electrónica)
Nota: Si el afectado se encontrase en situación de incapacidad o minoría de edad, que le imposibilite el ejercicio personal del derecho, podrá realizarse por su representante legal, siempre que acredite tal condición por cualquier método válido en Derecho.
b) Que se lleve a cabo por parte de representante voluntario, que haya sido expresamente designado para el ejercicio de mencionado derecho.
La identidad del representante deberá constar claramente acreditada, a través de copia del DNI o documento equivalente (p.ej.: pasaporte) y de la representación que haya sido conferida al efecto.
¡Atención!: En la práctica, este representante deberá disponer no sólo de un nombramiento especial para el ejercicio de esta actividad jurídica, sino también un apoderamiento especial para llevar a cabo legítimamente los actos en nombre del representado
c) Finalmente, y en caso de fallecimiento del interesado, las personas vinculadas al mismo, por razones familiares o análogas, podrán notificar el óbito (fehacientemente) y solicitar la cancelación de los datos de aquel, cuando hubiere lugar a ello.
2) Procedimiento de solicitud:
El ejercicio del derecho de cancelación deberá efectuarse mediante comunicación, que deberá incluir los siguientes apartados:
- Nombre y apellidos del interesado, junto con el mecanismo adecuado para acreditar su identidad.
- Petición en que se concreta la solicitud (es decir, aquellos datos a los que se refiere el interesado).
- Dirección a efectos de notificaciones, fecha y firma.
- Documentos acreditativos de la petición que formula, en su caso.
El procedimiento a adoptar por parte de su empresa para atender las solicitudes de cancelación que puedan ser recibidas deberá ser sencillo y gratuito (p.ej.: no son admitidos medios que impliquen un coste excesivo al interesado, como cartas certificadas, burofaxes, requerimientos notariales o servicios de telecomunicaciones que impliquen una tarificación adicional), no siendo admisible en general medio alguno que suponga un ingreso o compensación económica para aquella entidad ante la que se ejercita el derecho.
Se podría conceder la posibilidad al interesado de realizar su solicitud ante los servicios ya existentes en su empresa de atención al público y reclamaciones. En tal caso, la identidad del interesado quedaría acreditada simplemente empleando los mecanismos internos establecidos en la empresa destinados a realizar la identificación de clientes.
No obstante, de un modo u otro, y aunque el afectado no haya empleado el procedimiento establecido al efecto por la organización, se deberá atender su solicitud siempre que se emplee, por parte de éste, un medio que permita acreditar el envío y la recepción de la misma, y que ésta contenga los cuatro elementos señalados en la relación indicada con anterioridad.
3) Posibles actuaciones a adoptar ante la solicitud:
Se deberá emitir una contestación a la solicitud en todo caso, tanto si se está efectuando el tratamiento de los datos que son objeto de la misma, como en caso contrario. Asimismo, deberá conservarse siempre por su parte una acreditación de que esa obligación ha sido debidamente cumplida, ya que será su empresa la que, dado el caso, tenga que acreditar que respondió adecuadamente.
Dicha respuesta, dependiendo de la situación concreta, podrá encuadrarse en una de las siguientes opciones:
- Comunicar al afectado que se carece de datos suyos, por lo que se declara improcedente su solicitud.
- En caso de no reunir el requerimiento efectuado los requisitos formales necesarios (nombre y apellidos, acreditación de la identidad, etc..), se deberá solicitar la subsanación de los mismos al interesado.
- En el supuesto de estar efectuada correctamente, cumpliendo los requisitos formales necesarios, se deberá resolver sobre la solicitud de cancelación, en un sentido positivo o negativo.
En cualquiera de las tres circunstancias indicadas, la comunicación al afectado deberá producirse por parte de su empresa en un plazo máximo de 10 días, a contar desde la recepción de la solicitud.
¡Atención!: En dicho plazo deben computarse únicamente los días hábiles (es decir, descontando los festivos).
Consejo: La recepción de la notificación al interesado podrá producirse en un momento posterior al plazo de 10 días hábiles referido, siempre y cuando el envío que efectuemos desde la empresa se produzca dentro de dicho plazo.
Por tanto, y en base a lo expuesto, la solicitud de cancelación que cumpla los requisitos formales indicados, puede ser:
a) Concedida:
Si es estimada, debiendo procederse por parte de su empresa a la identificación y reserva de los concretos datos objetos de la reclamación, a fin impedir su tratamiento posterior a partir de ese momento, y sin perjuicio del debido bloqueo de los mismos.
Nota: A estos efectos, el bloqueo implica que dichos datos cancelados pueden ser puestos a disposición únicamente de las Administraciones Públicas, Jueces y Tribunales cuando sea pertinente, o bien utilizados exclusivamente para la atención de posibles responsabilidades nacidas tanto del tratamiento como del eventual negocio jurídico subyacente (fundamentalmente de naturaleza civil o mercantil) y sólo durante el plazo de prescripción de dichas responsabilidades. Transcurrido dicho plazo deberán ser suprimidos “definitivamente”: es decir, borrados sin posibilidad posterior de recuperación. Sólo podrán conservarse de forma “disociada”, imposibilitando totalmente la identificación del interesado (p.ej.: con fines estadísticos).
¡Atención!: Si su empresa comunicó previamente a una tercera parte los datos cancelados, se deberá informar a ésta de la cancelación producida en un plazo máximo de 10 días hábiles, para que proceda, a su vez y en idéntico plazo desde la recepción de la notificación, a efectuar la cancelación correspondiente en sus ficheros.
b) Denegada:
Puede ser denegada bien porque dichos datos deban ser conservados “operativos” durante los plazos previstos en las disposiciones aplicables (no necesariamente con rango de ley y que así lo indiquen de forma imperativa en el supuesto concreto) o, dado el caso, durante las relaciones contractuales vigentes entre su empresa y el interesado. Dichas relaciones justifican el tratamiento hasta la extinción de las mismas, a fin de que se produzcan los efectos propios del cumplimiento contractual y de la efectiva realización de las recíprocas prestaciones a las que devienen obligadas las partes.
Asimismo, también podrá verse denegada la solicitud de cancelación cuando así lo disponga una ley o una norma de derecho comunitario de aplicación directa (en ambos casos, siempre que lo indiquen de forma explícita), o cuando éstas impidan revelar a los propios afectados el tratamiento de los datos de referencia (es decir, que se derive de la interpretación de cualquiera de ellas la imposibilidad de efectuar la cancelación solicitada).
En todo caso, ante una respuesta denegatoria (total o parcial), deberemos informar al afectado de su derecho a recabar la tutela de la Agencia Española de Protección de Datos (AEPD), de acuerdo a lo establecido en el artículo 18 de la LOPD. Del mismo modo, podrá ser interpuesta la reclamación de tutela por parte del interesado si la respuesta no se produce de forma expresa por parte de su empresa en el plazo habilitado al efecto.
No obstante, contra la resolución emitida por parte de la AEPD podrá interponerse recurso contencioso-administrativo ante la Audiencia Nacional.
4) Cancelación “de oficio”:
Finalmente, la normativa exige que la cancelación de produzca “de oficio” por parte de su empresa (en definitiva, sin que haya mediado una actuación previa por parte del interesado) cuando:
- Se haya verificado que los datos tratados resultan inexactos, en todo o en parte, o incompletos, debiendo ser sustituidos por los que resulten correctos y se adecuen a la situación real del afectado (es decir, por aquellos datos ciertos, actuales, precisos y completos). Esta actuación deberá llevarse a cabo, en general, en un plazo de 10 días hábiles desde que se tuviese conocimiento de la inexactitud.
- Cuando dichos datos dejen de ser necesarios o pertinentes para la finalidad para la que hubiesen sido recabados o registrados. En este supuesto, se podrán conservar dichos datos mientras medie la posibilidad de que le puedan ser exigidas responsabilidades derivadas de relaciones u obligaciones jurídicas, de la ejecución de un contrato o de la aplicación de medidas precontractuales solicitadas por el interesado.
Stéfanos Altidis Cabrejas
Abogado Especialista en Derecho de las TIC
