Los derechos, uno por uno
El artículo 4 reconoce a toda persona los derechos de acceso, rectificación, supresión, oposición, portabilidad y bloqueo de sus datos personales. Se los conoce como derechos ARCOP, por sus iniciales. Son personales e irrenunciables: ningún contrato ni formulario puede limitarlos.
| Derecho | Qué permite pedir | Artículo |
|---|---|---|
| Acceso | Confirmar si la organización trata sus datos y obtenerlos, junto con su origen, finalidad, destinatarios, plazo de tratamiento y, si corresponde, el interés legítimo invocado o la lógica de una decisión automatizada | 5 |
| Rectificación | Corregir datos inexactos, desactualizados o incompletos. La corrección debe comunicarse a quienes recibieron los datos | 6 |
| Supresión | Eliminar los datos cuando ya no son necesarios, se retiró el consentimiento, se obtuvieron ilícitamente o están caducos, entre otros casos | 7 |
| Oposición | Que se deje de hacer un tratamiento basado en interés legítimo, hecho con fines de marketing directo o sobre datos de fuentes de acceso público | 8 |
| Decisiones automatizadas | No ser objeto de decisiones automáticas, incluidos los perfiles, que produzcan efectos jurídicos o le afecten significativamente | 8 bis |
| Bloqueo | Suspender temporalmente el tratamiento mientras se resuelve una solicitud de rectificación, supresión u oposición | 8 ter |
| Portabilidad | Recibir en formato electrónico estructurado los datos que entregó, y transferirlos a otro responsable, cuando el tratamiento es automatizado y se basa en su consentimiento | 9 |
Las excepciones importan
No todos los derechos proceden siempre. La supresión no procede, por ejemplo, cuando el tratamiento es necesario para cumplir una obligación legal o ejecutar un contrato con el titular, o para defenderse en una reclamación (artículo 7). Un trabajador no puede pedir que se borre su liquidación de sueldo mientras la ley obliga a conservarla.
La oposición a un tratamiento basado en interés legítimo obliga a dejar de tratar los datos salvo que la organización acredite «motivos legítimos imperiosos» que prevalezcan (artículo 8). Y las decisiones automatizadas se permiten cuando son necesarias para un contrato, hay consentimiento expreso o lo dispone la ley, pero incluso entonces el titular tiene derecho a una explicación, a intervención humana y a pedir la revisión (artículo 8 bis).
Si los datos los tratan varios responsables, el titular puede dirigirse a cualquiera de ellos (artículo 10).
Cómo se ejerce y en qué plazo
El artículo 11 fija el procedimiento:
- La solicitud llega por escrito al correo, formulario o medio electrónico que la organización haya establecido para eso. Debe identificar al titular, indicar dónde recibir la respuesta y señalar los datos o el tratamiento de que se trata. En la rectificación, la supresión y la oposición, el titular aporta además los fundamentos.
- La organización acusa recibo y responde a más tardar dentro de 30 días corridos desde el ingreso. El plazo puede prorrogarse una sola vez, hasta por otros 30 días corridos.
- La respuesta va por escrito al domicilio o correo que indicó el titular, y la organización debe guardar respaldo del envío, su fecha y su contenido íntegro.
- Si se rechaza total o parcialmente, la respuesta debe fundarse e informar al titular que tiene 30 días hábiles para reclamar ante la Agencia.
- Si se rectifica, suprime o se acoge una oposición, hay que comunicar el cambio a quienes recibieron los datos.
La identidad del titular se autentica según los procedimientos que establezca la Agencia (artículo 11, letra a). Hasta que existan, conviene pedir lo justo para verificar identidad sin convertir el trámite en un obstáculo.
El canal para recibir solicitudes es parte de la información que debe estar publicada (artículo 14 ter, letra c). No tenerlo actualizado y operativo es por sí mismo una infracción leve (artículo 34 bis, letra b).
El bloqueo temporal
Cuando alguien pide rectificar, suprimir u oponerse, puede pedir también que se bloqueen temporalmente sus datos mientras se resuelve. Este pedido tiene un plazo mucho más corto: la organización debe responder dentro de 2 días hábiles, y mientras no lo haga no puede tratar esos datos. El bloqueo no obliga a borrar: los datos se siguen almacenando. Si se rechaza, la respuesta debe fundarse y comunicarse electrónicamente a la Agencia (artículo 11).
Es el plazo que más organizaciones van a incumplir sin darse cuenta: una solicitud que llega un viernes a un buzón que nadie revisa vence el martes.
¿Se puede cobrar?
La rectificación, supresión y oposición son siempre gratuitas. El acceso es gratuito al menos una vez por trimestre. Solo se pueden cobrar los costos directos cuando el titular pide acceso o portabilidad más de una vez en el mismo trimestre, y la Agencia definirá cómo calcularlos (artículo 10).
El mismo artículo exige que los medios para ejercer los derechos sean sencillos y permitan hacerlo en forma expedita. Un formulario de diez campos obligatorios o pedir la solicitud por carta certificada va en contra de esa regla.
Qué pasa si no se responde
Si la organización no responde dentro de plazo o rechaza la solicitud, el titular puede reclamar ante la Agencia dentro de 30 días hábiles (artículo 41). La Agencia notifica a la organización, que tiene 30 días corridos, prorrogables, para contestar con sus antecedentes.
| Conducta | Calificación | Artículo |
|---|---|---|
| No responder, responder incompleto o fuera de plazo | Leve | 34 bis c) |
| Impedir u obstaculizar el ejercicio de los derechos | Grave | 34 ter e) |
| No responder o rechazar sin causa un bloqueo fundado | Grave | 34 ter f) |
| No cumplir lo que resuelva la Agencia sobre el reclamo | Gravísima | 34 quáter i) |
Los montos de cada nivel están en la guía de multas y sanciones.
Cómo organizarlo
1. Un canal y un responsable
Un correo dedicado (por ejemplo, privacidad@) o un formulario, publicado en la política de privacidad, con al menos dos personas que lo revisen. Si hay delegado de protección de datos, atender las consultas de los titulares es una de sus funciones (artículo 50, letra g).
2. Un registro de solicitudes
Cada solicitud con su fecha de ingreso, el derecho ejercido, el vencimiento a 30 días (y a 2 días hábiles si hay bloqueo), las prórrogas, la respuesta y su respaldo. Ese registro es lo que permite demostrar que se cumplió.
3. Saber dónde buscar
Responder un acceso o una supresión exige saber en qué tratamientos y sistemas están los datos de esa persona. Para eso sirve el Registro de Actividades de Tratamiento. En Microsoft 365, la búsqueda de contenido y eDiscovery de Microsoft Purview permiten encontrar correos y archivos que mencionan a un titular.
4. Respuestas tipo
Plantillas para el acuse de recibo, la prórroga, la respuesta favorable, el rechazo fundado (con el aviso de los 30 días hábiles para reclamar) y la comunicación a terceros. Ahorran tiempo y evitan omitir lo que la ley exige decir.
5. Encargados al tanto
Si un proveedor trata los datos por tu cuenta, el contrato del artículo 15 bis debería decir cómo te ayuda a responder y en qué plazo, para que la solicitud no se quede esperando en su bandeja.