Derechos de los interesados: el glosario y el proceso para gestionarlos en la empresa

01

Qué se necesita para gestionar los derechos de los interesados

Un proceso empresarial eficaz parte de la información que el responsable del tratamiento debe proporcionar a la persona interesada: periodo de conservación, base jurídica, existencia de los derechos de acceso, rectificación, supresión, limitación, oposición y portabilidad, y derecho a presentar una reclamación ante una autoridad de control.

Si el tratamiento se basa en el consentimiento, también debe indicarse el derecho a retirarlo en cualquier momento, sin afectar a la licitud del tratamiento ya realizado.

02

El glosario mínimo para orientarse

• Autoridad de control: la autoridad pública independiente establecida por un Estado miembro.
• Establecimiento principal: el lugar de la administración central en la Unión del responsable o del encargado.
• Representante: persona designada por escrito para representar al responsable o al encargado en la Unión.
• Tratamiento transfronterizo: tratamiento que afecta a interesados en más de un Estado miembro.
• Objeción pertinente y motivada: impugnación que demuestra riesgos relevantes para los derechos y libertades de los interesados.

03

El flujo operativo paso a paso

Pasos

1. Registrar la solicitud y verificar la identidad de la persona interesada.
2. Identificar la base jurídica del tratamiento y los datos implicados, incluido el eventual interés legítimo.
3. Proporcionar la información dentro de un mes desde la obtención de los datos, o como máximo en el momento de la primera comunicación con el interesado.
4. Indicar la fuente de los datos, si proceden de fuentes accesibles al público, y la existencia de eventuales decisiones automatizadas.
5. Revisar el proceso cuando cambien los riesgos relacionados con las actividades de tratamiento.

04

Un caso hipotético: solicitud de acceso en una pyme

Hipótesis: un cliente pregunta qué datos conserva la empresa sobre él. El responsable del proceso verifica la identidad, identifica la base jurídica del tratamiento y prepara la respuesta dentro del plazo de un mes.

La respuesta incluye el periodo de conservación previsto, la fuente de los datos y la información sobre el derecho a presentar una reclamación ante una autoridad de control.

05

Controles mínimos a prever

• Verificar que cada respuesta indique los criterios de conservación de los datos.
• Comprobar que se menciona el derecho de oposición y a la portabilidad de los datos.
• Confirmar la indicación del derecho de retirada del consentimiento, cuando corresponda.
• Verificar la presencia de información sobre eventuales decisiones automatizadas y la lógica utilizada.

06

Qué puede configurar una empresa con el apoyo de un software de gestión

Una empresa puede optar por hacer que un sistema de software registre la información a proporcionar para cada solicitud: periodo de conservación, base jurídica, fuente de los datos y presencia de tratamientos automatizados.

Además, puede asignar roles y responsabilidades para la recepción de solicitudes y prever una revisión periódica del proceso cuando cambie el nivel de riesgo, como elección operativa sugerida y no como obligación automática del software.

07

Preguntas frecuentes en resumen

• La información mínima se refiere a la conservación, la base jurídica, los derechos y la fuente de los datos.
• Los plazos de respuesta previstos van desde un plazo razonable hasta un máximo de un mes.
• El proceso debe revisarse cuando surjan variaciones del riesgo en el tratamiento.

08

Próximo paso

Mapea la información que tu empresa ya proporciona a los interesados y compárala con la lista prevista en el artículo 13(2): conservación, derechos, fuente de los datos y decisiones automatizadas. A partir de aquí puedes construir un proceso verificable y trazable.