Derecho de oposición (Protección de Datos)

¿Qué es el derecho de oposición?

El derecho de oposición permite al interesado, en los casos previstos en el Reglamento (UE) 2016/679 (en lo sucesivo, RGPD), permite al interesado oponerse al tratamiento de sus datos personales tanto si los datos se tratan lícitamente porque es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento o por motivos de intereses legítimos del responsable o de un tercero (Considerando 69 del RGPD), así como si los datos personales son tratados con fines de mercadotecnia directa, incluyendo la elaboración de perfiles en la medida en que esté relacionada con dicha mercadotecnia directa, ya sea con respecto a un tratamiento inicial o ulterior, y ello en cualquier momento y sin coste alguno.

Cabe señalar que no es un derecho nuevo en protección de datos, ya que el mismo se encontraba tanto en la Directiva 95/46/CE y, como consecuencia de su transposición, en la Ley Orgánica 15/1999, de 13 de diciembre de Protección de Datos de Carácter Personal (LOPD). La citada Directiva, que fue derogada por el RGPD, dedicaba el artículo 14 al derecho a la oposición.

En concreto contemplaba dos supuestos. El primero de ellos era el relativo a oponerse, al menos en los casos contemplados en las letras e) y f) del artículo 7, en cualquier momento y por razones legítimas propias de su situación particular, a que los datos que le conciernan sean objeto de tratamiento, salvo cuando la legislación nacional disponga otra cosa [artículo 14.a) del RGPD].

Y el segundo el relativo a oponerse, previa petición y sin gastos, al tratamiento de los datos de carácter personal que le conciernan respecto de los cuales el responsable prevea un tratamiento destinado a la prospección; o ser informado antes de que los datos se comuniquen por primera vez a terceros o se usen en nombre de éstos a efectos de prospección, y a que se le ofrezca expresamente el derecho de oponerse, sin gastos, a dicha comunicación o utilización [art. 14.b) del RGPD].

Son estos, por tanto, los antecedentes del derecho de oposición en el RGPD. Es decir, el derecho de oposición en materia de protección de datos no es nuevo, de manera que se debe considerar su aplicación en el pasado, ya sea en virtud de la Directiva 95/46/CE o de la LOPD. Como derecho, es diferente a la posibilidad que tiene el interesado de retirar su consentimiento al tratamiento de datos personales. En este sentido, el apartado 3 del artículo 7 del RGPD indica que el interesado tiene derecho a retirar su consentimiento en cualquier momento, sin que dicha retirada del consentimiento afecte a la licitud del tratamiento basada en el consentimiento previo a su retirada.

Oposición al tratamiento basada en una situación particular

El interesado, cuyos datos personales son tratados, pueden oponerse en determinadas circunstancias cuando, como explica el Considerando 69 del RGPD, los datos personales se traten lícitamente porque el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento o por motivos de intereses legítimos del responsable o de un tercero. Este caso es al que se refiere el apartado 1 del artículo 21 del RGPD. En concreto, el citado artículo indica que el interesado tiene derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular, a que datos personales que le conciernan sean objeto de un tratamiento basado en lo dispuesto en el artículo 6, apartado 1, letras e) o f), incluida la elaboración de perfiles sobre la base de dichas disposiciones.

Es decir, el interesado podrá instar al responsable a que deje de tratar sus datos personales, porque se opone, cuando el tratamiento de los datos personales se basa en el:

• • cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento (artículo 6, apartado 1, letra e del RGPD) o
• • interés legítimo del responsable o de un tercero (artículo 6, apartado 1, letra f del RGPD),
• • incluida la elaboración de perfiles en ambos casos,

Y siempre que el interesado tenga motivos relacionados con su situación particular.

Estas excepciones son las siguientes:

• • Acreditar motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses, los derechos y las libertades del interesado, lo que obviamente requerirá llevar a cabo una ponderación específica, o
• • Para la formulación, el ejercicio o la defensa de reclamaciones.

Oposición al tratamiento de datos con fines de mercadotecnia directa

El segundo caso en relación con el derecho de oposición es el relativo a si los datos personales son tratados con fines de mercadotecnia directa, el interesado debe tener derecho a oponerse a dicho tratamiento, inclusive a la elaboración de perfiles en la medida en que esté relacionada con dicha mercadotecnia directa, ya sea con respecto a un tratamiento inicial o ulterior, y ello en cualquier momento y sin coste alguno, tal y como explica con Considerando 70 del RGPD.

A este supuesto se dedican los apartados 2 y 3 del artículo 21 del RGPD. En virtud del apartado 2, y como ya adelantaba el Considerando 70 en su explicación, el interesado tendrá derecho a oponerse en todo momento al tratamiento de los datos personales que le conciernan, incluida la elaboración de perfiles en la medida en que esté relacionada con la citada mercadotecnia. Por tanto, atendiendo a la finalidad del tratamiento, que es la relativa a la mercadotecnia directa, y sin necesidad de alegar ningún motivo relacionado con una situación particular, el interesado podrá oponerse al tratamiento de sus datos personales.

Al igual que en el caso de la oposición basada en una situación particular frente a un tratamiento lícito, salvo que concurra alguna excepción en los términos ya indicados, la oposición supondrá que el responsable del tratamiento deje de tratar los datos personales. No obstante, se plantea una diferencia relevante con respecto al primer caso, ya que en este segundo caso no hay excepción alguna, en principio, de manera que el responsable tendrá que dejar de tratar los datos personales del interesado con fines de mercadotecnia directa, incluida la elaboración de perfiles cuando la misma esté relacionada con dicha finalidad.

En relación con el tratamiento de datos personales con fines de mercadotecnia directa es necesario tener también en consideración que el mismo podría basarse en el interés legítimo del responsable o del tercero. Al respecto, en su último inciso, el Considerando 47 del RGPD menciona que el tratamiento de datos personales con fines de mercadotecnia directa puede considerarse realizado por interés legítimo. Habrá que ver, por tanto, en este caso si prevalece o no el interés legítimo incluso sobre el derecho de oposición, aunque cabe pensar que no dado que el apartado 2 del artículo 21 del RGPD, a diferencia del caso anterior, no lo contempla.

Oposición al tratamiento con fines de investigación científica o históricos o fines estadísticos

El último caso, en virtud del apartado 6 del artículo 21 del RGPD, sería el relativo a la oposición al tratamiento de datos personales con fines de investigación científica o histórica o fines estadísticos de conformidad con elapartado 1 del artículo 89 del RGPD. Este artículo, en el apartado indicado, establece que el tratamiento de datos personales con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos queda sujeto a que haya garantías adecuadas para los derechos y libertades del interesado. En particular, el artículo menciona medidas técnicas y organizativas tales como la minimización de los datos personales, la seudonimización o, incluso, cuando sea posible, la anonimización de los datos personales.

Al igual que en el caso del apartado 1 del artículo 21 del RGPD, es decir, cuando el tratamiento de los datos personales es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento (artículo 6, apartado 1, letra e del RGPD) o por motivos de intereses legítimos del responsable o de un tercero (artículo 6, apartado 1, letra f del RGPD), es necesario que el interesado se base en motivos relacionados con su situación particular.

Y en este caso habría también una excepción aplicable al ejercicio del derecho de oposición, que es la relativa a que el tratamiento de los datos personales sea necesario para el cumplimiento de una misión realizada por razones de interés público.

¿Cuáles son los requisitos generales del procedimiento a aplicar?

La gestión de la solicitud del ejercicio del derecho de oposición implica que el responsable del tratamiento tenga que considerar las cuestiones que se indican a continuación.

La solicitud de oposición podrá presentarse por el propio interesado o a través de un representante legal o voluntario y, en el caso de menores de catorce años, podrá ejercerse por quienes tengan su patria potestad. En cuanto a la identificación de la persona física que solicita el ejercicio del derecho correspondiente, si bien el responsable del tratamiento no está obligado a obtener o tratar información adicional para identificar al interesado (artículo 11.1 del RGPD), el interesado podrá facilitar información adicional que permita su identificación (art. 11.2 del RGPD), sin que el responsable se pueda negar a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no puede identificar al interesado.

El ejercicio de los derechos de los interesados es gratuito, salvo que las solicitudes del interesado sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo, teniendo que demostrar el responsable del tratamiento estos extremos. Y en estos casos el responsable del tratamiento podrá aplicar un canon razonable en virtud de los costes administrativos soportados o bien negarse a dar curso a la solicitud.

El responsable del tratamiento tiene obligación de dar respuesta a toda solicitud sobre el ejercicio de derechos en el plazo máximo de un mes desde su recepción, salvo que, dada la complejidad o el número de solicitudes, no pueda atenderse, en cuyo caso se podrá prorrogar hasta dos meses. En dicho caso, el responsable, en el plazo de un mes desde que reciba la solicitud, y sin dilación indebida, tendrá que informar al interesado de dicha circunstancia e indicar las razones de la dilación. Y corresponde al responsable del tratamiento probar que ha cumplido con la respuesta a la solicitud del interesado.

Si no se da curso a la solicitud del interesado, el responsable tendrá que informar sin dilación, y a más tardar transcurrido un mes de la recepción de la solicitud, de las razones de su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales (artículo 12.4 del RGPD).

Las comunicaciones con el interesado sobre las solicitudes de ejercicio de derechos tienen que hacerse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño (artículo 12.1 del RGPD). Y si la solicitud se presenta por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo (artículo 12.3 del RGPD).

¿Cuál sería la sanción aplicable si no se cumple con el derecho de oposición?

Incumplir con el derecho de oposición podría suponer la comisión de una infracción (art. 83.5.b del RGPD) que podría ser sancionada, cuando se trate de empresas, con multa administrativa de veinte millones de euros (20.000.000 €) o una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.

Sin perjuicio de lo anterior, es necesario recordar que las autoridades de protección de datos tienen también poderes correctivos que, en relación con los derechos, como el de oposición, implican que puedan ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado (artículo 58.2.c del RGPD).

En el caso de las Administraciones Públicas, en España, este incumplimiento podría dar lugar a una resolución de la autoridad de protección de datos que declare la infracción, salvo por lo que se refiere a los tribunales en el ejercicio de su función judicial.