Derecho de rectificación (Protección de Datos)

¿Qué es el derecho de rectificación de los datos personales?

El derecho de rectificación está incluido, junto con el derecho de acceso, en el apartado 2 del artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea (CDFUE), que indica toda persona tiene derecho a acceder a los datos recogidos que le conciernan y a obtener su rectificación. Esto significa que, cuando los datos personales son inexactos o están incompletos, la persona física a la que se refieren los datos personales, es decir, el interesado, tiene derecho a instar al responsable del tratamiento a que rectifique sus datos personales de manera que se garantice su exactitud y, por tanto, un tratamiento licito de los datos personales.

Tal y como explica el Considerando 65 del Reglamento (UE) 2016/679, de 27 de abril de 2016 (en adelante, RGPD), los interesados deben tener derecho a que se rectifiquen los datos personales que les conciernen. En concreto, el artículo 16 del RGPD se refiere al derecho de rectificación en los siguientes términos: El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la rectificación de los datos personales inexactos que le conciernan. Y también indica, a continuación, que Teniendo en cuenta los fines del tratamiento, el interesado tendrá derecho a que se completen los datos personales que sean incompletos, inclusive mediante una declaración adicional. Es decir, el interesado puede instar al responsable del tratamiento a que, por una parte, rectifique los datos personales que sean inexactos y, por otra parte, atendiendo a la finalidad o finalidades del tratamiento, a que completen sus datos personales.

Al mismo tiempo, que se rectifiquen los datos personales cuando sean inexactos o incompletos es también una obligación del responsable del tratamiento. Al respecto, el Considerando 39 del RGPD indica que deben tomarse todas las medidas razonables para garantizar que se rectifiquen o supriman los datos personales que sean inexactos. Se trata así también de que se cumpla con el principio de exactitud de los datos personales que, en virtud del apartado d) del artículo 5 del RGPD, supone que los datos personales serán exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»). Y para garantizar la licitud del tratamiento es, precisamente, necesario que el responsable tratamiento de los datos personales adopte las medidas adecuadas para rectificar los datos personales inexactos de inmediato.

¿Cuáles son las características principales de este derecho?

El derecho de rectificación, al igual que los demás derechos del interesado en materia de protección de datos personales, es un derecho independiente. Es decir, no es necesario, o requisito previo, el ejercicio de este derecho para poder ejercer otros derechos, ni tampoco se requiere ejercer previamente otros derechos en materia de protección de datos para poder ejercer este derecho.

Se trata de un derecho personalísimo, de manera que será el interesado, por sí mismo o a través de su representante legal, quien ejercite este derecho ante el responsable del tratamiento. Al respecto, es esencial que el responsable del tratamiento identifique al interesado que desea ejercer su derecho de rectificación y que lo haga a través de medios adecuados, pudiendo solicitar al interesado que le facilite información adicional para poder confirmar su identidad (artículo 12, apartado 6 del RGPD).

El hecho de que el RGPD se limite a indicar que el responsable del tratamiento deberá rectificar sin dilación indebida los datos personales inexactos, no impide que este no pueda pedir al interesado que, en su caso, proporcione documentos o información relativa a la inexactitud de los datos personales, ya que deberá poder verificar en su caso la misma. En este sentido, es necesario recordar que en virtud del derecho de limitación del tratamiento, el interesado, en particular, puede solicitar al responsable del tratamiento dicha limitación cuando impugne la exactitud de los datos personales, durante un plazo que permita al responsable verificar la exactitud de los mismos (artículo 18.1.a del RGPD).

Del mismo modo, en aquellos casos en los que la rectificación tenga por objeto datos incompletos, en atención a la finalidad del tratamiento, el artículo 16 del RGPD termina haciendo referencia a que el interesado tendrá derecho a que se completen los datos personales que sean incompletos, inclusive mediante una declaración adicional. Esta declaración adicional tendría por objeto proporcionar al responsable del tratamiento los datos personales necesarios, en atención a la finalidad del tratamiento, para que fueran completos y, por tanto, exactos. En cualquier caso, que los datos sean exactos en este sentido dependerá de la finalidad o finalidades para las que se traten, de manera que debe plantearse si los datos personales obtenidos del interesado, o de otra fuente, son los necesarios para cumplir con la finalidad o finalidades de que se trate en cada caso.

En relación con el ejercicio de este derecho, puede haber casos en los que el mismo podrá ser atendido permitiendo el acceso al interesado a sus datos personales, su revisión y, en su caso, su rectificación directamente. Es decir, se trataría, por ejemplo, de casos en los que el usuario, accediendo a su área de usuario como cliente, usuario u otro, pueda rectificar directamente sus datos personales.

Por último, la rectificación que se haga de los datos personales por el responsable del tratamiento implica un tratamiento de datos personales. La propia definición de tratamiento de los datos personales, conforme al artículo 4.2) del RGPD, hace referencia a que los datos personales sean modificados, lo que debe entenderse también como rectificados.

¿Qué obligaciones tiene el responsable del tratamiento en virtud de la rectificación?

Cuando el interesado ejerce su derecho de rectificación, ya sea porque sus datos personales son inexactos o porque, atendida la finalidad o finalidades del tratamiento están incompletos, y si procede en cualquiera de estos casos, el responsable del tratamiento tiene que proceder a rectificarlos. Además de proceder a la rectificación, el responsable también tendrá que comunicar dicha rectificación a otros responsables del tratamiento a los que hubiera comunicado los datos personales. Esta última obligación, relativa a la comunicación, no será aplicable al responsable del tratamiento cuando sea imposible o exija un esfuerzo desproporcionado (artículo 19 del RGPD).

El responsable del tratamiento tendrá que establecer un procedimiento adecuado para que el interesado pueda ejercer su derecho de rectificación, de manera que le permita atender en tiempo y forma, es decir, sin dilaciones y de manera adecuada, las solicitudes de rectificación que le dirijan los interesados.

Sin perjuicio de lo anterior, cabe recordar que el derecho de rectificación está también sujeto a limitaciones. En concreto, son las previstas como limitaciones al ejercicio de los derechos siempre que estén previstas en virtud del Derecho de la Unión Europea o nacional cuando tal limitación respete en lo esencial los derechos y libertades fundamentales y sea una medida necesaria y proporcionada en una sociedad democrática para salvaguardar, entre otros, la seguridad del Estado o la seguridad pública.

Sin perjuicio de lo anterior, el responsable también tendrá que cumplir, si fuera el caso, con la orden de rectificación de los datos personales y su notificación a los destinatarios a los que se hayan comunicado los datos, que le dirija la autoridad de protección de datos personales (artículo 58.2.g del RGPD). El incumplimiento de esta obligación podría llevar aparejada la imposición de una multa administrativa en los términos que veremos más adelante.

Por último, al igual que en el caso de los demás derechos, el responsable del tratamiento tiene obligación de informar al interesado sobre su derecho de rectificación tanto si los datos personales se obtienen del interesado (artículo 13 del RGPD) como si no se han obtenido del mismo (artículo 14 del RGPD). En ambos casos, el responsable del tratamiento tendrá que informar al interesado sobre la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos.

¿Cuáles son los requisitos generales del procedimiento a aplicar?

La gestión de la solicitud del ejercicio del derecho a la rectificación implica que el responsable del tratamiento tenga que considerar las cuestiones que se indican a continuación.

Como indica el artículo 12 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), la solicitud de rectificación podrá realizarse por el propio interesado o a través de un representante legal o voluntario y, en el caso de menores de catorce años, podrá ejercerse por quienes tengan su patria potestad. En cuanto a la identificación de la persona física que solicita el ejercicio del derecho correspondiente, si bien el responsable del tratamiento no está obligado a obtener o tratar información adicional para identificar al interesado (artículo 11.1 del RGPD), el interesado podrá facilitar información adicional que permita su identificación (art. 11.2 del RGPD), sin que el responsable se pueda negara actuar a petición del interesado con el fin de ejercer sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no puede identificar al interesado.

El ejercicio de los derechos de los interesados es gratuito, salvo que las solicitudes del interesado sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo, teniendo que demostrar el responsable del tratamiento estos extremos. Y en estos casos el responsable del tratamiento podrá aplicar un canon razonable en virtud de los costes administrativos soportados o bien negarse a dar curso a la solicitud.

El responsable del tratamiento tiene obligación de dar respuesta a toda solicitud sobre el ejercicio de derechos en el plazo máximo de un mes desde su recepción, salvo que, dada la complejidad o el número de solicitudes, no pueda atenderse, en cuyo caso se podrá prorrogar hasta dos meses. En dicho caso, el responsable, en el plazo de un mes desde que reciba la solicitud, y sin dilación indebida, tendrá que informar al interesado de dicha circunstancia e indicar las razones de la dilación. En este sentido, el responsable del tratamiento será quien tenga que probar haber cumplido con la respuesta a la solicitud del interesado.

Si no se da curso a la solicitud del interesado, el responsable tendrá que informar sin dilación, y a más tardar transcurrido un mes de la recepción de la solicitud, de las razones de su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales (artículo 12.4 del RGPD).

Las comunicaciones con el interesado sobre las solicitudes de ejercicio de derechos tienen que hacerse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño (artículo 12.1 del RGPD). Y si la solicitud se presenta por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo (artículo 12.3 del RGPD).

¿Cuál sería la sanción aplicable por incumplir con el derecho de rectificación?

Incumplir con el derecho de rectificación de los datos personales podría suponer la comisión de una infracción (art. 83.5.b del RGPD) que podría ser sancionada, cuando se trate de empresas, con multa administrativa de veinte millones de euros (20.000.000 €) o una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.

Sin perjuicio de lo anterior, es necesario recordar que las autoridades de protección de datos tienen también poderes correctivos que, en relación con los derechos, como el de portabilidad, implican que puedan ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado (artículo 58.2.c del RGPD).

En el caso de las Administraciones Públicas, en España, este incumplimiento podría dar lugar a una resolución de la autoridad de protección de datos que declare la infracción, salvo por lo que se refiere a los tribunales en el ejercicio de su función judicial.