Derecho a la limitación del tratamiento de datos

¿Qué es el derecho a la limitación del tratamiento?

El derecho a la limitación del tratamiento permite al interesado, cuyos datos personales son objeto de tratamiento, solicitar al responsable del tratamiento que aplique medidas sobre unos datos personales para, entre otras cosas, evitar su modificación o, en su caso, su borrado o supresión.

Cabe mencionar que este derecho, en buena medida, tendría su antecedente en el derecho al bloqueo previsto en la derogada Directiva 95/46/CE. El derecho a la limitación del tratamiento se contempla en el artículo 18 del RGPD. En primer lugar, se refiere a las condiciones que tienen que darse para que el interesado pueda obtener del responsable del tratamiento la limitación del tratamiento de sus datos personales. En segundo lugar, al alcance de este derecho y, finalmente, a la obligación de información que tiene que facilitar el responsable del tratamiento al interesado.

Se trata, en cualquier caso, de un derecho que permite al interesado tener un mayor control sobre sus datos personales y que es independiente a los demás derechos que tiene reconocidos. Ahora bien, es un derecho que tiene que considerarse también desde la perspectiva de que puede facilitar que el interesado pueda formular reclamaciones y que, en su caso, pueda permitir que se conserve incluso la prueba de un tratamiento ilícito de los datos personales, lo que puede servir para denunciar un incumplimiento de la normativa sobre protección de datos o para, en su caso, presentar ante los tribunales competentes una demanda en caso de que se hayan vulnerados derechos económicos o morales del interesado, es decir, que se haya producido un daño que puede ser objeto de indemnización.

¿Cuándo es aplicable el derecho a la limitación del tratamiento?

El derecho a la limitación del tratamiento, conforme a lo previsto en el apartado 1 del artículo 18 del RGPD, requiere que concurra alguna de las circunstancias que se indican a continuación.

La primera de estas circunstancias es la relativa a que el interesado cuyos datos personales son objeto de tratamiento impugne ante el responsable del tratamiento la exactitud de los mismos, éste tendrá que limitar su tratamiento y verificar su exactitud (artículo 18.1.a del RGPD). Al respecto, el artículo hace referencia a que la limitación del tratamiento se producirá durante un plazo que permita al responsable verificar la exactitud de los datos personales, debiendo entender que tendrá que actuar sin dilación indebida en el sentido de que aplicarán los plazos previstos para el ejercicio de los derechos, que es el relativo a un mes.

La segunda circunstancia concurre si el tratamiento de los datos personales por el responsable del tratamiento infringe la normativa aplicable, por lo que el interesado podrá instarle a que limite su tratamiento de manera que sus datos no sean borrados o suprimidos. Se trata, por tanto, de una medida destinada a que se conserve la prueba de la infracción (artículo 18.1.b del RGPD).

El tercer caso previsto en el RGPD se refiere a aquel en el que el responsable ya no necesite los datos personales para los fines del tratamiento, pero el interesado los necesite para la formulación, el ejercicio o la defensa de reclamaciones (artículo 18.1.c del RGPD), lo que obviamente obligaría al responsable del tratamiento a mantener los datos personales del interesado en cumplimiento de su derecho a la limitación del tratamiento. Y el responsable del tratamiento tendrá que mantenerlos cumpliendo con los requisitos exigibles para este derecho y cumpliendo por lo demás con la normativa aplicable en materia de protección de datos personales.

Y la cuarta circunstancia es cuando se trate de la oposición por el interesado al tratamiento de sus datos personales sobre la base de la necesidad del mismo para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento (artículo 6.1.e del RGPD) o del interés legítimo (artículo 6.1.f del RGPD, incluida en ambos casos la elaboración de perfiles. El objeto de la limitación en este caso es, específicamente, que se verifique si las razones que legitiman el tratamiento de los datos personales por el responsable del tratamiento prevalecen o, si por el contrario, prevalece el derecho fundamental a la protección de datos personales del interesado.

En cualquier caso, como indica el artículo 16 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), el responsable tendrá que asegurarse de que la limitación del tratamiento de los datos personales conste claramente en sus sistemas de información.

¿Qué implica la limitación del tratamiento de los datos personales?

En cualquiera de las cuatro circunstancias en las que es aplicable el derecho a la limitación del tratamiento, dicha limitación implicará que los datos personales cuyo tratamiento se ha limitado por el responsable del tratamiento solo podrán ser tratados:

• • Con excepción de su conservación, con el consentimiento del interesado,
• • Para la formulación, el ejercicio o la defensa de reclamaciones,
• • Con miras a la protección de los derechos de otra persona física o jurídica o
• • Por razones de interés público importante de la Unión o de un determinado Estado miembro.

Es decir, son supuestos muy específicos en los que se requiere o bien el consentimiento del interesado, según sea el caso o bien que vayan a ser utilizados para una finalidad concreto, la relativa a la formulación, el ejercicio o la defensa de reclamaciones o, por último, cuando existan razones de interés público importantes previstas en la Ley, ya sea el Derecho de la Unión Europeo o nacional. En cuanto a las reclamaciones, cabe entender que son entre el responsable del tratamiento y el interesado.

¿Qué información se debe proporcionar al interesado sobre la limitación?

Con respecto a los datos personales cuyo tratamiento se hubiera limitado en virtud del derecho a la limitación, el responsable del tratamiento tendrá que informar al interesado sobre el levantamiento de aquélla antes de que se produzca el mismo.

Sin perjuicio de lo anterior, el responsable tiene también otra obligación de información en relación con la limitación del tratamiento de los datos personales. Es la relativa a que, como se indica en el artículo 19 del RGPD, el responsable del tratamiento comunicará la limitacióna cada uno de los destinatarios a los que se hayan comunicado los datos personales, salvo que sea imposible o exija un esfuerzo desproporcionado.

Y, finalmente, es necesario tener en consideración que, como parte del derecho de información, ya se obtengan los datos personales del propio interesado o no, el responsable del tratamiento tendrá que informarle sobre el ejercicio de este derecho, así como establecer un procedimiento para la gestión de las solicitudes correspondientes.

¿Cómo se limita el tratamiento de los datos personales?

El responsable del tratamiento será quien, atendiendo a las circunstancias concretas, tiene que aplicar las medidas que sean adecuadas para limitar el tratamiento de los datos personales. Sobre esta cuestión, el Considerando 67 del RGPD indica al respecto que entre los métodos para limitar el tratamiento de datos personales cabría incluir los consistentes en trasladar temporalmente los datos seleccionados a otro sistema de tratamiento, en impedir el acceso de usuarios a los datos personales seleccionados o en retirar temporalmente los datos publicados de un sitio internet.

El citado Considerando del RGPD continúa indicando que en los ficheros automatizados la limitación del tratamiento debe realizarse, en principio, por medios técnicos, de forma que los datos personales no sean objeto de operaciones de tratamiento ulterior ni puedan modificarse. Se trata así, ateniendo a los supuestos en los que se aplica el derecho a la limitación, de que los datos personales del interesado, a su solicitud, sean preservados o conservados porque, entre otras razones, pueden ser necesarios para formular una reclamación o incluso para demostrar que fueron tratados ilícitamente por el responsable del tratamiento.

Y, además, es necesario que cuando se limite el tratamiento de los datos personales, esta circunstancia se indique claramente en el sistema en el que se traten los datos personales.

En definitiva, la limitación del tratamiento puede depender de las circunstancias concretas de cada caso, si bien de lo que se trata es de evitar que los datos personales cuyo tratamiento tenga que limitarse se modifiquen o se borren o supriman.

¿Cuáles son los requisitos generales del procedimiento a aplicar?

La solicitud de limitación podrá presentarse por el propio interesado o a través de un representante legal o voluntario y, en el caso de menores de catorce años, podrá ejercerse por quienes tengan su patria potestad. En cuanto a la identificación de la persona física que solicita el ejercicio del derecho correspondiente, si bien el responsable del tratamiento no está obligado a obtener o tratar información adicional para identificar al interesado (artículo 11.1 del RGPD), el interesado podrá facilitar información adicional que permita su identificación (art. 11.2 del RGPD), sin que el responsable se pueda negar a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no puede identificar al interesado.

El responsable del tratamiento tendrá que demostrar estos extremos. Y en estos casos el responsable del tratamiento podrá aplicar un canon razonable en virtud de los costes administrativos soportados o bien negarse a dar curso a la solicitud.

El responsable del tratamiento tiene obligación de dar respuesta a toda solicitud sobre el ejercicio de derechos en el plazo máximo de un mes desde su recepción, salvo que, dada la complejidad o el número de solicitudes, no pueda atenderse, en cuyo caso se podrá prorrogar hasta dos meses. En dicho caso, el responsable, en el plazo de un mes desde que reciba la solicitud, y sin dilación indebida, tendrá que informar al interesado de dicha circunstancia e indicar las razones de la dilación. Y corresponde al responsable del tratamiento probar que ha cumplido con la respuesta a la solicitud del interesado.

Las comunicaciones con el interesado sobre las solicitudes de ejercicio de derechos tienen que hacerse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño (artículo 12.1 del RGPD). Y si la solicitud se presenta por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo (artículo 12.3 del RGPD).

¿Cuál sería la sanción aplicable si no se atiende al derecho a la limitación del tratamiento?

Incumplir con el derecho a la limitación del tratamiento de los datos podría suponer la comisión de una infracción (art. 83.5.b del RGPD) que podría ser sancionada, cuando se trate de empresas, con multa administrativa de veinte millones de euros (20.000.000 €) o una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.

Sin perjuicio de lo anterior, es necesario recordar que las autoridades de protección de datos tienen también poderes correctivos que, en relación con los derechos, como el de limitación del tratamiento, implican que puedan ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado (artículo 58.2.c del RGPD).

En el caso de las Administraciones Públicas, en España, este incumplimiento podría dar lugar a una resolución de la autoridad de protección de datos que declare la infracción, salvo por lo que se refiere a los tribunales en el ejercicio de su función judicial.