EL RGPD regula en el Capítulo III los derechos del interesado en materia de protección de datos los cuales quedan descritos en los art. 15 a 20 y en los considerandos 58 a 71. Como veremos más adelante, el RGPD introduce nuevos derechos a los ya existentes en nuestra normativa de protección de datos (los comúnmente denominados derechos ARCO por el acrónimo de Acceso, Rectificación, Cancelación y Oposición) como son el derecho a la portabilidad del dato y el derecho a la limitación en el tratamiento.
El derecho a la limitación viene regulado en los art. 18 y considerando 67 del RGPD.
Artículo 18: Derecho a la limitación del tratamiento
El derecho a la limitación del dato personal establece un derecho a que los datos sean marcados de tal manera que se evite por parte del responsable un tratamiento en un futuro.
Art.4. Definiciones
3) «limitación del tratamiento»: el marcado de los datos de carácter personal conservados con el fin de limitar su tratamiento en el futuro;
Si bien en nuestra normativa de protección de datos establecía que el bloqueo era una consecuencia derivada de la cancelación, en el caso de la limitación es un derecho en sí mismo considerado. De tal manera que el responsable de tratamiento deberá limitar el mismo en determinados supuestos:
En los supuestos contemplados de limitación, los datos sólo podrán ser objeto de tratamiento para:
Los interesados que obtengan la limitación de sus datos deberán ser informados por los responsables antes del levantamiento de dicha limitación.
Por último, el considerando 67 establece qué métodos son aconsejables para la limitación del tratamiento.
Entre los métodos para limitar el tratamiento de datos personales cabría incluir los consistentes en trasladar temporalmente los datos seleccionados a otro sistema de tratamiento, en impedir el acceso de usuarios a los datos personales seleccionados o en retirar temporalmente los datos publicados de un sitio internet. En los ficheros automatizados la limitación del tratamiento debe realizarse, en principio, por medios técnicos, de forma que los datos personales no sean objeto de operaciones de tratamiento ulterior ni puedan modificarse. El hecho de que el tratamiento de los datos personales esté limitado debe indicarse claramente en el sistema.
¿El derecho en la limitación del tratamiento debe ser solicitado expresamente por el interesado o es una medida que deberá adoptar directamente el responsable del tratamiento cuando concurran los supuestos del art. 18.1?
El derecho en la limitación del tratamiento se concibe, más bien, como una verdadera obligación del responsable del tratamiento.
Cuando un interesado me solicite suprimir sus datos y pueda hacerlo porque ya no sean necesarios por ninguna causa, contractual, legal…. ¿Podría anonimizarlos en lugar de borrarlos de mis Sistemas?
Con la anonimización de los datos personales ya no es aplicable la normativa de protección de datos, de tal modo que la opción de anonimización en lugar de borrado es altamente recomendable.
Según el art. 18 RGPD el interesado tendrá derecho a obtener del responsable de Tratamiento la limitación del tratamiento de datos, en unos supuestos determinados; ¿pero esta limitación opera por defecto o como un derecho del interesado, éste debe solicitarla?
Een los apartados b) y c) del art 18, está claro que el interesado ejercita el derecho cuando se opone a la supresión de los datos y solicita la limitación de uso o cuando le manifiesta al responsable que limite el tratamiento porque los necesita para reclamaciones.
En cambio, en los apartados a) y b) surge la duda de si debe operar por defecto o debe ser solicitado por el interesado:
Cuando el interesado impugne la exactitud de los datos, el responsable deberá limitar el tratamiento, por tanto, es consecuencia del interesado.
Cuando el tratamiento es lícito y el interesado se opone a la supresión, en este caso también nace del interesado.
En conclusión, más que una solicitud como tal del interesado, se viene entendiendo que la limitación en el tratamiento es una obligación del responsable ante determinadas actuaciones del interesado, conforme dicta el art. 18.