Derechos de protección de datos para GSI: RGPD, LOPDGDD, plazos y límites

La protección de datos personales es uno de los temas del bloque normativo de GSI que más se presta a preguntas de detalle: qué derecho corresponde a cada situación, en qué plazo hay que responder o cuándo un derecho no se puede ejercer. En esta guía repasamos los derechos del interesado del Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD) con un enfoque práctico: qué dice cada artículo, cómo se aplica en una Administración y qué trampas suelen aparecer en los tests.

Las dos normas que tienes que manejar

El marco es doble y conviene tenerlo claro desde el principio:

• Reglamento (UE) 2016/679 (RGPD): es directamente aplicable en toda la Unión. Los derechos del interesado están en su capítulo III (artículos 12 a 22).
• Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD): adapta y completa el RGPD en España. Su título III desarrolla el ejercicio de los derechos y su título X añade los llamados derechos digitales.

Regla práctica para el examen: si la pregunta habla de qué derechos existen o de plazos de respuesta, la referencia principal es el RGPD; si habla de particularidades españolas (por ejemplo, la edad para consentir de los menores), suele estar en la LOPDGDD.

Los derechos del interesado, uno a uno

Antes de los derechos «clásicos», los artículos 13 y 14 regulan el derecho a la información: el responsable debe informar de quién trata los datos, con qué finalidad y base jurídica, durante cuánto tiempo y cómo ejercer los derechos. A partir de ahí:

Derecho	Artículo RGPD	Qué permite, en una frase
Acceso	15	Saber si se tratan mis datos y obtener una copia junto con la información del tratamiento.
Rectificación	16	Corregir datos inexactos y completar los incompletos.
Supresión («derecho al olvido»)	17	Que se borren mis datos cuando concurre alguna de las causas previstas.
Limitación del tratamiento	18	«Congelar» los datos: se conservan, pero no se usan salvo excepciones.
Portabilidad	20	Recibir mis datos en formato estructurado y de lectura mecánica, o que se transmitan a otro responsable.
Oposición	21	Oponerme a un tratamiento basado en interés público o en interés legítimo por motivos relacionados con mi situación particular.
No ser objeto de decisiones automatizadas	22	No quedar sometido a una decisión basada únicamente en un tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos o me afecte significativamente.

El artículo 19 completa el cuadro: cuando el responsable rectifica, suprime o limita, debe comunicarlo a los destinatarios a los que haya comunicado los datos, salvo que sea imposible o exija un esfuerzo desproporcionado.

Plazos y condiciones de respuesta

El artículo 12 del RGPD fija las reglas comunes a todos los derechos. Son las que más se preguntan:

• Plazo general: un mes desde la recepción de la solicitud.
• Prórroga: dos meses más si es necesario por la complejidad o el número de solicitudes. El responsable debe informar de la prórroga, con sus motivos, dentro del primer mes.
• Si no se atiende la solicitud, hay que comunicarlo también en el plazo de un mes, explicando los motivos y la posibilidad de reclamar ante la autoridad de control (en España, la Agencia Española de Protección de Datos) y de acudir a los tribunales.
• Gratuidad: el ejercicio de los derechos es gratuito. Solo ante solicitudes manifiestamente infundadas o excesivas (en especial por repetitivas) puede cobrarse un canon razonable o negarse a actuar, y la carga de demostrarlo recae en el responsable.

Truco de memoria: «1 + 2». Un mes de base, dos de prórroga, tres en total como máximo.

Los límites que suelen convertirse en pregunta

Los derechos no son absolutos, y las preguntas más difíciles suelen girar en torno a sus límites, especialmente cuando el responsable es una Administración pública.

Portabilidad: solo con consentimiento o contrato

La portabilidad exige que el tratamiento se base en el consentimiento o en un contrato y que se efectúe por medios automatizados. Además, el propio artículo 20 aclara que no se aplica a tratamientos necesarios para cumplir una misión de interés público o ejercer poderes públicos. Por eso, en la mayoría de los tratamientos de una Administración, la portabilidad no procede.

Supresión: no siempre se puede borrar

El artículo 17 recoge excepciones: por ejemplo, cuando el tratamiento es necesario para cumplir una obligación legal, para una misión de interés público, con fines de archivo en interés público o para formular o defender reclamaciones. Un expediente administrativo que la normativa obliga a conservar no se borra porque el interesado lo pida.

Oposición: depende de la base jurídica

El derecho de oposición del artículo 21 se refiere a tratamientos basados en el interés público o el ejercicio de poderes públicos, o en el interés legítimo. Si el tratamiento se basa en una obligación legal, la oposición no encaja. Recuerda también que, según el artículo 6 del RGPD, el interés legítimo no se aplica a los tratamientos de las autoridades públicas en el ejercicio de sus funciones.

Un caso práctico en una Administración

Imagina que trabajas en el área TIC de un organismo que gestiona ayudas y llegan tres solicitudes el mismo día:

1. Una ciudadana pide copia de todos sus datos. Es un derecho de acceso (art. 15). Hay que responder en un mes, gratis, con los datos y la información del tratamiento. Para ti, como GSI, implica saber en qué sistemas están sus datos: un buen registro de actividades de tratamiento y un inventario de aplicaciones ahorran mucho trabajo.
2. Un ciudadano pide que borren su solicitud de ayuda ya resuelta. Es un derecho de supresión (art. 17), pero probablemente choque con la obligación de conservar el expediente. Se responde en plazo denegando motivadamente e informando de la posibilidad de reclamar ante la AEPD.
3. Otro ciudadano pide «portar» sus datos a una entidad privada. Si el tratamiento se basa en el ejercicio de poderes públicos, la portabilidad no procede (art. 20). Eso no le impide ejercer el derecho de acceso para obtener una copia.

Este enfoque (identificar el derecho, comprobar la base jurídica y aplicar plazo y excepciones) es el que te sirve tanto en el test como en un supuesto práctico.

Otros datos que no debes confundir

• Brechas de seguridad: la notificación a la autoridad de control debe hacerse sin dilación indebida y, a ser posible, en un máximo de 72 horas desde que se tenga constancia (art. 33 RGPD). No mezcles este plazo con el de un mes de los derechos.
• Menores: en España, el consentimiento para el tratamiento de datos de un menor solo puede darlo él mismo si es mayor de 14 años (art. 7 LOPDGDD).
• Delegado de protección de datos: su designación es obligatoria cuando el tratamiento lo lleva a cabo una autoridad u organismo público, excepto los tribunales que actúen en ejercicio de su función judicial (art. 37 RGPD).

Pregunta tipo test de ejemplo

Un organismo de la Administración General del Estado trata datos de los solicitantes de una subvención en el ejercicio de sus competencias. Uno de ellos solicita la portabilidad de sus datos. Según el RGPD, ¿cuál es la respuesta correcta?

1. Debe atenderse en un plazo máximo de 72 horas.
2. Debe atenderse siempre, porque la portabilidad es un derecho absoluto.
3. No procede, porque la portabilidad no se aplica a tratamientos necesarios para una misión de interés público o el ejercicio de poderes públicos.
4. Procede, pero el organismo puede cobrar un canon por cada solicitud.

Respuesta correcta: c. El artículo 20 limita la portabilidad a tratamientos basados en el consentimiento o en un contrato y excluye expresamente los necesarios para una misión de interés público o el ejercicio de poderes públicos. La a confunde el plazo de notificación de brechas con el de los derechos. La b es falsa porque ningún derecho es absoluto. La d también es falsa, porque el ejercicio es gratuito salvo solicitudes manifiestamente infundadas o excesivas.

Resumen para repasar

• Derechos del interesado: información (13-14), acceso (15), rectificación (16), supresión (17), limitación (18), portabilidad (20), oposición (21) y decisiones automatizadas (22).
• Plazo de respuesta: un mes, prorrogable dos meses más, avisando dentro del primer mes.
• Ejercicio gratuito, salvo solicitudes manifiestamente infundadas o excesivas.
• Portabilidad: solo con consentimiento o contrato y nunca para misiones de interés público.
• Supresión y oposición tienen excepciones ligadas a la base jurídica y a las obligaciones legales.
• No confundas: 72 horas para brechas, 14 años para el consentimiento de menores.

¿Quieres comprobar si te lo sabes? En PreparaGSI tienes tests con explicación, flashcards con repetición espaciada y audios para repasar este tema y el resto del temario. Regístrate gratis y empieza hoy.