Tratar datos personales a veces puede resultar abrumador: son muchas las obligaciones que nos impone el RGPD, y es normal tener cierto respeto ante las consecuencias legales que puedan derivarse de nuestra gestión de esos datos. Si a ello le añadimos que la mayoría de la gente no conoce en toda su extensión la normativa de protección de datos (o lo que es lo mismo, lo que está permitido hacer al tratar datos y lo que está prohibido), no nos extrañará que la cautela sea la protagonista cuando alguien nos pide algo relacionado con este tema.
El problema es que la cautela puede ser mala consejera.
Supongamos un caso que se da con relativa frecuencia: un interesado ejercita uno de los derechos que tiene legalmente reconocidos (acceso, rectificación, portabilidad,…). El responsable del tratamiento no sabe bien cómo responder y, ante la tesitura de decir algo que luego resulte ser inadmisible para el RGPD, opta por el silencio. Por no responder.
En ocasiones nos puede parecer comprensible. El derecho de acceso, por ejemplo, nos obliga a ofrecer una gran cantidad de información sobre lo que hacemos con los datos. ¿Y si contestamos a la solicitud de forma incompleta? ¿No sería eso tanto como incumplir? ¿No es mejor hacer caso al refrán y considerar que uno es amo de sus silencios pero esclavo de sus palabras?
La verdad es que no. En realidad, el artículo 12.3 del RGPD nos obliga de forma expresa a contestar a todas las solicitudes de los interesados. No contestar sí que sería, por tanto, un incumplimiento de la norma.
No solo eso: el plazo que tenemos para responder está también limitado por el Reglamento. Concretamente, solo disponemos de UN MES para dar una contestación a los interesados (y esto es un plazo máximo, ya que lo recomendable es contestar cuanto antes). En determinadas ocasiones, si la información es demasiado compleja o existe otra causa justificadora, este mes puede prorrogarse otros dos; pero si se hace eso, quien tiene la carga de la prueba -para demostrar que, efectivamente, el retraso estaba justificado- es el responsable del tratamiento. Además, si se usa este mecanismo el responsable tiene que motivar el retraso durante el primer mes. De modo que es mejor no abusar de ello.
¿Y qué pasa cuando, por ejemplo, no tenemos datos del interesado? ¿Podríamos entonces no responder? Al fin y al cabo, no hay nada que decir más allá del «no tenemos datos de usted».
Pues incluso en este caso es obligatorio contestar, y hacerlo en el plazo previsto.
De modo que a la postre resulta mucho más eficaz ofrecer una respuesta adecuada a las solicitudes que nos lleguen. Por supuesto, ello nos obliga a conocer todos los derechos que puede ejercitar un interesado (y en el RGPD son más numerosos que en la antigua LOPD de 1999). Porque solo si los conocemos podremos identificarlos cuando alguien nos los plantee, lo que a su vez es la mejor manera de dar una respuesta correcta.
Si no tiene claro cómo hacerlo, póngase en contacto con nosotros y estaremos encantados de prestarle nuestro asesoramiento profesional.
Fabián Plaza Miranda, Auren Abogados y Asesores Fiscales