El capítulo III del RGPD establece un conjunto de derechos que los interesados pueden ejercer para salvaguardar sus datos personales. Aunque cada derecho tiene detalles y cuestiones específicas que podrían afectar y verse afectadas por la investigación^[1] de las TIC, todos ellos comparten algunas características generales relativas a su información transparente, comunicación y modalidades de ejercicio (artículo 12 del RGPD). En este sentido, antes de entrar en el análisis de cada derecho específico (artículos 13 a 22 del RGPD), conviene mencionar brevemente algunas cuestiones que cada investigador e institución de investigación debería tener en cuenta a la hora de cumplir con el ejercicio de uno de los derechos del interesado.

El artículo 12.1 del RGPD comienza estableciendo cómo debe darse la información a los interesados, para que puedan ejercer sus derechos de forma efectiva. En resumen, el responsable del tratamiento debe proporcionar información correcta y completa, evitando así la información innecesaria. Además, el lenguaje utilizado debe ser comprensible para el interesado medio y facilitarse por escrito (salvo que el interesado solicite lo contrario). A este respecto, se ofrecen más detalles en la sección 6.1.

En cuanto al plazo, el responsable del tratamiento debe proporcionar información sobre las medidas adoptadas en relación con una solicitud para ejercer el derecho del interesado sin demora indebida o excesiva y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud, en virtud del artículo 12.3 del RGPD. Este plazo puede prorrogarse dos meses más, cuando sea necesario y a condición de que el responsable del tratamiento informe al interesado de la prórroga y la justifique en el plazo de un mes a partir de la recepción de la solicitud.

El artículo 12.5 del RGPD permite al responsable del tratamiento rechazar la solicitud de un interesado si ésta es manifiestamente infundada o excesiva. A este respecto, algunos ejemplos serían: los interesados no tienen intención de ejercer sus derechos (y exigen, por ejemplo, beneficios a cambio de la retirada de la solicitud), pretenden acosar al responsable del tratamiento, presentan solicitudes idénticas en el mismo plazo, etc. Al mismo tiempo, el artículo 12.5 del RGPD también establece que el ejercicio del derecho de cada interesado debe ser gratuito, a menos que el responsable del tratamiento pueda demostrar que la solicitud era manifiestamente infundada o excesiva. En este caso, el responsable del tratamiento puede cobrar una tasa razonable, teniendo en cuenta el coste administrativo del procedimiento.

Cuando el responsable del tratamiento tenga dudas razonables sobre la identidad de la persona que presenta la solicitud, podrá solicitar que se le proporcione información adicional para confirmar la identidad del interesado, por motivos del artículo 12.6 del RGPD.

1. Como ha demostrado Ducato, el tratamiento con fines de investigación goza de un régimen favorable en el marco del RGPD, ya que busca el equilibrio entre los derechos del interesado, la libertad de empresa y las expectativas legítimas de la sociedad de aumentar el conocimiento. Partiendo de estas premisas, el artículo 89 del RGPD permite establecer excepciones a los artículos 14, 15, 16, 18 y 21 del RGPD, con la única condición de que se ofrezcan garantías adecuadas. En particular, la disposición exige el uso de medidas técnicas y organizativas para cumplir con la minimización de datos, así como técnicas de anonimización y seudonimización. En R. Ducato, “Data Protection, Scientific Research and the Role of Information”, Computer Law & Security Review, 2020, Vol. 37, pp. 4-5 ↑