El artículo 18 del RGPD permite al interesado restringir temporalmente el tratamiento de sus datos personales por parte del responsable del tratamiento. Este derecho consagra una conciliación de intereses entre el interés del interesado en una rectificación o supresión de su información y el interés del responsable del tratamiento en continuar el tratamiento de los datos[1]. El RGPD no define cómo debe hacerse la solicitud: no obstante, es una cuestión de buena práctica que se haga de forma suficientemente clara.
De conformidad con el artículo 18.1 del RGPD, la solicitud del interesado puede realizarse cuando:
- Se impugna la exactitud de los datos personales (véase el apartado 6.3);
- El tratamiento es ilegal, y el interesado opta por la limitación del tratamiento, en lugar de la supresión de los datos personales;
- Los datos deben conservarse para el ejercicio o la defensa de reclamaciones legales;
- La decisión está pendiente de que los intereses legítimos del responsable del tratamiento prevalezcan sobre los intereses del interesado.
Tal como establece el considerando 67 del RGPD, los métodos en los que el responsable del tratamiento puede restringir el tratamiento de los datos personales pueden incluir, por ejemplo, el traslado temporal de los datos seleccionados a otro sistema de tratamiento, la imposibilidad de que los usuarios dispongan de los datos o la eliminación de los datos personales de forma temporal. En general, el objetivo es impedir el tratamiento de los datos, con la excepción del almacenamiento (artículo 18.2 del RGPD).
Mientras la restricción está pendiente, los datos personales pueden seguir siendo tratados:
- sobre la base del consentimiento del interesado;
- para el establecimiento, ejercicio o defensa de reclamaciones legales;
- para la protección de los derechos de otra persona física o jurídica;
- por razones de interés público importante de la UE/un Estado miembro de la UE.
En virtud del artículo 19 del RGPD, el responsable del tratamiento debe comunicar la limitación del tratamiento a cada uno de los destinatarios a los que se hayan revelado los datos personales, a menos que esto resulte imposible o suponga un esfuerzo desproporcionado. El esfuerzo desproporcionado depende de las circunstancias específicas y podría implicar, por ejemplo, el gran número de destinatarios y las siguientes notificaciones, o la dificultad para identificar al destinatario.
Por último, el responsable del tratamiento debe notificar al interesado antes de que se levante la restricción del tratamiento. De hecho, la restricción podría ser temporal, especialmente cuando el interesado ejerce sus derechos de rectificación y de oposición.
Pasando ahora al tratamiento de datos con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, el artículo 89 del RGPD y el considerando 156 del RGPD permiten a los Estados miembros establecer, en condiciones específicas y con las debidas garantías para los interesados, especificaciones y excepciones con respecto al derecho […] a oponerse. A este respecto, el Supervisor Europeo de Protección de Datos (2020) reconoce que la objeción de un gran número de individuos a la totalidad o parte del proyecto podría afectar negativamente a la representatividad y fiabilidad de los datos de la investigación. Por lo tanto, según la autoridad de la UE, el alcance de esta excepción debería limitarse a los casos en que la integridad de la investigación se viera comprometida por el ejercicio de los derechos de los interesados. [2]
|
Lista de control para cumplir con una solicitud de restricción de tratamiento ¿El ejercicio del derecho a la restricción del tratamiento es conforme al RGPD? ☐ ¿Ha recibido una solicitud de restricción del tratamiento de datos por parte de una persona jurídica? En caso afirmativo, indique que la solicitud no fue presentada por una persona física; ☐ ¿Se ha identificado correctamente la persona? Si no es así, pida más información para confirmar la identidad; ☐ ¿Entra la solicitud en uno de los supuestos previstos en el artículo 18.1 del RGPD? Si no es así, informe al interesado de que la solicitud será denegada; ☐ ¿Puede atenderse la solicitud en el plazo de un mes? Si no es así, informe por qué y cuánto tiempo tardará en tramitarse la solicitud. ☐ Hay que cumplir la petición. Cómo seguir cumpliendo con todas las obligaciones del RGPD: ☐ Recuerde que la restricción no abarca el almacenamiento de datos; ☐ Cuando la restricción está pendiente, los datos personales pueden seguir siendo tratados en las circunstancias establecidas en el artículo 18.2 del RGPD; ☐ Comunicar la limitación del tratamiento a cada uno de los destinatarios a los que se hayan revelado los datos personales de conformidad con el artículo 19 del RGPD, salvo que resulte imposible o suponga un esfuerzo desproporcionado. |