Solicitudes GDPR del Sujeto de Datos: Derechos y Requisitos

El Reglamento General de Protección de Datos (GDPR) es una ley de la Unión Europea que regula cómo las empresas pueden recopilar y utilizar los datos personales de los residentes de la UE. Establece estándares que ayudan a garantizar que estos datos no se almacenen, manejen o compartan de manera que exponga a los individuos a riesgos. La ley también especifica cómo las organizaciones deben responder en caso de una data breach.

Una característica clave del GDPR es que codifica un conjunto de derechos específicos del interesado que otorgan a las personas el poder de realizar solicitudes de acceso específicas a las organizaciones. Este artículo detalla cuáles son esas solicitudes y cómo se requiere que su organización las maneje. También ofrece soluciones que pueden ayudarlo a proporcionar respuestas rápidas y precisas a las solicitudes de datos del GDPR para que pueda evitar sanciones de diez millones de euros o más.

¿Qué tipos de datos están cubiertos por el GDPR?

Bajo el GDPR, los residentes de la UE tienen derechos específicos en relación con los personal data que las organizaciones poseen sobre ellos. Ejemplos clave de datos personales incluyen:

• Información básica de identificación, como nombres y direcciones
• Información financiera, como los detalles de cuentas bancarias
• Características personales, incluyendo nacionalidad, fecha de nacimiento y género
• Información de salud, incluyendo detalles sobre condiciones de salud y discapacidades
• Datos genéticos, incluyendo resultados de pruebas de ADN y otra información sobre la composición genética
• Información laboral, como números de empleados y salarios
• Identificadores en línea como nombres de usuario
• Datos de comportamiento, incluyendo detalles sobre intereses o actividad en línea
• Datos biométricos, como los datos de reconocimiento facial
• Información de ubicación

¿Cuáles son las etapas en una solicitud de acceso a datos?

Cuando una persona realiza una solicitud de acceso a datos, el primer paso, por supuesto, es que la organización verifique si está almacenando o procesando algún dato personal perteneciente a esa persona. Si no es así, deben informar ese hallazgo negativo a la persona, y su trabajo ha terminado.

Por otro lado, si la organización almacena o procesa datos para la persona, deben proceder a una segunda etapa y procesar la solicitud específica del individuo. La siguiente sección explica los tipos de solicitudes y cómo manejarlas.

¿Qué solicitudes pueden hacer los individuos a las organizaciones bajo el GDPR?

Aquí hay 6 tipos de solicitudes que las personas que ejercen sus derechos bajo el GDPR pueden hacer y lo que significan para su organización.

1. ¿Qué información tienen sobre mí y por qué?

Esta consulta se basa en dos derechos:

• El derecho a ser informado (Artículos 13 y 14). Los residentes de la UE tienen derecho a detalles claros y precisos sobre qué información personal ha recopilado una organización sobre ellos, incluso si eso significa saber que la empresa no ha recopilado datos sobre ellos.
• El derecho de acceso (Artículo 15). También tienen derecho a saber si sus datos personales están siendo procesados y cómo, incluyendo las categorías de datos recopilados, el propósito del procesamiento, métodos y políticas de retención, a quién se revelan los datos, cuánto tiempo serán almacenados y de dónde se obtuvo la información.

2. Tienes información incorrecta sobre mí; quiero que se corrija.

Este tipo de solicitud se basa en el derecho de rectificación (Artículo 16), que obliga a las organizaciones a garantizar que todos los datos personales que almacenan sean precisos y estén actualizados. Los sujetos de los datos tienen el derecho de solicitar que se corrijan los datos personales inexactos o que se completen los datos incompletos.

Para garantizar el cumplimiento, necesita una integración estrecha en todos sus sistemas y procesos de datos de manera que los datos actualizados en un sistema se corrijan automáticamente en todas las demás ubicaciones.

Solicite una demostración personalizada: Lograr y demostrar el cumplimiento del GDPR

3. No quiero que conserven más mis datos. ¡Por favor, elimínenlos!

Este tipo de solicitud cubre dos derechos:

• El derecho al olvido (derecho de supresión) (Artículo 17).Una persona puede solicitar que una organización elimine su información personal de sus registros y recursos y cese inmediatamente la difusión adicional de los datos. La empresa debe eliminar todos los datos que cumplan con cualquiera de los siguientes criterios:
• Fue recopilado de manera ilegal
• Ya no es necesario
• Fue recopilado durante la infancia de la persona
• Aparece en línea

La organización puede denegar la solicitud de borrado si viola cualquiera de los siguientes puntos:

• El derecho a la libertad y expresión
• Razones de interés público en el área de la salud pública o la investigación científica o histórica
• El establecimiento, ejercicio o defensa de reclamaciones legales o un cargo legal

Tenga en cuenta que incluso si su empresa tiene permiso para retener los datos de una persona, necesita obtener su consentimiento para el procesamiento adicional.

Lea la entrada de blog relacionada: El derecho al olvido: Leyes de la UE y preocupaciones de EE. UU.

• El derecho a la restricción del procesamiento (Artículo 18). Si no está claro si se deben eliminar los datos de una persona, esta aún puede solicitar una restricción temporal en su procesamiento hasta que la empresa resuelva el problema, informe a la persona y obtenga su consentimiento. Cumplir con este derecho del GDPR requiere un examen caso por caso.

4. Quiero transferir la información que tienen sobre mí a otro proveedor de servicios.

El derecho a la portabilidad de datos (Artículo 20) otorga a los residentes de la UE el poder de requerir a una empresa que traslade sus datos personales a otro proveedor de servicios. Este derecho promueve la interoperabilidad al facilitar la transferencia de datos de usuario entre controladores de datos. También fomenta la competencia entre servicios digitales porque los usuarios pueden cambiar de proveedor sin perder sus datos personales.

Cumplir con esta disposición implica proporcionar los datos en un formato estructurado y legible por máquina que pueda transmitir directamente a la otra parte.

5. ¡Deja de llamarme!

Las personas tienen el derecho de oponerse a las actividades de procesamiento de datos (Artículo 21), como el uso de sus datos personales para marketing u otros fines. Las razones válidas para denegar este tipo de solicitud incluyen demostrar cualquiera de los siguientes:

• Existe una necesidad legítima para el procesamiento.
• La solicitud es excesiva o infundada.
• Los datos solicitados se utilizan para fines públicos, históricos o estadísticos.
• Los datos solicitados fueron utilizados o proporcionados para el ejercicio de reclamaciones legales.

6. Deje de permitir que su sistema automatizado tome decisiones que afecten mis intereses legales.

El GDPR también otorga derechos en relación con la toma de decisiones automatizada y la elaboración de perfiles (Artículo 22). Si tienes en marcha la toma de decisiones automatizada y la elaboración de perfiles para datos personales, debes proporcionar “información significativa sobre la lógica involucrada, así como la importancia y las consecuencias previstas de dicho procesamiento para el interesado.”

Las tres razones válidas para realizar el procesamiento automático y la elaboración de perfiles son:

• La persona dio su consentimiento.
• El procesamiento es necesario para la celebración o ejecución de un contrato.
• El procesamiento está autorizado por una ley de la unión o del estado miembro aplicable al responsable.

Para evitar infracciones que puedan resultar en multas costosas, asegúrese de que los empleados no procesen información a través de funciones automatizadas sin verificar que haya una razón válida para hacerlo.

Lea la entrada de blog relacionada: Qué es el GDPR: 10 preguntas frecuentes

¿Cómo puede Netwrix ayudarte a responder a las solicitudes del GDPR?

El software de cumplimiento del GDPR de Netwrix puede brindarle la confianza de que es capaz de manejar todos estos tipos de solicitudes de datos de manera fluida al descubrir toda la información que almacena sobre una persona con solo unos pocos clics.

De manera más amplia, las soluciones de Netwrix pueden ayudar a su organización a proteger todos sus datos sensibles y regulados. Puede establecer una fuerte data governance, eliminar accesos inapropiados, hacer cumplir políticas de seguridad y detectar amenazas avanzadas de manera oportuna para evitar los altos costos de las violaciones de seguridad y de cumplimiento.

Nuestro equipo de expertos tiene un sólido entendimiento no solo del GDPR sino también de la California Consumer Privacy Act (CCPA) y muchas otras regulaciones de seguridad de datos. Proporcionan a las organizaciones asesoramiento personalizado y enfocado para satisfacer sus necesidades de cumplimiento. Para aprender más, regístrese para una demostración o descargue un mapeo de los requisitos del GDPR y la funcionalidad de Netwrix.

Preguntas Frecuentes

¿Qué es una solicitud de GDPR?

Solicitud de acceso por el interesado Los requisitos del GDPR permiten a las personas solicitar a una organización que proporcione una copia de los datos personales que almacena sobre ellos, borrar sus datos, transferir los datos a otro proveedor, etc. Las organizaciones que no cumplan con estas solicitudes dentro del plazo especificado enfrentan multas elevadas.

¿Qué es el derecho de solicitud de acceso bajo el GDPR?

Un right of access también es conocido como “subject access”. Este es el derecho que tienen los individuos para acceder a copias de su propia información personal y datos, así como a datos suplementarios, bajo el reglamento de protección GDPR. El derecho está diseñado para empoderar a los individuos a saber cómo y por qué las organizaciones están utilizando sus datos.

¿Qué incluye el derecho de acceso bajo el GDPR?

La información a la que los sujetos de datos tienen derecho a acceder bajo el GDPR incluye:

• Las categorías de datos personales que se están procesando
• Cuánto tiempo planea la organización almacenar su información personal
• Los destinatarios o categorías de destinatarios de datos personales
• Información sobre el origen de los datos
• La existencia de cualquier proceso de toma de decisiones automatizado

Si cualquier dato personal va a ser transferido a un tercer país sin la protección adecuada, se debe informar a los sujetos de los datos sobre las salvaguardas utilizadas para proteger sus datos.

¿Cuáles son los derechos de los sujetos de datos bajo el GDPR?

Bajo el GDPR, data subjects tienen ciertos derechos que pueden ejercer en relación con sus datos personales. Estos derechos incluyen:

• El derecho a recibir toda la información recopilada sobre ellos
• El derecho a la rectificación de datos erróneos o incompletos
• El derecho a restringir el procesamiento de sus datos
• El derecho a la portabilidad de los datos para que puedan cambiar de proveedor fácilmente
• El derecho a no ser objeto de decisiones que se toman únicamente mediante procesamiento automatizado
• El derecho a oponerse a la forma en que se almacenan o procesan sus datos
• El derecho al borrado de datos

¿Necesitan las empresas cumplir con el GDPR?

Toda organización que almacene o procese datos de residentes de la UE debe cumplir con el GDPR. El incumplimiento puede resultar en multas de hasta el 2% del volumen de negocios global total de la empresa del año fiscal anterior o 10 millones de euros, lo que sea mayor.