Los derechos ARCO son las siglas de los antiguos derechos de Acceso, Rectificación, Cancelación y Oposición.
Con la entrada en vigor del Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales (LOPDGDD), estos derechos actualmente se resumen en acceso, rectificación, supresión (olvido), limitación del tratamiento, portabilidad y oposición.
Mediante los derechos ARCO una persona física puede controlar sus datos personales.
El objetivo de estos derechos es permitir que el control de los datos personales por parte de las personas físicas se incremente y sea más efectivo. Los medios por los que se ejerzan dichos derechos deben ser gratuitos y sencillos y además, el responsable del tratamiento debe facilitarlos en un plazo determinado.
Características comunes a los derechos ARCO
Las características comunes de estos derechos son:
- Los derechos ARCO o ARCO-POL son independientes y personalísimos. Los únicos que pueden ejercerlos son los propios titulares de los datos personales o sus representantes y, además, el interesado puede actuar en base a cualquiera de ellos por separado.
- El ejercicio de cualquiera de los derechos se lleva a cabo mediante una solicitud dirigida al responsable del tratamiento con indicación de la identidad del interesado, la petición en la que concreta su solicitud, documentos justificativos si resultan necesarios, domicilio, fecha y firma.
- Existe tutela ante la AEPD si se deniega cualquiera de los derechos o si el responsable del tratamiento no responde en plazo la solicitud.
- El procedimiento de solicitud de cualquiera de los derechos es gratuito y se debe poder ejercitar de forma simple y entendible, de lo contrario, se puede imponer una sanción grave que oscila entre los 40.000 y los 300.000 euros.
- No son derechos absolutos, sino que se encuentran limitados en base a la defensa y seguridad pública, la prevención, castigo, detección o averiguación de delitos penales o a efectos de salvaguardar la seguridad del Estado.
Los derechos ARCO en la LOPDGDD
Con la entrada en vigor de la Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD), se añadió el derecho a la portabilidad, el de supresión y el de limitación del tratamiento. Además, el consentimiento adquiere un peso mayor, ya que debe ser expreso en todo caso y se puede revocar.
El derecho de acceso
El derecho de acceso es aquel que atribuye a la persona física la capacidad de solicitar información para conocer si sus datos están siendo tratados y con qué finalidad. La solicitud debe resolverse en un mes y el derecho puede hacerse efectivo los diez días hábiles siguientes.
Con carácter general, ejercer el derecho no requiere justificación y sólo se puede denegar si se ha ejercitado en los doce meses anteriores, salvo que se razone adecuadamente en la solicitud mediante interés legítimo.
El derecho de rectificación
Si los datos de la persona física están incompletos o son inexactos, se puede ejercer el derecho de rectificación. La justificación debe incluir los datos a los que se refiere el legitimado y qué corrección procede. Para dicha corrección, es necesario aportar documentación.
El derecho debe hacerse efectivo en diez días hábiles y puede denegarse motivadamente, siempre y cuando se incluya la indicación de que se puede recabar tutela de la Agencia Española de Protección de Datos (AEPD).
El derecho de olvido o de supresión
El derecho de supresión u olvido ha sustituido al antiguo derecho de cancelación. Consiste en la solicitud de eliminación de los datos personales de una persona física cuando concurran alguno de los siguientes requisitos:
- La revocación del consentimiento: es uno de los motivos más importantes, ya que se constituye en otro de los derechos del interesado.
- Que el tratamiento de datos se haya llevado a cabo ilícitamente.
- Que se establezca en una normativa de la Unión Europea (UE).
- Que el interesado ejerza su derecho de oposición, no existiendo legitimidad legal para tratar los datos.
- Que ya no exista la finalidad para la cual se recabó la información personal del interesado o que esta ya no sea necesaria.
El derecho de oposición
El derecho de oposición es, como su nombre indica, el derecho que tiene el interesado a oponerse al tratamiento de sus datos. Este derecho también engloba la solicitud del interesado de que cese dicho tratamiento.
El ejercicio del derecho de oposición debe concurrir en motivos fundados y legítimos en relación con sus circunstancias personales, por lo que debe justificarse. El plazo es de diez días hábiles y su denegación debe estar adecuadamente motivada, con indicación de que es posible invocar la tutela de sus derechos ante la AEPD.
El derecho de portabilidad
El derecho de portabilidad consiste en el propio manejo de datos por el interesado. Las personas físicas tienen derecho a que el responsable del tratamiento de sus datos les transmita los datos o que se los ceda a otro responsable del tratamiento.
El plazo para la resolución de la solicitud es de un mes con carácter general o de tres meses si el supuesto requiere complejidad. No obstante, si se demora tres meses, debe estar debidamente motivado. La denegación del derecho de portabilidad solo puede basarse en alguno de los siguientes supuestos:
- Que la transmisión sea imposible.
- Que la transmisión afecte o pueda afectar a los derechos legítimos de terceras personas o a sus libertades.
- Que el tratamiento de los datos sea de interés público, siempre y cuando esté basado en una normativa con rango legal.
Este derecho se puede basar en el consentimiento del interesado o en la ejecución de un contrato con el mismo. Si se transmite telemáticamente debe tener un formato estructurado, de lectura mecánica y de uso habitual.
El derecho a la limitación del tratamiento
La limitación del tratamiento de los datos personales es uno de los derechos que incluyó el RGPD y que recoge la LOPDGDD. La limitación consiste en un uso restringido de los datos personales, que solo pueden ser utilizados mediante consentimiento del interesado.
Este derecho puede ejercerse cuando el interesado no desee que se borren sus datos pero quiera limitar el uso de los mismos, cuando esté pendiente de resolución el derecho de oposición, si los datos personales pueden no ser exactos o estar incompletos o si estos no responden a la finalidad inicial pero no se pueden suprimir en virtud de ley.
La resolución se realiza en diez días hábiles, debe justificarse de un modo legítimo y de acuerdo con la situación personal del interesado y su denegación debe estar motivada, indicándose que se puede recabar la tutela de la AEPD.