Derechos ARCO: qué puedes exigir a quien tiene tus datos personales

Cualquier persona cuyos datos personales trate una empresa o administración tiene, por ley, un conjunto de derechos sobre esos datos. La Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales desarrolla en España estos derechos, que se ejercen sobre lo ya establecido en el Reglamento (UE) 2016/679 (RGPD).

Cómo se ejercen estos derechos

El artículo 12.1 permite ejercer los derechos directamente o por medio de representante legal o voluntario. El responsable del tratamiento está obligado a informar sobre los medios disponibles para ejercerlos, que deben ser fácilmente accesibles, y no puede denegar el ejercicio del derecho solo porque la persona haya optado por un medio distinto al que se le ofrece (art. 12.2). Como regla general, atender estas solicitudes es gratuito para quien las presenta (art. 12.7).

Un detalle importante para las familias: los titulares de la patria potestad pueden ejercer, en nombre y representación de los menores de catorce años, los derechos de acceso, rectificación, cancelación, oposición o cualesquiera otros que les correspondan (art. 12.6).

Acceso, rectificación y supresión

El artículo 13 regula el derecho de acceso, remitiendo a lo establecido en el artículo 15 del RGPD. Cuando el responsable trata una gran cantidad de datos y la persona no especifica a cuáles se refiere su solicitud, puede pedirle que concrete los datos o actividades de tratamiento afectados antes de facilitar la información (art. 13.1). Se puede considerar repetitivo, y por tanto tratarse de forma distinta, el ejercicio del derecho de acceso más de una vez en un plazo de seis meses, salvo que exista causa legítima (art. 13.3).

El artículo 14 regula el derecho de rectificación: al ejercerlo, hay que indicar en la solicitud a qué datos se refiere y qué corrección debe realizarse, acompañando, cuando sea necesario, la documentación que justifique la inexactitud.

El artículo 15 remite al artículo 17 del RGPD para el derecho de supresión —también conocido como derecho al olvido—. La ley española añade una precisión: cuando la supresión deriva de un ejercicio del derecho de oposición para fines de mercadotecnia directa, el responsable puede conservar los datos identificativos estrictamente necesarios para evitar que se vuelva a contactar a esa persona con fines publicitarios (art. 15.2).

Limitación, portabilidad y oposición

Además de estos tres derechos clásicos, la ley reconoce el derecho a la limitación del tratamiento (art. 16, remitiendo al art. 18 del RGPD), que exige que quede constancia clara en los sistemas del responsable de que un tratamiento está limitado; el derecho a la portabilidad (art. 17, remitiendo al art. 20 del RGPD), para trasladar los datos a otro responsable; y el derecho de oposición (art. 18, remitiendo a los artículos 21 y 22 del RGPD), que incluye el derecho a no ser objeto de decisiones automatizadas, incluida la elaboración de perfiles.

Por qué importa esto

Estos derechos —conocidos coloquialmente por el acrónimo ARCO (acceso, rectificación, cancelación, oposición), ampliado hoy con la limitación y la portabilidad— no dependen de que la empresa o administración esté de acuerdo: son de ejercicio directo, gratuito y con plazos de respuesta obligatorios. Saber a cuál corresponde cada situación —pedir una copia de tus datos no es lo mismo que pedir que se borren, ni que pedir que se trasladen a otro servicio— es lo que permite ejercerlos de forma eficaz.

Esta guía es una explicación divulgativa de BOE Fácil, no asesoramiento jurídico. Para el texto oficial completo, consulta los artículos 12 a 18 de la Ley Orgánica de Protección de Datos Personales.