GDPR/LOPDGDD Rights Management

POLÍTICA DE ATENCIÓN A LOS DERECHOS DE LOS INTERESADOS

Procedimiento para el ejercicio de derechos en materia de protección de datos (RGPD y LOPDGDD)

1. Objeto y normativa aplicable

La presente política regula el procedimiento que la entidad arriba identificada (en adelante, “la Empresa”) sigue para atender las solicitudes de ejercicio de derechos formuladas por los interesados al amparo de:

• Reglamento (UE) 2016/679, General de Protección de Datos (RGPD), artículos 12 a 22.
• Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), artículos 11 a 18 y 93 a 96 (derechos digitales).

2. Derechos reconocidos

Los interesados, respecto a los datos personales que la Empresa trate, pueden ejercitar los siguientes derechos:

• Derecho de información (arts. 13 y 14 RGPD): información clara y accesible sobre el tratamiento, en el momento de la recogida o en el plazo de un mes.
• Derecho de acceso (art. 15 RGPD): obtener confirmación de si se tratan o no sus datos y acceder a ellos, así como a la información sobre el tratamiento.
• Derecho de rectificación (art. 16 RGPD): rectificar los datos inexactos o incompletos.
• Derecho de supresión / “al olvido” (art. 17 RGPD): obtener la supresión cuando concurran determinadas circunstancias, sin perjuicio de las excepciones legales.
• Derecho de oposición (art. 21 RGPD): oponerse en cualquier momento al tratamiento basado en interés legítimo o en misión de interés público, y de forma incondicional al tratamiento con fines de marketing directo.
• Derecho a la limitación del tratamiento (art. 18 RGPD): limitar el tratamiento en los supuestos previstos.
• Derecho a la portabilidad (art. 20 RGPD): recibir sus datos en formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable cuando el tratamiento se base en consentimiento o contrato y se realice por medios automatizados.
• Derecho a no ser objeto de decisiones automatizadas (art. 22 RGPD): incluida la elaboración de perfiles que produzca efectos jurídicos o le afecte significativamente.
• Derecho a retirar el consentimiento: en cualquier momento, sin afectar a la licitud del tratamiento previo.
• Derecho a presentar reclamación ante la AEPD: https://www.aepd.es.
• Derechos digitales (LOPDGDD, arts. 93–96): derecho al olvido en buscadores y redes sociales, derecho a la portabilidad en servicios de la sociedad de la información y derecho al testamento digital, entre otros.

3. Canales habilitados para el ejercicio de derechos

La Empresa pone a disposición de los interesados los siguientes canales:

• Dirección postal indicada en el encabezado del documento.
• Correo electrónico habilitado a tal efecto (el indicado en el encabezado o, en su caso, el correo del DPD).
• Formulario web disponible en la página corporativa.

Las solicitudes podrán realizarse por cualquier medio que permita acreditar el envío y la recepción, incluyendo medios electrónicos. No se exigirá un formato concreto, pero se facilitarán formularios tipo a los interesados que lo soliciten.

4. Acreditación de la identidad

La Empresa verificará la identidad del solicitante por medios proporcionados al riesgo del tratamiento, sin que ello suponga la recogida de más datos de los estrictamente necesarios. Como reglas generales:

• Si la solicitud se realiza a través de una cuenta o canal autenticado del propio interesado (área privada, correo registrado), no se exigirá documentación adicional.
• Si existen dudas razonables sobre la identidad, podrá solicitarse copia del DNI/NIE u otro documento identificativo, conservada únicamente el tiempo imprescindible y con el resto de datos del documento ocultados.
• Cuando la solicitud se realice por representante, se requerirá copia del documento de representación (poder, autorización firmada) y documento identificativo del representado.
• En el ejercicio de derechos sobre menores de 14 años se requerirá actuación de quienes ostenten la patria potestad o tutela.

5. Plazos de respuesta

La Empresa responderá a las solicitudes en el plazo máximo de un mes desde su recepción. Cuando la complejidad o el número de solicitudes lo justifique, podrá prorrogarse hasta dos meses adicionales, informando al interesado de la prórroga y de los motivos en el plazo del primer mes.

Si la solicitud no se admite a trámite o no se atiende, se notificará al interesado motivadamente en el plazo de un mes, indicándole su derecho a reclamar ante la AEPD y a la tutela judicial efectiva.

6. Procedimiento interno de tramitación

6.1. Recepción y registro

Toda solicitud se registrará en el “Registro de Derechos” con: fecha de entrada, canal, identidad del solicitante, derecho ejercitado, datos o tratamientos afectados, responsable interno asignado y fecha límite de respuesta.

6.2. Verificación de identidad y subsanación

Si la solicitud no contiene los datos mínimos o no permite identificar al solicitante o el derecho ejercitado, se requerirá la subsanación en un plazo de 10 días. Mientras dure la subsanación, el plazo de respuesta queda en suspenso.

6.3. Análisis y respuesta

El responsable interno designado (con apoyo del DPD si existe) analizará la solicitud, recabará la información de los sistemas correspondientes y elaborará la respuesta, que deberá:

• Ser concisa, transparente, inteligible y de fácil acceso.
• Utilizar un lenguaje claro y sencillo, especialmente si el destinatario es un menor.
• Facilitarse por escrito (incluidos medios electrónicos) o verbalmente si lo solicita el interesado y se ha podido acreditar su identidad.
• Indicar, en caso de denegación, los motivos y los recursos disponibles (reclamación ante la AEPD y tutela judicial).

6.4. Particularidades por derecho

Acceso

Se facilitará copia de los datos objeto de tratamiento. Si se solicitan copias adicionales, podrá repercutirse un canon razonable basado en costes administrativos. Cuando la solicitud sea genérica, podrá pedirse al interesado que precise los datos o tratamientos.

Rectificación

La rectificación se hará efectiva sin dilación indebida y se comunicará a los destinatarios a los que se hubieran cedido los datos, salvo imposibilidad o esfuerzo desproporcionado.

Supresión

Se valorará si concurre alguna de las excepciones del art. 17.3 RGPD (libertad de expresión, obligación legal, interés público, fines de archivo, reclamaciones). En caso afirmativo, se denegará motivadamente. En su caso, se procederá al bloqueo conforme al art. 32 LOPDGDD antes de la supresión definitiva.

Oposición a marketing directo

La oposición se hará efectiva de forma inmediata y sin necesidad de motivación. Se eliminará al interesado de las listas de marketing y se conservará un registro de la baja para evitar nuevos envíos.

Limitación

Los datos afectados se marcarán en los sistemas como “limitados” y sólo se podrán tratar con el consentimiento del interesado, para la formulación o defensa de reclamaciones, o por motivos importantes de interés público.

Portabilidad

Se facilitarán los datos proporcionados por el interesado en formato estructurado, de uso común y lectura mecánica (por defecto, CSV, JSON o XML). Cuando sea técnicamente posible, se transmitirán directamente a otro responsable indicado por el interesado.

Decisiones automatizadas

Se informará sobre la lógica aplicada, la importancia y las consecuencias previstas. Se garantizará la intervención humana, el derecho a expresar el punto de vista y a impugnar la decisión.

7. Coste

El ejercicio de los derechos será gratuito. No obstante, cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente por su carácter repetitivo, la Empresa podrá cobrar un canon razonable o negarse a actuar, debiendo demostrar el carácter infundado o excesivo de la solicitud.

8. Atención de derechos por encargados del tratamiento

Los encargados del tratamiento están obligados a colaborar con la Empresa en la atención de los derechos. Cuando un interesado se dirija a un encargado, éste trasladará la solicitud al responsable sin demora.

9. Documentación, conservación y registro

La Empresa conservará durante al menos 3 años la documentación relativa a las solicitudes recibidas, las respuestas remitidas y la documentación acreditativa, como prueba del cumplimiento (principio de responsabilidad proactiva del art. 5.2 RGPD).

10. Información proactiva al interesado

La Empresa informará de la existencia de estos derechos y de los canales para ejercitarlos:

• En las cláusulas informativas en formularios de recogida de datos (web, papel).
• En la política de privacidad publicada en la página web.
• En la firma de los correos electrónicos comerciales.
• En los contratos con clientes, proveedores y empleados.

11. Modelo de respuesta

Toda respuesta incluirá, como mínimo:

• Identificación de la Empresa y, si existe, del DPD.
• Referencia a la solicitud (fecha y derecho ejercitado).
• Contenido sustantivo de la respuesta.
• Información sobre la posibilidad de reclamar ante la AEPD (www.aepd.es) y de acudir a la tutela judicial.
• Firma del responsable y fecha.

12. Revisión

Esta política se revisará al menos cada dos años, y siempre que cambios normativos, de la AEPD o del CEPD así lo aconsejen.

Aprobada por la dirección de la Empresa en la fecha indicada en el encabezado.