LGPD: los nueve derechos del titular de datos personales

Esta página es una traducción del texto original en portugués, ofrecida para facilitar la lectura. Trata del derecho brasileño. En caso de divergencia, prevalece la versión en portugués. Leer el original en portugués

La Ley General de Protección de Datos Personales otorgó al ciudadano un catálogo de nueve derechos que puede ejercer ante cualquier empresa u organismo público que trate su información, y que permite al titular saber qué se hace con sus propios datos, controlarlos y, en situaciones específicas, eliminarlos.

Lo que la LGPD (Ley General de Protección de Datos Personales de Brasil) reconoce al titular

La Ley 13.709/2018, conocida como Ley General de Protección de Datos Personales, estableció en su artículo 18 una lista de nueve derechos que el titular de los datos puede ejercer directamente ante el controlador (el responsable del tratamiento), es decir, la persona natural o jurídica que toma las decisiones sobre el tratamiento de la información personal. Esta lista no es meramente declarativa, ya que cada derecho cuenta con mecanismos para exigir su cumplimiento en la vía administrativa ante la Autoridad Nacional de Protección de Datos y con tutela judicial ante el Poder Judicial.

Los nueve derechos abarcan desde la confirmación de que existe un tratamiento de datos hasta la posibilidad de solicitar la revisión de decisiones automatizadas que afecten los intereses del titular. La lectura sistemática de la norma revela una lógica progresiva: primero, el titular descubre qué se está haciendo con su información; después, accede a su contenido; a continuación, la corrige, la controla, la transfiere y, según el caso, solicita su eliminación o se opone al tratamiento.

La norma exige que la respuesta a la solicitud sea gratuita, se entregue en un formato accesible y dentro de un plazo razonable, conforme a la reglamentación de la Autoridad Nacional. El controlador que incumpla el plazo o deniegue la atención sin justificación queda sujeto a sanciones administrativas que van desde la advertencia hasta una multa de hasta el dos por ciento de la facturación, limitada a cincuenta millones de reales por infracción.

Los nueve derechos en detalle

El primer derecho es obtener la confirmación de la existencia de tratamiento. El titular puede preguntar a la empresa si recopila, almacena o comparte datos suyos. La respuesta debe ser objetiva: existe o no existe tratamiento. Este derecho funciona como puerta de entrada para el ejercicio de todos los demás, pues sin la confirmación inicial el ciudadano ni siquiera sabe a quién dirigir las solicitudes posteriores.

El segundo es el derecho de acceso a los datos. Una vez confirmada la existencia del tratamiento, el titular puede solicitar el contenido de la información almacenada, incluidos su origen, su finalidad, el plazo de conservación y las entidades con las que el controlador comparte los datos. El tercer derecho complementa al anterior: se trata de la corrección de datos incompletos, inexactos o desactualizados, medida que asegura la integridad de la información y evita decisiones basadas en registros erróneos.

El cuarto derecho es la anonimización, el bloqueo o la eliminación de datos innecesarios, excesivos o tratados en incumplimiento de la LGPD. No debe confundirse con una eliminación amplia: se aplica específicamente a información recopilada más allá de lo necesario o en violación de la norma. El quinto derecho permite la portabilidad de los datos a otro proveedor de servicios o productos, mediante solicitud expresa y con respeto de los secretos comercial e industrial.

El sexto derecho es la eliminación de los datos tratados con base en el consentimiento, salvo los supuestos de conservación previstos en la ley, como el cumplimiento de una obligación legal, la transferencia a terceros con observancia de las normas de protección o el uso exclusivo del controlador en forma anonimizada. El séptimo se refiere a la información sobre las entidades públicas y privadas con las que el controlador haya compartido el uso de los datos, una medida de transparencia que combate el traspaso silencioso de información entre empresas del mismo grupo económico o entre socios comerciales.

Los nueve derechos abarcan desde la confirmación de que existe un tratamiento de datos hasta la posibilidad de solicitar la revisión de decisiones automatizadas que afecten los intereses del titular.

Cómo ejercer cada uno de ellos en la práctica

El octavo derecho se refiere a la información sobre la posibilidad de no otorgar el consentimiento y sobre las consecuencias de esa negativa. Antes de recabar la manifestación del titular, el controlador debe aclarar qué ocurrirá si el consentimiento es rechazado: si el servicio dejará de prestarse, si habrá una restricción parcial o si la negativa no afecta la relación. El noveno derecho es la revocación del consentimiento, que puede ejercerse en cualquier momento mediante manifestación expresa, a través de un procedimiento gratuito y sencillo.

La reglamentación infralegal añadió además el derecho a la revisión de decisiones adoptadas únicamente con base en un tratamiento automatizado, conforme al artículo 20 de la Ley. Aunque no figura en la lista del artículo 18, forma parte del conjunto de prerrogativas que el titular puede ejercer y adquiere una relevancia creciente ante la expansión de los sistemas algorítmicos en la concesión de crédito, la contratación de seguros, los procesos de selección y los análisis de perfil de consumo.

Para ejercer cualquiera de los derechos, el titular debe dirigir su solicitud al Encargado del Tratamiento de Datos Personales (Encarregado), figura cuya designación es obligatoria para buena parte de los controladores. Los datos de contacto del encargado deben constar de forma clara y accesible en el sitio web de la empresa o en el documento de política de privacidad. Si no hay respuesta o esta resulta insatisfactoria, procede presentar una denuncia ante la Autoridad Nacional de Protección de Datos y, según el caso, una acción judicial para la tutela específica del derecho vulnerado, con posibilidad de acumularla con una pretensión de reparación por daño material o moral.

Se recomienda que el titular formule la solicitud por escrito, preferiblemente por un canal que genere comprobante de envío y recepción, describiendo de forma objetiva cuál de los nueve derechos desea ejercer e indicando los datos de identificación necesarios para localizar el registro. Conservar el número de protocolo es fundamental para una eventual exigencia de responsabilidad administrativa o judicial al controlador que no responda.

Preguntas frecuentes

¿Cuáles son exactamente los nueve derechos previstos en el artículo 18 de la LGPD?

Los nueve derechos son: confirmación de la existencia de tratamiento, acceso a los datos, corrección de datos incompletos o desactualizados, anonimización o eliminación de datos innecesarios o tratados en incumplimiento de la ley, portabilidad a otro proveedor, eliminación de los datos tratados con base en el consentimiento, información sobre el uso compartido, información sobre la posibilidad de no consentir y sus consecuencias, y revocación del consentimiento. Cada uno de ellos puede ejercerse directamente ante el controlador, sin necesidad de intervención previa del Poder Judicial.

¿Cuánto tiempo tiene el controlador para responder a la solicitud del titular?

La Ley establece que la respuesta debe entregarse de inmediato en formato simplificado o, en formato completo, en un plazo de hasta quince días contados desde la solicitud, conforme a la reglamentación de la Autoridad Nacional de Protección de Datos. El incumplimiento del plazo constituye una infracción administrativa y puede dar lugar a sanciones que van desde la advertencia hasta la multa, sin perjuicio de la responsabilidad civil por el daño material o moral que la demora pueda causar al titular.

¿Es posible pedir la eliminación de cualquier dato personal almacenado por una empresa?

No. La eliminación prevista en el artículo 18 se aplica a los datos tratados con base en el consentimiento y está sujeta a excepciones importantes, como el cumplimiento de una obligación legal o reglamentaria por parte del controlador, la transferencia a terceros con observancia de las normas de la Ley y el uso exclusivo del propio controlador siempre que los datos estén anonimizados. Los datos tratados con fundamento en otras bases legales, como la ejecución de un contrato o el ejercicio regular de derechos, se rigen por su propio régimen y pueden conservarse mientras subsista la finalidad que justifica el tratamiento.

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.