Derechos de los titulares de datos en la LGPD

Esta página es una traducción del texto original en portugués, ofrecida para facilitar la lectura. Trata del derecho brasileño. En caso de divergencia, prevalece la versión en portugués. Leer el original en portugués

La Ley General de Protección de Datos garantiza al ciudadano brasileño un conjunto sólido de derechos sobre su información personal, y conocerlos es el primer paso para ejercerlos con eficacia.

Qué es la LGPD (Ley General de Protección de Datos Personales de Brasil) y por qué importa a los titulares de datos

La Ley n.º 13.709/2018, conocida como Ley General de Protección de Datos Personales (LGPD), supuso un cambio de paradigma en la forma en que empresas, organismos públicos y organizaciones en general tratan la información personal en Brasil. Antes de su entrada en vigor, el ordenamiento jurídico brasileño contaba con disposiciones dispersas sobre privacidad y protección de datos (como el Marco Civil de Internet y el Código de Defensa del Consumidor), pero no existía una legislación unificada y de alcance general dedicada exclusivamente a este tema. Con la LGPD pasamos a disponer de un marco regulatorio que sitúa al titular, es decir, a la persona natural a quien se refieren los datos, en el centro de la relación de tratamiento de datos.

El ejercicio efectivo de los derechos de los titulares de datos no depende solo de su previsión legal, sino de la existencia de procesos internos sólidos y de una cultura organizacional comprometida con la protección de los datos personales.

Al analizar el contexto de la due diligence de datos, esta centralidad del titular cobra aún mayor relevancia. Las empresas que realizan operaciones de fusión y adquisición, los inversionistas que evalúan startups y las organizaciones que contratan proveedores de tecnología deben verificar si se respetan los derechos de los titulares. Una violación sistemática de esos derechos puede representar pasivos jurídicos significativos, multas administrativas de hasta el 2% de la facturación (limitadas a R$ 50 millones por infracción) y daños reputacionales de difícil medición.

En este escenario, entendemos que dominar los derechos previstos en los artículos 17 a 22 de la LGPD no es solo una cuestión de cumplimiento normativo, sino un elemento estratégico tanto para quien busca proteger su información personal como para las empresas que desean operar de forma ética y sostenible en el entorno digital.

Los derechos de los titulares previstos en la LGPD

El artículo 18 de la LGPD establece un catálogo de derechos que el titular puede ejercer en cualquier momento mediante solicitud al controlador de los datos. A continuación se analiza cada uno de ellos con la profundidad necesaria para comprender tanto el alcance como las limitaciones prácticas de cada prerrogativa.

Confirmación de la existencia de tratamiento

El titular tiene derecho a obtener del controlador la confirmación de que sus datos personales son, efectivamente, objeto de tratamiento. Esta confirmación debe entregarse de forma simplificada e inmediata, o mediante una declaración clara y completa en un plazo de hasta 15 días, conforme a lo previsto en el artículo 19 de la LGPD. Este derecho funciona como puerta de entrada para el ejercicio de los demás, pues sin saber que sus datos están siendo tratados, el titular no tendría forma de ejercer control alguno sobre ellos.

Acceso a los datos

Una vez confirmada la existencia del tratamiento, el titular puede solicitar acceso a los datos que se están tratando. El controlador debe proporcionar esta información de forma clara, adecuada y destacada, respetando los secretos comercial e industrial. En la práctica de la due diligence, se verifica si la empresa evaluada cuenta con mecanismos eficientes para atender estas solicitudes dentro de los plazos legales, ya que la incapacidad de responder adecuadamente puede indicar graves deficiencias en la gobernanza de datos.

Corrección de datos incompletos, inexactos o desactualizados

Consideramos este uno de los derechos más ejercidos en la práctica. El titular puede solicitar la corrección de cualquier información incorrecta, desactualizada o incompleta en las bases de datos del controlador. Este derecho está directamente vinculado al principio de calidad de los datos, previsto en el artículo 6º, inciso V, de la LGPD, que exige exactitud, claridad, relevancia y actualización de los datos según la necesidad y para el cumplimiento de la finalidad de su tratamiento.

Anonimización, bloqueo o eliminación de datos

El titular puede solicitar la anonimización, el bloqueo o la eliminación de datos innecesarios, excesivos o tratados en incumplimiento de la LGPD. Con la anonimización, los datos pierden la posibilidad de asociación (directa o indirecta) a un individuo, mediante el uso de medios técnicos razonables y disponibles en el momento del tratamiento. El bloqueo suspende temporalmente las operaciones de tratamiento, mientras que la eliminación supone la supresión definitiva de los datos. Cada una de estas medidas tiene implicaciones técnicas y jurídicas distintas, y la elección entre ellas depende del caso concreto.

Portabilidad de los datos

Mediante solicitud expresa, el titular puede pedir la portabilidad de sus datos a otro proveedor de servicios o productos. Este derecho, reglamentado por la Autoridad Nacional de Protección de Datos (ANPD), busca garantizar que el titular no quede cautivo de un único controlador. Para las empresas sometidas a due diligence, la existencia de procesos estructurados de portabilidad indica madurez en la gestión de datos y respeto a la autodeterminación informativa del titular.

Eliminación de los datos tratados con consentimiento

Cuando el tratamiento se basa en el consentimiento del titular, este puede solicitar la eliminación de los datos en cualquier momento. Es importante destacar que esta eliminación se refiere específicamente a los datos cuyo tratamiento se funda en el consentimiento, y no alcanza a los datos que cuentan con otras bases legales para su tratamiento (como la obligación legal o regulatoria, la ejecución de un contrato, entre otras previstas en el artículo 7º de la LGPD).

Información sobre el intercambio de datos

El titular tiene derecho a saber con qué entidades (públicas y privadas) el controlador ha compartido sus datos. Este derecho es particularmente relevante en los procesos de due diligence, pues permite mapear el flujo de datos e identificar posibles comunicaciones indebidas o no autorizadas que puedan generar responsabilidad solidaria.

Revocación del consentimiento

El consentimiento puede revocarse en cualquier momento, mediante manifestación expresa del titular, por un procedimiento gratuito y sencillo. La revocación no afecta la legalidad del tratamiento realizado con anterioridad, conforme dispone el artículo 8º, § 5º, de la LGPD. Se constata, en la práctica de asesoría, que muchas empresas aún no cuentan con mecanismos simples y accesibles para que el titular ejerza este derecho, lo cual constituye una vulnerabilidad relevante en las auditorías de cumplimiento.

La due diligence de datos y la verificación de los derechos de los titulares

En los procesos de due diligence orientados a la protección de datos, evaluamos el cumplimiento de la LGPD por parte de una organización desde múltiples perspectivas. En lo que respecta a los derechos de los titulares, esta evaluación implica verificar si la empresa dispone de un canal de atención al titular eficiente y accesible, si se llevan registros de las solicitudes recibidas y de las respuestas entregadas, si se cumplen los plazos legales y si existe un encargado de protección de datos (DPO) debidamente designado y en funciones.

Observamos que la madurez de una organización en relación con los derechos de los titulares puede medirse mediante indicadores objetivos: tiempo medio de respuesta a las solicitudes, porcentaje de solicitudes atendidas dentro del plazo legal, existencia de procedimientos documentados para cada tipo de derecho y capacitación periódica de los equipos involucrados. Las empresas que presentan deficiencias en estos indicadores durante la due diligence pueden ver el valor de sus operaciones significativamente afectado, ya sea por la necesidad de realizar inversiones correctivas, ya sea por el riesgo de sanciones administrativas y judiciales.

Otro punto crítico que se analiza es la relación entre controladores y operadores de datos. Cuando una empresa terceriza operaciones de tratamiento, sigue siendo responsable de garantizar que los derechos de los titulares se respeten a lo largo de toda la cadena de tratamiento. La existencia de contratos con cláusulas específicas sobre protección de datos, incluidas obligaciones relativas a la atención de los derechos de los titulares, es un elemento esencial que se verifica en cualquier proceso de due diligence.

Excepciones y limitaciones al ejercicio de los derechos

Aunque los derechos de los titulares son amplios, no son absolutos. La propia LGPD establece situaciones en las que el tratamiento puede continuar incluso frente a una solicitud del titular. Por ejemplo, los datos necesarios para el cumplimiento de una obligación legal o regulatoria por parte del controlador no tienen que eliminarse a petición del titular. Del mismo modo, los datos necesarios para el ejercicio regular de derechos en un proceso judicial, administrativo o arbitral pueden conservarse con independencia de la voluntad del titular.

El artículo 20 de la LGPD merece especial atención en el contexto de la due diligence de datos: garantiza al titular el derecho a solicitar la revisión de decisiones adoptadas únicamente con base en el tratamiento automatizado de datos personales que afecten sus intereses (como decisiones de crédito, perfiles de consumo o aspectos de su personalidad). Esta disposición adquiere una relevancia creciente a medida que las organizaciones adoptan algoritmos y sistemas de inteligencia artificial para tomar decisiones que inciden directamente en la vida de los ciudadanos.

Se analiza también que el artículo 22 de la LGPD prevé que la defensa de los intereses y de los derechos de los titulares puede ejercerse en sede judicial, de forma individual o colectiva. Esto significa que, además de las sanciones administrativas aplicables por la ANPD, las empresas que no respetan los derechos de los titulares están expuestas a acciones judiciales individuales y colectivas, con potencial de generar condenas elevadas por daños morales y materiales.

Cómo ejercer los derechos en la práctica

Para el titular que desea ejercer sus derechos, el camino comienza por identificar al controlador de los datos y el canal de comunicación habilitado a tal efecto. La LGPD exige que el controlador designe un encargado (DPO) cuya identidad e información de contacto deben divulgarse públicamente, preferentemente en el sitio web institucional de la organización. El titular debe formalizar su solicitud de manera clara, indicando qué derecho desea ejercer y aportando información suficiente para su identificación.

Si el controlador no atiende la solicitud en el plazo legal o ofrece una respuesta insatisfactoria, el titular puede acudir a la ANPD para presentar una petición. La Autoridad evaluará la situación y podrá ordenar medidas correctivas al controlador. Cabe destacar que la ANPD ha ampliado progresivamente su actuación fiscalizadora y sancionadora, lo que refuerza la importancia de que las organizaciones mantengan procesos adecuados de atención a los derechos de los titulares.

Se recomienda que los titulares documenten todas sus interacciones con los controladores, conservando los números de protocolo de atención, copias de correos electrónicos y capturas de pantalla. Esta documentación puede ser fundamental si fuera necesario acreditar un eventual incumplimiento de la legislación en un procedimiento administrativo o judicial.

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.