¿Qué es una solicitud de acceso a los datos?

Una solicitud de acceso a los datos (DSAR) es una solicitud escrita formal de un individuo – el sujeto de datos – a una organización, pidiendo a esa organización que proporcione una copia de los datos personales que contiene sobre ellos. Las DSAR son una piedra angular de la ley de protección de datos, dando a las personas una manera directa de ver qué información está siendo procesada y verificar que se está manejando legalmente, con justicia y transparencia.

Los datos personales cubren casi cualquier información relativa a una persona física identificada o identificable. Esto incluye nombres, números de identificación, datos de ubicación, identificadores en línea, y cualquier factor específico para la identidad física, fisiológica, genética, mental, económica, cultural o social de esa persona. Una RAE de DSAR puede ser hecha por cualquier razón – curiosidad, preocupación por la exactitud, preparación para litigios, o simplemente para ejercer un derecho fundamental.

Marco jurídico de las RAE de Irlanda

El panorama de protección de datos de Irlanda está conformado principalmente por el RGPD (Regulación (UE) 2016/679) y la legislación nacional de aplicación, la Ley de protección de datos de 2018. La Comisión de Protección de Datos Irlandeses (DPC) es la autoridad supervisora independiente encargada de hacer cumplir estas leyes y de impartir orientación sobre la gestión de las RAE de Irlanda.

Disposiciones clave en el RGPD

El artículo 15 del RGPD otorga a cada interesado el derecho a obtener de una confirmación del controlador si se están procesando datos personales relativos a ellos, y, en caso afirmativo, el acceso a esos datos. El responsable también debe proporcionar una copia de los datos que se están procesando, junto con cierta información complementaria:

  • Los propósitos del procesamiento.
  • Las categorías de datos personales correspondientes.
  • Los destinatarios (o categorías de destinatarios) a los que se han divulgado o serán divulgados los datos personales, especialmente los receptores en terceros países o organizaciones internacionales.
  • El período previsto para el cual se almacenarán los datos personales o, si no es posible, los criterios utilizados para determinar ese período.
  • La existencia del derecho a solicitar la rectificación o la supresión, la restricción del procesamiento o a oponerse al procesamiento.
  • El derecho a presentar una denuncia ante el DPC.
  • Cuando los datos no se hayan recopilado del interesado, ninguna información disponible sobre su fuente.
  • La existencia de una toma de decisiones automatizada, incluida la elaboración de perfiles, y de información significativa sobre la lógica en cuestión, así como la importancia y las consecuencias previstas.

La Ley de Protección de Datos 2018 añade algunas disposiciones específicas para Irlanda, por ejemplo, el artículo 61 de la Ley permite que un responsable se niegue a cumplir una RAE de D, en la que la solicitud implicaría la divulgación de información relativa a otra persona, a menos que esa persona haya consentido o sea razonable cumplir sin su consentimiento. La ley también prevé exenciones para ciertos tipos de procesamiento, como la investigación, el archivo y la prevención del delito, aunque éstas deben aplicarse de manera estrecha.

El derecho a una copia y el propietario de la respuesta

En virtud del artículo 15 3), el controlador debe proporcionar una copia de los datos personales que se están procesando. La primera copia es gratuita; una tasa razonable sólo puede cobrarse por copias posteriores o por solicitudes manifiestamente infundadas o excesivas. Los datos deben ser suministrados en un formato conciso, transparente, inteligible y fácilmente accesible, utilizando lenguaje claro y claro. Cuando sea posible, los datos deben ser proporcionados electrónicamente en un formato JSON, como un PDF o un archivo.

Cómo presentar una RAE de Irlanda

Cualquier individuo puede hacer un DSAR directamente a una organización. No hay forma específica o frase mágica requerida – un simple correo electrónico o carta escrita claramente que indica que la solicitud es suficiente. Sin embargo, para asegurar que la solicitud se procesa de manera eficiente, es mejor:

  • Aborde la solicitud al oficial de protección de datos de la organización (DPO) o al contacto de protección de datos designado, si se sabe.
  • Proporcione suficientes detalles personales para que la organización pueda verificar la identidad (por ejemplo, nombre completo, dirección de correo electrónico, número de cuenta o número de referencia).
  • Especifique el tipo de datos o el período de tiempo de interés, especialmente si la organización tiene un gran volumen de datos (por ejemplo, “Todos los datos personales tratados entre enero 2023 y enero 2024”).
  • Indicar un formato preferido para la respuesta (por ejemplo, electrónica o papel).

La organización puede solicitar una prueba adicional de identidad antes de responder. Esto es permisible siempre y cuando la solicitud sea proporcional. Por ejemplo, pedir una copia de pasaporte es razonable; pedir un documento original que sea caro de obtener puede ser considerado excesivo. La organización también debe confirmar la recepción de la RAE de D y explicar los siguientes pasos, incluyendo el plazo previsto.

Qué deben hacer las organizaciones cuando reciben una RAE de D

Una vez recibida una DSAR, la organización (el controlador de datos) debe actuar sin demora indebida y en cualquier caso dentro de un mes de recepción. El reloj comienza a marcar el día en que llega la solicitud – si la organización necesita verificar la identidad, se detiene el plazo hasta que la verificación esté completa. El período de un mes puede ser extendido por otros dos meses en que la solicitud es compleja o donde el sujeto de datos ha hecho múltiples solicitudes.

Estos son los pasos esenciales para el manejo de una RAE de D en Irlanda:

  • Validar la solicitud:] Confirme que es de hecho una RAE de D y que el solicitante se ha identificado.
  • Verificar la identidad:] Usar medidas razonables para asegurar que la persona que hace la solicitud sea quien afirma ser. Esto puede implicar la comprobación de registros internos, la solicitud de un pasaporte o el uso de la autenticación de dos factores.
  • Buscar los datos:] Localizar todos los datos personales que se mantienen en toda la organización, no sólo en el sistema primario de TI, sino también en correos electrónicos, almacenamiento en la nube, archivos, copias de seguridad (si es retrívido), archivos de papel, imágenes de CCTV y cualquier sistema de terceros utilizado.
  • Revisión y redacción: Antes de divulgar, revise los datos para eliminar cualquier dato personal de terceros que no pueda compartirse legalmente, o cualquier información que pueda perjudicar una investigación de delito o un procedimiento legal. La organización debe equilibrar el derecho de acceso del interesado a los derechos de los demás.
  • Proporcione la respuesta: Enviar los datos en un formato claro, junto con la información complementaria requerida por el artículo 15. Incluya una carta de presentación que explique lo que se ha proporcionado y las exenciones que se hayan aplicado.
  • Documentar todo:] Mantener un registro interno de la RAE de D, las medidas adoptadas y la justificación de cualquier decisión, lo cual es vital para la rendición de cuentas y para defender cualquier denuncia ante el DPC.

Retos en la gestión de las RAE de D

Las RAE de D pueden ser de gran utilidad para los recursos, especialmente para las organizaciones con ecosistemas de datos esparcidos, sistemas heredados o alta rotación del personal.

  • Descubrimiento de datos: Los datos personales pueden ser diseminados en múltiples bases de datos, unidades compartidas, cuentas de correo electrónico e incluso plataformas de chat internas. Sin la asignación adecuada de datos, la localización de los datos pertinentes puede tardar semanas.
  • Volumen y complejidad: Un único DSAR puede implicar miles de documentos. Revisar, reelaborar y collar este material dentro de un mes es a menudo extremadamente difícil.
  • Datos de terceros: La divulgación de los datos de un individuo puede revelar inadvertidamente información sobre otra persona (por ejemplo, el salario de un colega o la queja de un cliente). La organización debe decidir si debe redactar, retener o buscar consentimiento.
  • Requiere infundada o excesivamente: El RGPD permite a una organización rechazar o cobrar una cuota razonable para solicitudes manifiestamente infundadas o excesivas. Sin embargo, la carga de la prueba recae en la organización, y la barra es elevada. El DPC espera que los controladores muestren evidencia concreta de abuso, no sólo inconveniencia.
  • Solicitudes transfronterizas: Si el interesado se basa en otro país de la UE, la organización debe seguir cumpliendo y puede ser necesario coordinarse con otros controladores de datos o procesadores de datos.
  • Solicitudes de empleo: Los empleados pueden hacer RAE de D en cualquier momento, incluso durante procedimientos disciplinarios o después de abandonar el empleo. Estas solicitudes son a menudo sensibles y sensibles al tiempo, que requieren un tratamiento cuidadoso para evitar conflictos con la ley del empleo.

Buenas Prácticas para las Organizaciones

Para gestionar eficazmente las RAE de D y evitar la aplicación de DPC, las organizaciones irlandesas deben adoptar las siguientes prácticas:

1. Mantener un inventario de datos personales

Un inventario de datos o mapa de datos que registra los datos personales que se recopilan, donde se almacena, quién tiene acceso y cuánto tiempo se mantiene es la herramienta más útil para responder a las RAE de D. Sin ella, buscar datos se convierte en un bombero. El inventario debe mantenerse actualizado y ser revisado periódicamente.

2. Implementar una política y un procedimiento de la RAE de D

Formar el proceso: designar un propietario de la RAE de D (a menudo el DPO), definir roles y responsabilidades, fijar plazos internos (por ejemplo, responder dentro de 20 días para permitir un búfer), y crear cartas de plantilla para el reconocimiento, verificación de identidad, extensiones y respuestas finales. Capacitar a todo el personal que pueda recibir una DSAR – especialmente el servicio al cliente en primera línea y los equipos de RRHHH – para que reconozcan una inmediatamente y la persona adecuada.

3. Use la tecnología para automatizar búsquedas

Aprovechar herramientas de e-descubrimiento, plataformas de prevención de la pérdida de datos o software de gestión DSAR dedicado a buscar en sistemas, marcar datos personales y automatizar la redacción. Para las organizaciones que utilizan una plataforma de datos moderna como Directus, se construye un flujo de trabajo DSAR que consulta la base de datos y exporta datos relevantes puede reducir dramáticamente el esfuerzo manual.

4. Aplicar exenciones con cuidado

El RGPD y la Ley de Protección de Datos de 2018 ofrecen exenciones limitadas al derecho de acceso, por ejemplo, a proteger los privilegios profesionales legales, a evitar la obstrucción de las investigaciones penales, o cuando los datos estén sujetos a un acuerdo de confidencialidad jurídicamente vinculante. No se base en exenciones generales; cada caso debe evaluarse individualmente, y las razones para negar o limitar el acceso deben ser documentadas y comunicadas al interesado.

5. Comunicación proactiva

Si una RAE de D tardará más de un mes, informará al sujeto de datos dentro del primer mes y explicará por qué. Si se retienen algunos datos, explique la base legal. Un sujeto de datos que se siente mantenido en el bucle es mucho menos probable que aumente una queja al DPC. Por el contrario, el silencio o la inresponsabilidad es la manera más segura de invitar el escrutinio regulatorio.

6. Monitor y aprendizaje

Seguimiento de los volúmenes de la RAE de D, los tiempos de respuesta y los tipos de solicitudes. Utilice estos datos para identificar áreas de problemas recurrentes, por ejemplo, si muchas solicitudes se refieren a datos de RRH, considere mejorar la forma en que se organizan los datos de los empleados.

Novedades recientes y orientación del DPC

El DPC ha emitido varias decisiones y notas de orientación sobre la aplicación de las disposiciones de la ley que dan forma a la manera en que se manejan las RAE de D en Irlanda.

  • Guía sobre la carga de los honorarios: El DPC ha declarado que los honorarios deben limitarse a los costos administrativos y sólo son admisibles para solicitudes manifiestamente infundadas o excesivas. Una “tribución administrativa” general para todos los DSAR no es legal.
  • Guía sobre la toma de decisiones automatizada: Cuando una RAE de D se refiere a decisiones automatizadas o perfiles, la organización debe proporcionar información significativa sobre la lógica detrás de la decisión, no sólo una copia de los datos. Esto es especialmente relevante para las organizaciones que utilizan la IA o el aprendizaje automático.
  • Medidas de ejecución: El DPC ha impuesto multas significativas a las organizaciones que no han respondido a las RAE de D dentro del período de un mes o que proporcionaron respuestas incompletas sin justificación adecuada. Por ejemplo, en 2023, una aerolínea irlandesa importante fue multada de 400.000 € por no responder adecuadamente a múltiples RAE de D.
  • Interacción con otros derechos: El DPC ha aclarado que el derecho de acceso no invalida otras obligaciones legales, como el secreto profesional o las solicitudes de acceso a los datos presentadas por otra persona. Las organizaciones deben equilibrar los derechos y pueden necesitar redactar o buscar el consentimiento de terceros.

Para la orientación más actual, las organizaciones deben consultar regularmente el sitio web oficial del DPC en dataprotection.ie y referirse a las directrices del EDPB (European Data Protection Board) sobre el derecho de acceso. El texto completo del GDPR está disponible en EUR-Lex.

Por qué las RAED se preocupan más allá del cumplimiento

Más allá de la obligación legal, un DSAR bien dirigido fortalece la confianza. Cuando un individuo pregunta a una organización “¿Qué sabes de mí?” y recibe una respuesta completa, clara y oportuna, demuestra que la organización toma en serio la privacidad. En el mundo basado en datos de hoy, esa confianza es una ventaja competitiva. Para los educadores y estudiantes, entender las DSAR no es sólo conocer la ley – se trata de empoderar a los individuos para ejercer su propia transparencia.