Cada solicitud debe tener identidad verificada, plazo corriendo, respuesta por escrito y respaldo. Si no hay respaldo, ante la Agencia es como no haber respondido.
El artículo 4 los enumera y agrega algo que conviene leer con cuidado: son personales, intransferibles e irrenunciables, y no se pueden limitar por ningún acto o convención. Una cláusula en un contrato de adhesión que pretenda restringirlos no vale.
Saber si la empresa trata sus datos y, en tal caso, acceder a ellos, a su origen, a las finalidades, a quiénes se comunicaron, por cuánto tiempo se tratarán, cuál es el interés legítimo si esa es la base, y la lógica aplicada cuando hay decisiones automatizadas.
Corregir o completar datos inexactos, desactualizados o incompletos. La corrección debe comunicarse además a quienes recibieron esos datos, salvo que sea imposible o exija un esfuerzo desproporcionado.
Eliminar los datos cuando ya no son necesarios para su finalidad, cuando se revocó el consentimiento y no hay otra base, cuando fueron obtenidos ilícitamente, cuando están caducos, cuando lo ordena una sentencia o la ley, o cuando prosperó una oposición y no hay otro fundamento. No procede, entre otros casos, si los datos son necesarios para cumplir una obligación legal o un contrato, o para defender una reclamación.
Pedir que no se realice un tratamiento determinado: cuando la base es el interés legítimo, cuando el tratamiento es solo con fines de marketing directo o elaboración de perfiles, o cuando los datos vienen de una fuente pública y no hay otro fundamento. En el caso del interés legítimo la empresa debe dejar de tratarlos, salvo que acredite motivos legítimos imperiosos que prevalezcan sobre los derechos del titular, o que los necesite para formular, ejercer o defender una reclamación.
Recibir una copia de los datos que la persona entregó, en un formato electrónico estructurado y de uso común, y transferirlos a otro responsable. Aplica cuando el tratamiento es automatizado y se basa en el consentimiento.
Suspender temporalmente el tratamiento mientras se resuelve una solicitud de rectificación, supresión u oposición (Art. 8 ter). El plazo es distinto del de los demás derechos: el responsable debe responder este requerimiento dentro de dos días hábiles y, hasta resolverlo, no puede tratar esos datos (Art. 11).
El artículo 11 fija el procedimiento completo. Es el mismo para cinco de los seis derechos; el bloqueo temporal se rige por un plazo especial de dos días hábiles.
El responsable debe almacenar los respaldos que le permitan demostrar la remisión de la respuesta a la dirección física o electrónica que corresponda, su fecha y el contenido íntegro de ella.
Si el plazo vence sin respuesta, el titular puede reclamar directamente ante la Agencia. Y el incumplimiento de una resolución de la Agencia sobre el ejercicio de estos derechos está calificado como infracción gravísima.
Un canal electrónico publicado y siempre disponible, identidad verificada, acuse de recibo, un plazo de treinta días corridos que corre desde el ingreso, respuesta escrita y fundada, y respaldo de todo lo anterior.
Y algo que suele olvidarse: el bloqueo temporal se responde en dos días hábiles, no en treinta.
Orbix entrega un canal público que se enlaza desde el sitio de su empresa. Quien presenta una solicitud recibe un folio y confirma el correo desde el que la presenta: hasta que confirma, la solicitud no queda registrada. Así el canal no se llena de solicitudes falsas ni de correos mal escritos donde después no se puede responder.
Desde ese momento el plazo corre a la vista: la solicitud aparece con los días restantes, con el responsable asignado y con la alerta antes del vencimiento, no después. La prórroga, si se usa, queda registrada como tal.
El acuse, las actuaciones internas y la respuesta enviada quedan guardados con fecha y huella verificable, que es exactamente el respaldo que pide el artículo 11. El titular puede consultar el estado de su solicitud con el folio, sin tener cuenta en la plataforma.
El registro de actividades y las medidas de seguridad suelen revisarse durante una fiscalización. El canal, en cambio, puede ser utilizado en cualquier momento por clientes, trabajadores, extrabajadores o terceros. Una solicitud sin respuesta o fuera de plazo puede derivar en un reclamo ante la Agencia sin que exista una fiscalización previa.
La puesta en marcha toma alrededor de un mes; cerrar todas las brechas depende de cada empresa. En una demostración de 30 minutos revisamos su caso: qué tratamientos realiza, qué brechas tiene y por dónde partir.