Derecho de acceso a los datos personales

El derecho de acceso , también conocido como derecho de acceso o acceso del interesado , es uno de los derechos más fundamentales en las leyes de protección de datos a nivel mundial. Por ejemplo, Estados Unidos, Singapur, Brasil y países de Europa han desarrollado leyes que regulan el acceso a los datos personales como protección de la privacidad. La Unión Europea afirma que: «El derecho de acceso ocupa un lugar central en el conjunto de medidas de empoderamiento del interesado contempladas en la legislación de protección de datos de la UE». ^{[ 1 ]} Este derecho se suele implementar mediante una Solicitud de Acceso del Interesado (SAR, por sus siglas en inglés) o una Solicitud de Acceso del Interesado a los Datos (DSAR, por sus siglas en inglés). ^{[ 2 ]}

El ambicioso Objetivo de Desarrollo Sostenible 16, meta 9, exige la provisión de identidad jurídica para todos los seres humanos. «En la economía digital, esto se convierte en el derecho a una identidad digital». ^{[ 3 ]} Dicha identidad podría facilitar la presentación de solicitudes de acceso a datos personales.

La Ley General de Protección de Datos (LGPD) de Brasil es su primera normativa integral de protección de datos. Según la LGPD, las solicitudes de acceso de los interesados ​​deben ser atendidas en un plazo de 15 días. ^{[ 4 ]}

El derecho de acceso está consagrado como parte del derecho fundamental a la protección de datos en la Carta de los Derechos Fundamentales de la Unión Europea . De hecho, es el único de los derechos prácticos relacionados con los datos personales que figura en dicha carta.

En el RGPD , este derecho se define en varias secciones del artículo 15. También existe un derecho de acceso en la legislación complementaria del RGPD, la Directiva sobre la aplicación de la ley en materia de protección de datos. ^{[ 5 ]} El Comité Europeo de Protección de Datos (CEPD) ha considerado «necesario proporcionar una orientación más precisa sobre cómo debe implementarse el derecho de acceso en diferentes situaciones». ^{[ 6 ]} Cuando la Directiva de la UE se transpone al derecho nacional de un Estado miembro, el derecho de acceso puede suspenderse o restringirse, como en el caso de Alemania en el artículo 34 de su Ley Federal de Protección de Datos (Bundesdatenschutzgesetz ). ^{[ 7 ]} Además, a nivel europeo, Europol ofrece un derecho de acceso. ^{[ 8 ]}

Los datos personales en Singapur están protegidos por la Ley de Protección de Datos Personales de 2012 (PDPA). La PDPA establece una ley de protección de datos que comprende varias normas que rigen la recopilación, el uso, la divulgación y el cuidado de los datos personales. El acceso a los datos personales se establece como parte de la Parte IV, capítulo 21, que establece que, a solicitud de un individuo, una organización deberá, tan pronto como sea razonablemente posible, proporcionarle: ^{[ 9 ]}

En el Reino Unido, el sitio web de la Oficina del Comisionado de Información establece lo siguiente con respecto a las Solicitudes de Acceso a los Sujetos (SAR): ^{[ 10 ]}

Tienes derecho a saber si una organización está utilizando o almacenando tus datos personales. Esto se conoce como derecho de acceso. Puedes ejercer este derecho solicitando una copia de los datos, lo que comúnmente se denomina «solicitud de acceso del interesado». ... Se te debe proporcionar una copia de tus datos personales de forma gratuita en un formato de uso común y legible por máquina. ^{[ 11 ]} Una organización puede cobrar por copias adicionales. Solo puede cobrar una tarifa si considera que la solicitud es «manifiestamente infundada o excesiva». En tal caso, puede solicitar una tarifa razonable para cubrir los gastos administrativos asociados con la solicitud.

Antes de que el Reglamento General de Protección de Datos (RGPD) entrara en vigor el 25 de mayo de 2018, ^{[ 12 ]} las organizaciones podían cobrar una tarifa específica por responder a una SAR, de hasta 10 libras esterlinas para la mayoría de las solicitudes.

Cinco leyes federales incluyen el derecho de acceso a datos personales:

• Ley de Informes de Crédito Justos (FCRA, por sus siglas en inglés ),
• FERPA Ley de Derechos Educativos y Privacidad Familiar ,
• Ley de Protección de la Privacidad Infantil en Internet (COPPA )
• HIPAA ( Ley de Portabilidad y Responsabilidad del Seguro Médico) .
• Ley de Privacidad de 1974 .
• Ley de Protección de los Estadounidenses contra las Solicitudes Controladas por Adversarios Extranjeros

Además, algunas leyes estatales, como la Ley de Privacidad del Consumidor de California (CCPA) , han comenzado a incluir este derecho.

Los flujos de datos entre la UE y EE. UU. (o al menos los que se dirigen hacia el oeste, a EE. UU.) se rigen por el Escudo de Privacidad UE-EE . UU. Uno de los principios del Escudo de Privacidad es el derecho de acceso. ^{[ 13 ]} De hecho, es fundamental para habilitar mecanismos de rendición de cuentas en torno al procesamiento de datos personales. Este ejemplo demuestra que una concepción europea de la privacidad no tiene por qué ser percibida por los actores estadounidenses como una imposición indebida de nuevas restricciones a la libertad de expresión de los titulares de los datos.

Esta práctica del Escudo de Privacidad también demuestra que el caso de la protección de datos civiles (como en el caso del RGPD) es bastante diferente del caso de la investigación penal, donde el derecho de acceso se ejerce como una "solicitud de datos" por parte de un gobierno, no de un individuo, como en el caso de la Corte Suprema de los Estados Unidos Microsoft Corp. v. Estados Unidos . El individuo en los casos penales sí conserva el derecho a saber qué datos se utilizan sobre él/ella y de qué delito se le acusa. ^{[ 14 ]}

• Max Schrems#Quejas ante el Comisionado de Protección de Datos de Irlanda 2011
• Escándalo de datos entre Facebook y Cambridge Analytica
• Acceso a los datos
• Microsoft Corp. contra Estados Unidos

• Norris, Clive, Antonella Galetta, Paul de Hert y Xavier L'Hoiry. 2016. El estado irresponsable de la vigilancia: el ejercicio de los derechos de acceso en Europa (libro).
• Ausloos, Jef, René Mahieu, Michael Veale. 2019. Obtener los derechos de los interesados: una presentación al Comité Europeo de Protección de Datos por parte de académicos internacionales en materia de derechos de datos, para informar la orientación regulatoria, 40 páginas | doi=10.31228/osf.io/e2thg |
• Mahieu, René, Jef Ausloos. 2020. Reconociendo y posibilitando la dimensión colectiva del RGPD y el derecho de acceso. LawArXiv. 2 de julio. doi:10.31228/osf.io/b5dwm