¿Qué plazo se aplica?
Según la LPD suiza, el acceso se facilita por regla general en un plazo de 30 días (art. 25 apdo. 7 LPD). Si no es posible, la empresa debe avisar a la persona interesada e indicarle en qué plazo se facilitará el acceso (art. 18 de la Ordenanza suiza de Protección de Datos, OPD).
Según el RGPD, el acceso debe facilitarse sin dilación indebida y, a más tardar, en el plazo de un mes. El plazo puede ampliarse otros dos meses si lo exigen la complejidad o el número de solicitudes; la persona debe ser informada de ello dentro del primer mes, indicando los motivos (art. 12 apdo. 3 RGPD).
¿Qué debe contener la respuesta?
Ambas leyes exigen más que una lista de datos:
| Contenido | LPD (art. 25 apdo. 2) | RGPD (art. 15) |
|---|---|---|
| Los datos personales tratados como tales | sí | sí, como copia |
| Finalidad del tratamiento | sí | sí |
| Plazo de conservación o criterios para determinarlo | sí | sí |
| Origen, si no se obtuvieron de la persona | sí, en la medida en que se disponga de ello | sí, en la medida en que se disponga de ello |
| Destinatarios o categorías de destinatarios | en su caso | sí |
| Decisión individual automatizada y su lógica | en su caso | en su caso |
| Identidad y datos de contacto del responsable | sí | – |
| Información sobre otros derechos y el derecho a presentar una reclamación | – | sí |
¿Cómo se verifica la identidad?
Solo la persona legitimada obtiene acceso. Quien entrega los datos a la persona equivocada provoca él mismo una violación de la seguridad de los datos. La verificación debe ser proporcionada: una copia de un documento de identidad, un inicio de sesión a través de una cuenta de cliente existente o una videoidentificación, según lo delicados que sean los datos.
¿Por qué es tan difícil que la respuesta sea completa?
Los datos de una persona están repartidos en muchas aplicaciones, repositorios y buzones de correo. Algunos sistemas pueden consultarse directamente; en otros, los responsables del sistema tienen que buscar. Mientras tanto, el plazo corre y, al final, debe poder demostrarse quién aportó qué.
Ha dado buen resultado definir una vez qué sistemas forman parte de una respuesta de acceso, quién es responsable de ellos y qué datos contiene la respuesta. Así, cada solicitud se tramita de la misma manera, los plazos se vigilan y cada paso queda registrado.
¿Cuándo puede limitarse el acceso?
La LPD suiza permite denegar, limitar o aplazar el acceso, por ejemplo si una ley lo prevé, si lo exigen intereses preponderantes de terceros o si la solicitud es manifiestamente infundada o querulante (art. 26 LPD). Los motivos deben comunicarse a la persona. El RGPD prevé límites similares para solicitudes manifiestamente infundadas o excesivas (art. 12 apdo. 5 RGPD).