Zure enpresak datuak tratatzen dizkion edozein pertsonak idatz diezazuke datu horietara sarbidea izateko, zuzentzeko, ezabatzeko eskatzeko edo erabilera jakin bati uko egiteko. Ez da izapide aukerakoa ez adeitasun-keinu bat: RGPDn aitortutako eskubideak dira eta zure erakundeak haiei erantzuteko betebeharra du, oro har, hilabeteko epean. Gida honek azaltzen du, banan-banan, zer ahalbidetzen duen eskubide bakoitzak, noiz aplikatzen den, zer muga dituen eta nola erantzuten zaion praktikan enpresaren aldetik.
Eskubide bakoitzaren xehetasun operatiboa da. Guztien ikuspegi orokorra eta interesatuaren eta zure erakundearen arteko harremanean nola txertatzen diren bilatzen baduzu, hasi interesatuen eskubideak enpresaren aurrean gidatik.
15 segundotan
- Sarbidea (15. art.): pertsona batez zer datu dituzun eta zertarako erabiltzen dituzun jakitea.
- Zuzenketa (16. art.): datu okerrak zuzentzea edo osatugabeak osatzea.
- Ezabatzea edo «ahazteko eskubidea» (17. art.): datuak ezabatzea, lege-salbuespenak salbu.
- Aurkaratzea (21. art.): tratamendu jakin bat geldiaraztea; marketinaren aurrean, baldintzarik gabe.
- Erantzun-epea: hilabete bat jasotzen denetik (12. art.), kasu konplexuetan bi hilabetez luzagarria.
Sarbide-eskubidea (RGPD 15. art.)
Sarbide-eskubideak edozein pertsonari ahalbidetzen dio jakitea zure enpresak bere datuak tratatzen dituen eta, hala bada, haien kopia bat lortzea, nola erabiltzen dituzun jakinarazteko informazioarekin batera. Gainerako eskubideen abiapuntua da: sarbiderik gabe, interesatuak ezin du jakin zuzendu, aurkaratu edo ezabatzea eskatu behar duen.
Norbaitek sarbidea erabiltzen duenean, zure erakundeak bere datu pertsonalen kopia bat eman behar dio eta, gainera, honen berri eman:
- Tratamenduaren helburuak eta pertsona horri buruz kudeatzen dituzun datu-kategoriak.
- Bere datuak jakinarazi dizkiezun edo jakinaraziko dizkiezun hartzaileak, beste herrialde batzuetakoak barne.
- Aurreikusitako kontserbazio-epea edo hura zehazteko irizpideak.
- Gainerako eskubideen existentzia (zuzenketa, ezabatzea, aurkaratzea, mugatzea) eta kontrol-agintaritzaren aurrean erreklamatzeko eskubidearena.
- Datuak interesatuarengandik zuzenean lortu ez direnean, haien jatorria.
- Erabaki automatizatuen existentzia, hala badagokio, profilak egitea barne.
Sarbide-eskubidearen mugak
Lehen kopia doakoa da. Enpresak kanon arrazoizko bat kobra dezake kopia gehigarriengatik, kudeaketa-kostuetan oinarrituta. Muga garrantzitsu bat ere badago: kopia lortzeko eskubideak ezin die kalte egin hirugarrenen eskubide eta askatasunei (RGPD 15.4 art.). Dokumentu batek beste pertsona batzuen datuak baditu, datu horiek babesteko moduan ematen da —adibidez, hirugarrenen informazioa anonimizatuz edo bereiziz— sarbidea erabat ukatu beharrean.
Zuzenketa-eskubidea (RGPD 16. art.)
Zuzenketa-eskubideak interesatuari ahalbidetzen dio berari buruz dituzun datu okerrak zuzentzea eta osatugabe daudenak osatzea, adierazpen osagarri baten bidez ere. Ziurrenik, erantzuteko errazena den eskubidea da eta baita maizenetakoa ere: helbide-aldaketa bat, jada zuzena ez den telefono bat, gaizki idatzitako izen bat.
Enpresaren aldetik, ondo egindako zuzenketa bati erantzuteak bi gauza dakartza. Lehena, datua agertzen den sistema guztietan eguneratzea, ez soilik CRM nagusian: datu okerra kalkulu-orri batean, fakturazio-tresnan edo posta-plataforman errepikatu bada, zuzenketak guztiengana iritsi behar du. Bigarrena, datu horiek hirugarrenei jakinarazi zaizkienean, hartzaile horiei zuzenketaren berri ematea, ezinezkoa den edo ahalegin neurrigabea eskatzen duen kasuetan izan ezik.
Ez da komeni «zuzentzea» «bezeroak nahiago duena»rekin nahastea. Zuzenketa objektiboki oker dauden datuei buruzkoa da. Barne-balorazio bat, gorabeheren historial bat edo interesatuari besterik gabe gustatzen ez zaion datu zuzen bat ez dira «zuzentzen»: kasu horietarako, bidea aurkaratzea edo ezabatzea izan daiteke, bere baldintza propioekin.
Ezabatze-eskubidea edo «ahazteko eskubidea» (RGPD 17. art.)
Ezabatze-eskubideak —herri-hizkeran «ahazteko eskubidea» deitua— interesatuari ahalbidetzen dio bere datu pertsonalak ezabatzeko eskatzea. Gaizki-ulertu gehien sortzen dituen eskubidea da, bi noranzkoetan: enpresa ez dago behartuta eskatzen zaion guztia ezabatzera, ezta blokean uko egiteko ere.
Noiz da bidezkoa ezabatzea
RGPDren 17. art.ak ezabatzea bidezkoa den kasuak zerrendatzen ditu. Enpresa baten egunerokoan ohikoenak hauek dira:
- Datuak jada ez dira beharrezkoak jaso ziren helburuetarako.
- Interesatuak baimena kentzen du tratamendua oinarritzen zen baimena eta ez dago hura babesten duen beste oinarri juridikorik.
- Interesatuak tratamenduari aurka egiten dio eta ez da nagusitzen hura jarraitzeko arrazoi legitimorik.
- Datuak modu ilegalean tratatu dira.
- Lege-betebehar bat betetzeko ezabatu behar dira.
Noiz EZ den bidezkoa: ahazteko eskubidearen mugak
Hemen dago enpresa batentzako gakoa. 17.3 art.ak ezartzen du ezabatzea ez dela bidezkoa tratamendua beharrezkoa denean, besteak beste, lege-betebehar bat betetzeko, erreklamazioak formulatzeko, egikaritzeko edo haien aurka defendatzeko, edo interes publikoko arrazoiengatik. Kasurik ohikoena derrigorrezko kontserbazioarena da: enpresa batek ezin ditu ezabatu hura eskatzen duen bezero baten fakturak, merkataritza- eta zerga-araudiak epe jakin batzuetan haiek kontserbatzera behartzen baitu.
Erantzun zuzena, beraz, ia inoiz ez da «dena ezabatzen dut» ez «ezer ez dut ezabatzen». Datuz datu aztertzea da: oinarri juridikorik ez duena ezabatzen da eta legez kontserbatu behar dena blokeatzen da —epaile, auzitegi edo administrazioen eskura soilik mantenduz lege-epean zehar— gero modu seguruan suntsitzeko.
«Ahazteko eskubideak» oso alderdi ezaguna du interneteko bilatzaileen aurrean ere: pertsona baten izenari lotutako emaitza jakin batzuk bilaketetan agertzeari uzteko eskatzeko aukera. LOPDGDDk ere berariaz jasotzen du ahazteko eskubidea interneteko bilaketetan eta sare sozialetako zerbitzuetan. Zure datu-basearen aurrean ezabatzeaz bestelako esparrua da, baina RGPDren 17. art.aren oinarri bera partekatzen du.
"Akatsik ohikoena ez da ezabatzeari uko egitea, kolpetik ezabatzea baizik. Pentsatu gabe ezabatzen duen enpresa bat bi urte geroago erreklamazio batetik defendatzeko behar zuen faktura gabe gera daiteke. Ondo egindako ahazteak bereizten du jada gorde behar ez dena legeak kontserbatzera behartzen duenetik."
Mario P. Talamillo · Zuzendari bazkidea, Certix®
Aurkaratze-eskubidea (RGPD 21. art.)
Aurkaratze-eskubideak interesatuari ahalbidetzen dio bere datuak tratatzeari uzteko eskatzea helburu jakin baterako. Ez du zuzendu ez ezabatu nahi: erabilera bat geldiaraztea bilatzen du. Bere irismena aurka egiten dion tratamendua zein oinarri juridikotan oinarritzen den araberakoa da neurri handi batean.
Aurkaratzea arrazoi pertsonalengatik
Tratamendua enpresaren interes legitimoan edo interes publikoko eginkizun batean oinarritzen denean, interesatuak aurka egin dezake bere egoera partikularrarekin lotutako arrazoiak alegatuz. Enpresak datu horiek tratatzeari uzten dio, interesatuaren interesen gainetik nagusitzen diren arrazoi legitimo premiazkoak egiaztatzen dituen kasuan izan ezik, edo tratamendua erreklamazioak formulatzeko edo haien aurka defendatzeko beharrezkoa denean. Hau da, ez da automatikoa: haztatu egin behar da.
Zuzeneko marketinaren aurkako aurkaratzea: baldintzarik gabe
Publizitatearen eta zuzeneko marketinaren aurrean, aurkaratzea baldintzarik gabekoa da. Pertsona batek merkataritza-komunikazioak jasotzeari uzteko eskatzen badu, zure enpresak ezer justifikatu beharrik gabe utzi behar dio (RGPD 21.2 eta 21.3 art.). Ezin da arrazoirik eskatu, ez «alternatibarik» eskaini, ez uztea atzeratu. Praktikan, hori benetan funtzionatzen duten baja-loturetan, kontaktuaren baja eraginkorrean bidalketa-tresna guztietan eta data jasota uztean —berriz ez errepikatzeko— gauzatzen da.
Mugatzea (18. art.) eta eramangarritasuna (20. art.)
Aurreko lau eskubideekin batera, RGPDk beste bi aitortzen ditu, eskaeretan sarritan agertzen direlako jakitea komeni direnak.
Mugatze-eskubidea (RGPD 18. art.)
Mugatzea «pausa» moduko bat da. Interesatuak ez du ezabatzea ez zuzentzea eskatzen: bere datuak markatzea eta aldi baterako tratatzeari uztea eskatzen du, kontserbatuz baina erabili gabe, egoera bat ebazten den bitartean. Bidezkoa da, beste kasu batzuen artean, interesatuak datu baten zehaztasuna aurkaratu duenean (enpresak hura egiaztatzeko behar duen denboran) edo tratamendu bati aurka egin dionean eta enpresaren arrazoiak nagusitzen diren egiaztatzeke dagoenean. Mugatzean zehar, datuak interesatuaren baimenarekin edo erreklamazioetarako soilik trata daitezke.
Eramangarritasun-eskubidea (RGPD 20. art.)
Eramangarritasunak interesatuari ahalbidetzen dio berak emandako datuak jasotzea formatu egituratu, erabilera arrunteko eta irakurketa mekanikokoan (adibidez, CSV edo JSON), eta beste arduradun bati transmititzea. Hiru baldintza pilagarri ditu: interesatuak berak ekarritako datuei bakarrik dagokie, tratamendua baimenean edo kontratu batean oinarritzen denean bakarrik, eta bitarteko automatizatuen bidez egiten denean bakarrik. Kanpoan geratzen dira ondorioztatutako datuak edo enpresak egindako balorazioak.
Eskubideen laburpen-taula
| Eskubidea | Artikulua | Zer ahalbidetzen du | Muga nagusia |
|---|---|---|---|
| Sarbidea | 15. art. | Bere datuen kopia eta haien erabilerari buruzko informazioa lortzea. | Hirugarrenen eskubideei ez kalte egitea. |
| Zuzenketa | 16. art. | Datu okerrak zuzentzea eta osatugabeak osatzea. | Objektiboki oker dauden datuak bakarrik. |
| Ezabatzea (ahaztea) | 17. art. | Datuak ezabatzea haiek tratatzeko oinarririk ez dagoenean. | Kontserbatzeko lege-betebeharra; erreklamazioak. |
| Mugatzea | 18. art. | Tratamendua ezabatu gabe eta aldi baterako geldiaraztea. | Arauan tasatutako kasuak. |
| Eramangarritasuna | 20. art. | Bere datuak formatu berrerabilgarrian jaso eta transmititzea. | Berak ekarritako datuak bakarrik; baimen- edo kontratu-oinarria. |
| Aurkaratzea | 21. art. | Tratamendu jakin bat geldiaraztea; marketina baldintzarik gabe. | Arrazoi legitimo premiazkoak (marketina izan ezik). |
Nola erantzuten du enpresa batek: checklist-a
Eskubide-eskaera bat jasotzeak ez luke inprobisaziorik sortu behar. Prozesua beti bera da, erabiltzen den eskubidea edozein dela ere. Erantzun-epe orokorra hilabetekoa da jasotzen denetik (RGPD 12.3 art.), kasu konplexuetan bi hilabetez luzagarria, beti lehen hilabetearen barruan abisatuz.
- Sarrera-data erregistratzea. Hilabeteko epea eskaera jasotzen duzunetik hasten da, posta, formulario, gutun edo edozein kanaletatik iristen dela ere. Utzi eguna jasota.
- Identitatea modu proportzionalean egiaztatzea. Zalantza arrazoizkoak badituzu, informazio osagarria eska dezakezu eskatzailea titularra dela baieztatzeko (RGPD 12.6 art.), oztopo neurrigabe bihurtu gabe.
- Zein eskubide erabiltzen den identifikatzea. Batzuetan interesatuak ez du zuzen izendatzen; interpretatu eskaera bere edukiaren arabera, erabiltzen duen etiketaren arabera baino.
- Datu guztiak lokalizatzea. Bilatu sistema guztietan, ez soilik nagusian. Hemen Tratamendu Jardueren Erregistroa da datuak non dauden eta nork dituen esaten dizun tresna.
- Erantzun zuzena aplikatzea. Ematea, zuzentzea, ezabatzea, blokeatzea, mugatzea edo uztea eskubidearen arabera, mugak eta kontserbazioaren lege-betebeharrak aztertuz.
- Hirugarrenei jakinaraztea. Datuak arduradun edo hartzaileei laga bazaizkie, jakinarazi haiei zuzenketa edo ezabatzea, hala badagokio.
- Idatziz eta doan erantzutea. Azaldu zer egin den. Eskaera betetzen ez baduzu, jakinarazi arrazoiak eta kontrol-agintaritzaren aurrean erreklamatzeko eskubidea.
Nola laguntzen dizu Certix-ek
Interesatuen eskubideekin dauden arazo gehienak ez datoz fede txarretik, prozedura falta batetik baizik. Bere datuak non dauden ez dakien enpresa batek ezin dio sarbide bati ondo erantzun, eta erreflexuz ezabatzen duen batek bere kontserbazio-betebeharrak urra ditzake. Dena tratamenduen mapa ordenatua izatetik hasten da, Tratamendu Jardueren Erregistroarekin lantzen dena.
Certix-en zure erakundearen neurrira diseinatzen dugu eskubideak arreta emateko prozedura: harrera-kanalak, erantzun-txantiloiak, identitatearen egiaztapena eta, datuz datu, zer ezabatzen den eta zer kontserbatzen den erabakitzeko irizpideak. Eta araudiaren multzoan kokatzen dugu, gure RGPDren gida osoan berrikus dezakezuna.
Ohiko galderak
Zenbat denbora du enpresa batek sarbide- edo zuzenketa-eskubide bati erantzuteko?
Epe orokorra hilabetekoa da eskaera jasotzen denetik (RGPD 12.3 art.). Bi hilabete gehiagoz luza daiteke eskaera bereziki konplexua denean edo eskaera asko pilatzen direnean, baina luzapena interesatuari lehen hilabetearen barruan jakinarazi behar zaio, arrazoiak azalduz. Erantzuna, oro har, doakoa da; kobratzea edo ukatzea eskaera nabarmen oinarrigabea edo gehiegizkoa denean bakarrik da bidezkoa, eta hori frogatzeko karga enpresarena da.
Enpresak uka al dezake datuak ezabatzea bezeroak eskatzen badu?
Zenbait kasutan bai. RGPDren 17. art.aren ezabatze-eskubidea ez da absolutua: ez da bidezkoa enpresak datuak kontserbatu behar dituenean lege-betebehar bat betetzeko (adibidez, fakturen kontserbazio fiskala edo kontablea), erreklamazioak formulatzeko edo haien aurka defendatzeko, edo beste oinarri juridiko batek tratamendua babesten duenean. Zuzena ez da hutsean ezabatzea, ezta blokean uko egitea ere, baizik eta datuz datu aztertzea: oinarririk gabe dagoena ezabatu eta legez kontserbatu behar dena blokeatu, lege-epean zehar, suntsitu aurretik.
Zertan bereizten dira aurkaratze-eskubidea eta ezabatze-eskubidea?
Aurkaratze-eskubideak (RGPD 21. art.) datuak helburu jakin baterako tratatzeari uzteko eskatzeko aukera ematen du, batez ere tratamendua interes legitimoan edo interes publikoko eginkizun batean oinarritzen denean. Ezabatzeak (17. art.) harago jotzen du: datuak ezabatu nahi ditu. Praktikan, onartutako aurkaratze batek datu horiek helburu horretarako ezabatzea edo blokeatzea ekartzen du sarritan. Zuzeneko marketinaren aurrean, aurkaratzea baldintzarik gabekoa da: eskatzea nahikoa da enpresak publizitatea bidaltzeari utzi behar diola.
Nola egiaztatzen da bere datuak eskatzen dituena benetan titularra dela?
RGPDren 12.6 art.ak ahalbidetzen du eskatzailearen identitatea baieztatzeko beharrezkoa den informazio osagarria eskatzea zalantza arrazoizkoak daudenean. Horrek ez du esan nahi NANaren fotokopia automatikoki eskatzea: egiaztapena proportzionala izan behar da. Askotan nahikoa da sisteman jada dauden datuak alderatzea edo eskaera interesatuak jada lotua zuen posta edo kanaletik baieztatzea. Gehiegizko dokumentazioa eskatzea eskubidea erabiltzeko justifikaziorik gabeko oztopo bihur daiteke.
Laburbilduz
Sarbidea, zuzenketa, ezabatzea eta aurkaratzea ez dira gauza beraren lau bertsio: bakoitzak behar desberdin bati erantzuten dio eta modu desberdinean ematen zaio arreta. Partekatzen dutena erantzun-esparrua da —hilabeteko epea, doakotasuna, identitatearen egiaztapen proportzionala— eta bat ere ez dela erreflexuz ondo ebazten. Ezabatzea ez da «dena ezabatzea», aurkaratzea ez da beti automatikoa eta zuzenketak ez du gogaikarri egiten den edozein datu estaltzen. Prozedura argi bat izateak gatazkatsua izan zitekeen eskaera bat izapide ordenatu bihurtzen du.
Lotutako irakurgaiak
- Interesatuen eskubideak enpresaren aurrean — eskubide guztien ikuspegi orokorra eta nola txertatzen diren.
- RGPDren gida osoa — eskubide hauek txertatzen diren araudi-esparrua.
- Tratamendu Jardueren Erregistroa (TJE) — erantzuteko datuak lokalizatzeko aukera ematen duen mapa.
Eduki hau orientagarria eta dibulgatiboa baino ez da; ez du inola ere aholkularitza juridiko espezializatua osatzen. Araudia kasu konkretu bakoitzari aplikatzeak banakako azterketa eskatzen du.
Gaur erantzungo al zenioke sarbide- edo ezabatze-eskaera bati?
Certix-en zure enpresaren eskubideak arreta emateko prozedura diseinatzen dugu zure jardueraren benetako analisi batetik abiatuta, txantiloi generikorik gabe.
Aholkulari batekin hitz egin