El dret a la limitació del tractament, regulat en l’article 18 del Reglament general de protecció de dades (RGPD) és un dret nou que augmenta les possibilitats de control sobre les pròpies dades i permet evitar i reduir danys derivats d’un ús incorrecte de les dades, ja que permet "aturar" temporalment l'ús de les dades personals en determinats casos, concretament quan:
- La persona interessada impugna l'exactitud de les dades personals en un termini que permet al responsable de verificar-ne l'exactitud.
- El tractament és il·lícit. La persona interessada s'oposa a la supressió de les dades personals i, en lloc de suprimir-les, sol·licita que se’n limiti l’ús.
- El responsable ja no necessita les dades personals per a les finalitats del tractament, però la persona interessada les necessita per formular, exercir o defensar reclamacions.
- La persona interessada s'ha oposat al tractament, i aquest es limita mentre es verifica si els motius legítims del responsable prevalen sobre els de la persona interessada.
Cal tenir present que és un dret subjectiu independent de la resta de drets regulats al RGPD, fet que comporta que, per exemple, si s’exerceix el dret de rectificació perquè es considera que les dades són inexactes i es vol que es limiti el tractament, cal demanar-ho expressament.
Un cop limitat el tractament, les dades només es poden tractar (per a finalitats diferents a les inicials) en els supòsits següents (és a dir, amb una nova base jurídica):
- Amb el consentiment de la persona interessada.
- Per formular, exercir o defensar reclamacions.
- Per protegir els drets d'una altra persona física o jurídica.
- Per raons d'interès públic important de la Unió Europea o d'un determinat estat membre.
L’article 4.3 del RGPD defineix la limitació del tractament com el marcatge de les dades de caràcter personal conservades amb la finalitat de limitar-ne el tractament en el futur; per tant, durant el període de temps en què es valora el supòsit de fet concret.
Entre els mètodes per limitar el tractament de dades personals, el considerant 67 inclou els que consisteixen a traslladar temporalment les dades seleccionades a un altre sistema de tractament, a impedir l'accés d'usuaris a les dades personals seleccionades o a retirar temporalment les dades publicades d'un lloc d’internet.
En el cas dels fitxers automatitzats, la limitació s’ha de fer per mitjans tècnics, de manera que les dades personals no siguin objecte d’operacions de tractament posterior ni es puguin modificar. El fet que el tractament de dades personals estigui limitat cal que quedi clarament indicat en el sistema.
En definitiva, el responsable del tractament ha d’establir les mesures i les garanties necessàries per impedir el tractament de les dades personals al llarg del període que duri la limitació, que com deia pot variar en funció de cada cas.
No hem de confondre aquest dret subjectiu amb el deure de bloqueig, regulat en l'article 32 de la LOPDGDD, que obliga el responsable del tractament a bloquejar les dades quan es faci una rectificació o supressió. Les dades bloquejades només es poden tractar per posar-les a disposició dels jutges i tribunals, el Ministeri Fiscal o les administracions públiques competents, per a l’exigència de possibles responsabilitats derivades del tractament i només pel termini de prescripció d’aquestes, moment en què s'han de destruir.
Altrament, atès que les dades personals objecte de limitació poden haver estat comunicades a tercers, el RGPD ha establert l’obligació del responsable del tractament de comunicar a cadascun dels destinataris de les dades personals qualsevol limitació del tractament que es faci, tret que sigui impossible o exigeixi un esforç desproporcionat.
En aquest sentit, una gobernança diligent dels tractaments realitzats permetrà al responsable del tractament tenir identificats els diferents destinataris de les dades, les bases que legitimen la cessió de dades i els mecanismes establerts per comunicar-s'hi. Així, també poden tenir predeterminat els supòsits exceptuats, fet que facilitarà una resposta àgil i en termini, especialment si la persona interessada ha sol·licitat ser informada sobre els destinataris.
Igual que en la resta de drets d’autodeterminació informativa, el responsable del tractament disposa d'un mes, prorrogable a dos, per donar resposta a la sol·licitud. Però cal tenir en compte que, si s’exerceix el dret a la limitació del tractament juntament amb els drets de rectificació, supressió o oposició, el termini per informar de la limitació és més curt. I recordem que el responsable del tractament ha d’informar la persona interessada abans que s’aixequi la limitació.
Finalment, i com a reflexió final al voltant de la necessitat que el dret a la limitació del tractament s'exerceixi de manera expressa, se'm planteja si el principi de responsabilitat proactiva (que demana al responsable del tractament complir la normativa de protecció de dades de la manera més adequada atenent a les circumstàncies del tractament de dades realitzat) no exigiria al responsable del tractament que, en el moment en què un tractament és “sospitós” d’estar incomplint algun principi o obligació de protecció de dades (manca d'exactitud, legitimació, etc.), apliqués totes les mesures necessàries per evitar o minimitzar qualsevol vulneració dels drets de les persones, i la de limitar el tractament sembla que sigui una d’aquestes actuacions proactives i diligents.
