Fundamentos

Derechos sobre datos personales: qué protegen y cómo ejercerlos

Por Daniel Sardá · Publicado el 22 de octubre de 2026 a las 21:17 UTC

7 min de lectura1.464 palabras

Una guía para entender cómo acceder, corregir, suprimir o cuestionar el uso de datos personales sin confundir estos derechos con un control absoluto.

Una tienda en línea te atribuye intereses que no tienes. Un hospital conserva un dato clínico equivocado. Un sistema rechaza tu solicitud de crédito sin que nadie pueda explicarte por qué. En cada caso, la cuestión práctica es la misma: ¿qué puedes saber, corregir o cuestionar cuando una organización usa información sobre ti?

Los derechos sobre datos personales ofrecen respuestas a esa pregunta. Su función es reducir la desigualdad de información entre las personas y quienes recopilan, combinan o analizan sus datos. No otorgan control absoluto ni forman un catálogo idéntico en todos los países, pero suelen abrir espacios de transparencia, corrección e impugnación.

El vocabulario mínimo para entender estos derechos

Un dato personal es, en términos comparados, información relativa a una persona identificada o identificable. Puede ser tan directo como un nombre o tan indirecto como un identificador digital que, unido a otros elementos, permite reconocer a alguien.

El tratamiento abarca las operaciones realizadas con esos datos: recopilarlos, ordenarlos, consultarlos, compartirlos, conservarlos o eliminarlos. La persona a quien se refieren suele denominarse titular o interesada. El responsable es la organización que decide para qué y cómo se tratarán.

Este lenguaje ayuda a orientarse, pero las definiciones jurídicas exactas dependen de la norma aplicable. El Reglamento General de Protección de Datos de la Unión Europea, por ejemplo, ofrece definiciones y derechos influyentes, aunque no constituye una ley mundial.

También conviene separar conceptos próximos. La privacidad protege una esfera personal amplia: comunicaciones, hogar, decisiones íntimas y vida familiar, entre otros ámbitos. La protección de datos personales, en cambio, se ocupa del ciclo de uso de información sobre una persona, incluso cuando esa información no es secreta. Una compra ordinaria puede no ser íntima y, sin embargo, su uso para elaborar un perfil comercial plantea preguntas sobre finalidad, exactitud y transparencia.

Idea clave: Tener un derecho en sentido conceptual no garantiza la misma acción, autoridad, plazo o remedio en todos los países. El alcance exigible depende de la jurisdicción.

Qué derechos suelen reconocerse

Marcos como el RGPD, el Convenio 108+ del Consejo de Europa y las directrices de privacidad de la OCDE no son intercambiables, pero permiten identificar un núcleo común. En distintos sistemas, los derechos suelen cumplir estas funciones:

• Información y acceso. Permiten saber si una organización trata datos personales, con qué finalidad y, según el caso, obtener una copia inteligible. También pueden ayudar a conocer el origen, los destinatarios o el tiempo previsto de conservación.
• Rectificación. Sirve para corregir datos inexactos o completar información relevante. Si un perfil comercial contiene una deuda inexistente, no basta con saber que el registro existe: debe haber una vía para disputar el error.
• Supresión. Permite pedir que ciertos datos sean eliminados cuando se cumplen las condiciones legales. No equivale a un botón universal para borrar cualquier información.
• Limitación u oposición. Puede detener temporalmente un uso mientras se verifica su exactitud, o permitir que una persona objete tratamientos basados en determinados fundamentos. Oponerse no es lo mismo que retirar un consentimiento previamente otorgado.
• Portabilidad. En algunos marcos, facilita recibir ciertos datos en un formato utilizable o trasladarlos a otro proveedor. Suele depender del origen de los datos, la base del tratamiento y su carácter automatizado; no necesariamente cubre todas las inferencias creadas por una empresa.
• Revisión de decisiones automatizadas. Algunas normas ofrecen garantías frente a decisiones exclusivamente automatizadas que producen efectos jurídicos o impactos comparables. El umbral varía: no toda recomendación de software activa el mismo derecho.

La síntesis del Comité Europeo de Protección de Datos muestra cómo estas facultades pueden organizarse en un sistema jurídico concreto. Pero nombres como «ARCO», «hábeas data» o «derechos del RGPD» no describen un conjunto universal con idéntico alcance.

Consentimiento: importante, pero no suficiente

Es común pensar que una organización solo puede tratar datos si la persona aceptó. Esa regla resulta demasiado simple. Según la jurisdicción, el consentimiento puede ser una base jurídica, pero también pueden existir otras, como el cumplimiento de un contrato, una obligación legal o una función de interés público.

Esto no significa que cualquier uso sea legítimo. Incluso cuando existe una base válida, siguen siendo relevantes la finalidad declarada, la proporcionalidad, la seguridad, la transparencia y los derechos de la persona. Del mismo modo, marcar una casilla no legitima usos ilimitados: un consentimiento debe reunir las condiciones que establezca la ley aplicable.

Idea clave: El consentimiento no convierte el tratamiento en legítimo por sí solo, y su ausencia tampoco vuelve ilícito todo tratamiento. Hay que examinar la base, la finalidad y las garantías aplicables.

Datos sensibles y decisiones automatizadas

Ciertos datos pueden causar daños especialmente graves si se usan mal. La información de salud, las creencias, las opiniones políticas y determinados datos biométricos suelen recibir protección reforzada. Las categorías exactas cambian entre jurisdicciones, pero el principio es reconocible: cuanto mayor sea el riesgo de discriminación, exclusión o vigilancia, más exigentes deben ser las cautelas.

Pensemos en un registro de salud. El acceso puede permitir al paciente detectar un diagnóstico atribuido por error, mientras que la rectificación ofrece una vía para corregirlo. Sin embargo, el expediente no siempre podrá borrarse a voluntad: puede haber deberes legítimos de conservación, continuidad clínica o protección de terceros.

Algo parecido ocurre con el perfilado. Una organización puede combinar datos observados con inferencias sobre datos personales para predecir riesgo, preferencias o conducta. Si de ese análisis resulta una decisión crediticia adoptada exclusivamente por medios automatizados y con efectos relevantes, pueden entrar en juego garantías de información, impugnación o revisión. Pero es necesario comprobar qué protege la legislación concreta y bajo qué condiciones.

Por qué estos derechos tienen límites

Los derechos sobre datos personales conviven con otros bienes y libertades. La supresión, por ejemplo, puede ceder ante una obligación de conservar registros, la defensa de un derecho, la investigación legítima o el interés público. También debe ponderarse frente a la libertad de expresión, el trabajo periodístico y el acceso a información relevante.

Por eso suprimir no es lo mismo que anonimizar. Suprimir elimina datos; anonimizar busca que ya no sea razonablemente posible identificar a una persona. Sustituir el nombre por un código —seudonimizar— reduce ciertos riesgos, pero no vuelve anónima la información si todavía puede vincularse con la persona mediante datos adicionales.

En un orden compatible con la libertad individual, las excepciones no deberían ser vagas ni ilimitadas. Las restricciones necesitan reglas generales, una finalidad legítima, proporcionalidad y posibilidades de revisión. La protección de datos no debe convertirse en una excusa para borrar hechos de interés público; tampoco la seguridad o la innovación deben servir como fórmulas automáticas para negar transparencia.

Idea clave: La pregunta correcta no es quién obtiene poder absoluto sobre la información, sino qué reglas limitan su uso y qué remedios existen frente al error o el abuso.

Cómo ejercer un derecho: una ruta general

El procedimiento concreto depende del país, pero una secuencia prudente suele ayudar:

1. Identifica al responsable. Revisa el aviso de privacidad, el contrato o el canal de atención para saber qué entidad decide sobre el tratamiento.
2. Define lo que necesitas. Indica si solicitas acceso, corrección, supresión, oposición, limitación, portabilidad o revisión. Describe los datos o la decisión con precisión.
3. Acredita tu identidad de forma proporcional. La organización necesita evitar entregas a terceros, pero no debería pedir más información de la necesaria para verificar quién solicita.
4. Conserva constancias. Guarda la solicitud, la fecha, la respuesta y cualquier número de caso. Esos registros facilitan una revisión posterior.
5. Consulta la vía local. Si no hay respuesta satisfactoria, verifica la ley aplicable y los canales de la autoridad, defensoría o tribunal competente de tu jurisdicción.

Antes de pedir la eliminación, conviene pensar en el resultado buscado. Si el problema es un dato incorrecto, la rectificación puede ser más útil. Si existe una obligación de retención de datos, quizá proceda restringir ciertos usos en lugar de borrar el registro. Y si el conflicto nace de una decisión automatizada, la prioridad puede ser obtener una explicación y una revisión humana.

Autonomía sin promesas absolutas

Una sociedad libre no puede depender de la buena voluntad de quienes concentran información. Empresas y autoridades necesitan datos para prestar servicios, cumplir obligaciones y tomar decisiones, pero ese poder debe ir acompañado de transparencia, límites y procedimientos revisables.

Los derechos sobre datos personales cumplen precisamente esa función institucional: permiten saber, corregir y cuestionar. Su valor no reside en prometer dominio total sobre cada dato, sino en reducir la arbitrariedad mediante reglas y recursos accesibles. Para convertir ese principio en una reclamación concreta, siempre será necesario verificar la legislación del país, el tipo de organización y la finalidad del tratamiento.