Portabilidad de datos en el RGPD: alcance, formatos y límites

La portabilidad de datos es el derecho reconocido por el artículo 20 del Reglamento General de Protección de Datos (RGPD) a recibir ciertos datos personales y, si se desea, transmitirlos a otro responsable del tratamiento. La entrega debe hacerse en un formato estructurado, de uso común y legible por máquina. El derecho también permite solicitar la transmisión directa entre responsables cuando resulte técnicamente posible.

Su finalidad práctica es que una persona pueda guardar y reutilizar información sobre sí misma sin quedar atada al formato elegido por un servicio. Puede facilitar el cambio de proveedor o el uso de los datos en otra herramienta, pero no garantiza una importación automática ni que el servicio receptor ofrezca las mismas funciones. El artículo 20 se ocupa de datos personales, no de trasladar toda una cuenta o replicar un producto.

Conviene distinguir tres usos de la palabra portabilidad. La portabilidad del RGPD es un derecho de protección de datos; la portabilidad numérica permite conservar un número de teléfono al cambiar de operador; y una migración técnica mueve bases de datos, aplicaciones o archivos entre sistemas. Se parecen en que implican transferir algo, pero tienen objetivos y reglas diferentes.

El derecho se aplica cuando el tratamiento se realiza por medios automatizados y se basa en el consentimiento de la persona o en un contrato con ella. Además, los datos deben concernir a quien solicita la portabilidad y haber sido facilitados al responsable. No se aplica, por ejemplo, al tratamiento necesario para una misión de interés público o para el ejercicio de poderes públicos.

El alcance de «facilitados» no se limita a lo que se escribió en un formulario. Las directrices sobre portabilidad incluyen tanto los datos comunicados de forma consciente —como el nombre o una lista creada por el usuario— como determinados datos observados al utilizar un servicio. Entre estos últimos pueden estar registros de actividad, historiales de uso, datos de tráfico o de localización, según el tratamiento y las circunstancias.

En cambio, quedan fuera del derecho de portabilidad los datos inferidos o deducidos por el responsable a partir de otros datos mediante sus propios análisis, como una evaluación o una predicción creada por el servicio. La frontera depende de cómo se generó cada dato: que una información describa a una persona no basta por sí solo para que sea portable bajo el artículo 20. El derecho de acceso es distinto y tiene otro alcance.

Los datos de otras personas también requieren cuidado. Si un conjunto incluye información que identifica o afecta a terceros —por ejemplo, una conversación compartida—, su entrega no debe perjudicar sus derechos y libertades. La portabilidad no autoriza a divulgar sin límites información ajena: el responsable debe considerar las circunstancias y proteger los datos de las demás personas.

El RGPD exige un formato estructurado, de uso común y legible por máquina. En términos prácticos, la información debe conservar una organización que permita procesarla mediante software, no quedar reducida a una imagen o a un documento difícil de reutilizar. Las directrices mencionan como buenas prácticas el desarrollo de formatos interoperables y herramientas que ayuden a descargar o transmitir los datos.

JSON, CSV y XML son ejemplos habituales de formatos estructurados que pueden resultar legibles por máquina, pero el RGPD no prescribe uno de ellos para todos los casos. La elección depende de los datos y de cómo estén organizados. Un archivo CSV puede servir para filas y columnas sencillas; JSON o XML pueden representar estructuras anidadas con más detalle. Que un archivo tenga una extensión conocida no garantiza por sí solo que esté completo, sea comprensible o pueda importarse sin ajustes.

La portabilidad tampoco exige que el responsable y el servicio receptor utilicen sistemas compatibles. El considerando 68 del RGPD anima a promover formatos interoperables, pero aclara que el derecho no obliga a crear o mantener una compatibilidad técnica universal. Por eso, recibir un archivo portable no equivale a completar la migración: quizá haya que adaptar campos, resolver duplicados o comprobar qué datos admite el nuevo servicio.

Estas características describen el formato, no determinan por sí solas qué datos deben incluirse. Primero se evalúa si cada dato entra en el ámbito del artículo 20; después, cómo entregarlo de modo que pueda recibirse y reutilizarse.

La solicitud se presenta ante la empresa u organismo que trata los datos, no ante la Agencia Española de Protección de Datos (AEPD) para que esta los recopile. La AEPD ofrece un formulario orientativo para dirigirse al responsable. En la petición conviene identificar a la persona, indicar que se ejerce el derecho del artículo 20 y describir los datos o el servicio al que se refiere, además de señalar si se solicita una transmisión directa y a qué responsable.

El responsable puede verificar la identidad cuando tenga dudas razonables, pero la información adicional que pida debe ser proporcional. Si una persona actúa mediante representante, puede ser necesario acreditar esa representación. Resulta útil conservar una copia de la solicitud y constancia de su envío; si la respuesta no llega o no resuelve la petición, esos elementos ayudan a documentar lo ocurrido.

El plazo general para responder a una solicitud de derechos del RGPD es de un mes desde su recepción. Puede ampliarse hasta dos meses más cuando sea necesario por la complejidad o el número de solicitudes, pero el responsable debe informar de la prórroga y explicar sus motivos dentro del primer mes. Ese plazo es para responder; no significa que cualquier transferencia entre servicios tenga que completarse en un mes.

Una secuencia sencilla para preparar la petición es: identificar al responsable, delimitar los datos o el periodo que interesan, pedir una copia portable o una transmisión directa, y especificar el destinatario si se elige esta última opción. Si la transmisión directa no es técnicamente posible, el derecho sigue contemplando que la persona reciba sus datos para gestionarlos por su cuenta.

La transmisión directa entre responsables se reconoce únicamente cuando es técnicamente posible. El artículo 20 no obliga a que dos organizaciones mantengan una conexión entre sus sistemas ni a que el receptor admita cualquier estructura de datos. La interoperabilidad facilita el traslado, pero depende del diseño de los servicios y de los formatos utilizados.

El derecho tampoco anula otras obligaciones del responsable ni el derecho de supresión. El RGPD establece que ejercer la portabilidad no perjudica el derecho a solicitar la eliminación de datos; a la vez, pedir una copia portable no elimina automáticamente los datos que el responsable debe conservar por otras razones legales o contractuales. Son derechos distintos y pueden requerir solicitudes separadas.

La portabilidad no debe afectar negativamente a los derechos y libertades de otras personas. Esto puede exigir proteger o excluir partes de un conjunto compartido, sin convertir la solicitud en una autorización para revelar datos de terceros. Además, una solicitud sobre datos personales no da derecho a obtener cualquier documento interno, secreto comercial, análisis o código utilizado por el servicio.

Las limitaciones prácticas aparecen también en la interpretación del alcance: el usuario puede recibir datos introducidos y ciertos datos observados, pero no necesariamente perfiles, puntuaciones o conclusiones generadas por el proveedor. Por ello, al cambiar de servicio conviene revisar qué categorías concretas se incluyen y qué elementos no se trasladan, en vez de asumir que se exporta el historial completo de la cuenta.

En un servicio de música, una lista de reproducción creada por el usuario es un ejemplo claro de información introducida; los registros de escucha pueden ser datos observados por el servicio y entrar en el análisis de portabilidad según el contexto. Una recomendación o una puntuación generada a partir de esos registros es distinta: puede constituir una inferencia del proveedor, no un dato facilitado en el sentido de este derecho.

En correo electrónico o redes sociales, una exportación podría incluir datos de perfil y determinadas actividades, pero los mensajes y contactos pueden involucrar a otras personas. La presencia de información compartida obliga a tener en cuenta sus derechos. En servicios de salud o banca, el artículo 20 no crea una categoría sectorial automática: hay que comprobar la base jurídica del tratamiento, si se procesa de forma automatizada y cómo se generó cada dato. El derecho tampoco garantiza que la aplicación receptora acepte el archivo sin adaptación.

La portabilidad numérica es otra figura. Por ejemplo, la autoridad de telecomunicaciones de México describe ese derecho como conservar el mismo número al cambiar de operador. No se trata de exportar datos personales conforme al RGPD, ni sus plazos o condiciones deben confundirse con los del artículo 20. Una migración de base de datos, por su parte, es un proyecto técnico y puede comprender datos o sistemas que no son objeto de este derecho individual.

En resumen, la portabilidad de datos personales sirve para obtener y reutilizar una parte definida de la información vinculada a una persona, bajo condiciones legales concretas. Antes de ejercerla, ayuda distinguir qué datos se introdujeron, cuáles se observaron y cuáles fueron inferidos; después, elegir entre recibir el archivo o solicitar su transferencia directa. El resultado es control sobre ciertos datos, no una garantía de cambio de servicio sin fricciones.