El marco legal
La ley Informática y Libertades de 6 de enero de 1978, una de las más antiguas del mundo, fue adaptada al RGPD en 2018; el Reglamento (UE) 2016/679 se aplica directamente, y la ley nacional solo lo adapta en los puntos que el reglamento deja abiertos. Los derechos de acceso, rectificación, supresión, limitación, portabilidad, oposición y rechazo de una decisión íntegramente automatizada se ejercen ante el responsable del tratamiento, con respuesta en un mes (prorrogable otros dos meses para las solicitudes complejas); la CNIL (Commission nationale de l'informatique et des libertés) dispone de un procedimiento de reclamación en línea y publica requerimientos y sanciones regulares, también contra las grandes plataformas (Google 150 millones, Meta 60 millones, TikTok, Criteo, Amazon…), hasta 20 millones de euros o el 4 % del volumen de negocios mundial. La mayoría de edad digital es de 15 años (por debajo, consentimiento de los padres) — frente a 14 en España —; los datos sensibles — salud, vida sexual, orientación sexual, convicciones — son de tratamiento prohibido salvo consentimiento explícito o excepción legal; las cookies exigen que rechazarlas sea tan sencillo como aceptarlas; las violaciones de la seguridad de los datos se notifican en 72 horas. La difusión sin consentimiento de imágenes o palabras de carácter sexual es un delito (artículo 226-2-1 del Código Penal francés, dos años y 60 000 euros), aunque la imagen se hubiera tomado o enviado con consentimiento; PHAROS recibe los avisos y la plataforma debe retirar el contenido. El RGPD se aplica en cuanto un servicio se dirige a personas que residen en Francia, aunque esté establecido fuera de la Unión Europea, y protege a esas personas sea cual sea su nacionalidad; las aplicaciones de citas establecidas en Irlanda responden ante la autoridad irlandesa, con la CNIL como autoridad interesada. El Digital Services Act (Reglamento de Servicios Digitales) y el Data Act (Reglamento de Datos) lo completan desde 2024. La reclamación puede presentarse ante la autoridad del país donde se reside, donde se trabaja o donde se produjo la infracción (artículo 77 del RGPD): un español o un latinoamericano residente en Francia se dirige a la CNIL; un residente en España, a la AEPD, que coopera con ella.
Los puntos clave
| Texto | RGPD, aplicable desde el 25 de mayo de 2018; ley Informática y Libertades de 1978 adaptada — en España, Ley Orgánica 3/2018 |
|---|---|
| Derechos | Acceso, rectificación, supresión, limitación, portabilidad, oposición, rechazo de una decisión íntegramente automatizada |
| Plazo de respuesta | Un mes, prorrogable otros dos meses para las solicitudes complejas; gratuito, salvo solicitudes manifiestamente excesivas |
| Autoridad | CNIL: reclamación en línea gratuita; sanciones de hasta 20 millones de euros o el 4 % del volumen de negocios mundial; entre las más activas de Europa, como la AEPD |
| Menores | Mayoría de edad digital a los 15 años; por debajo, consentimiento de los padres — 14 años en España |
| Datos sensibles | Salud, vida sexual, orientación sexual, convicciones: tratamiento prohibido salvo consentimiento explícito o excepción legal |
| Cookies y rastreadores | Reglas específicas: rechazar debe ser tan sencillo como aceptar |
| Imágenes íntimas | Delito: dos años y 60 000 euros (art. 226-2-1), aunque se hubieran consentido en origen; retirada por la plataforma — en España, artículo 197.7 del Código Penal |
| Violaciones de datos | Notificación a la CNIL en 72 horas, y a las personas en caso de riesgo elevado |
| Españoles y latinoamericanos | Mismos derechos sea cual sea la nacionalidad; reclamación ante la CNIL para quien reside en Francia y ante la AEPD para quien reside en España; fuera de la Unión Europea, la protección depende de la ley de cada país |
En la práctica
- Escriba primero al responsable del tratamiento — al delegado de protección de datos (DPO), cuyos datos de contacto deben figurar en la política de privacidad —, por correo electrónico o postal, invocando el artículo 15 del RGPD, y conserve la prueba del envío y la fecha: el plazo de un mes corre desde la recepción.
- Sin respuesta, con una respuesta incompleta o en caso de negativa, la reclamación en línea ante la CNIL lleva unos minutos; un residente en España puede dirigirse a la AEPD, que coopera con la CNIL.
- Para las aplicaciones de citas y de salud, pida expresamente la lista de los destinatarios y de las transferencias fuera de la Unión Europea.
- Ante una imagen íntima difundida: denuncia en la comisaría o en la gendarmería, aviso a PHAROS y solicitud de retirada a la plataforma, que debe actuar; en caso de chantaje, no pague y denuncie por extorsión. Si la imagen circula también en España, el Canal Prioritario de la AEPD permite pedir su retirada urgente.
- El RGPD le protege sea cual sea su nacionalidad: un español o un latinoamericano que vive en Francia ejerce estos derechos ante cualquier organismo, público o privado, y ante la CNIL. Para los datos que conservan las empresas o las administraciones de su país de origen, fuera de la Unión Europea, infórmese sobre la ley de protección de datos de ese país.
- Un daño moral puede ser indemnizado por el juez civil; cabe una acción colectiva a través de asociaciones habilitadas (UFC-Que Choisir, La Quadrature du Net).
Coste y cobertura
La reclamación ante la CNIL es gratuita, como el ejercicio de los derechos, salvo solicitudes manifiestamente excesivas; en paralelo cabe una acción de reparación ante el juez civil, con asistencia jurídica gratuita (aide juridictionnelle) según los ingresos. En España, la reclamación ante la AEPD también es gratuita.
Cambios recientes
El Digital Services Act y el Data Act, aplicables desde 2024, completan el RGPD en lo relativo a la moderación de los contenidos y al intercambio de los datos generados por los objetos conectados; la CNIL ha multiplicado desde 2022 las sanciones en materia de cookies y de prospección comercial; una ley de 2023 fijó en 15 años la mayoría de edad digital en las redes sociales.
A quién dirigirse
- CNIL (cnil.fr): reclamación en línea, guías, sanciones.
- Delegado de protección de datos (DPO) del organismo en cuestión, indicado en la política de privacidad.
- PHAROS y THESEE para las imágenes íntimas y las estafas; 3018 para los menores víctimas de ciberviolencia.
- AEPD (aepd.es) para quienes residen en España: reclamaciones y Canal Prioritario para la retirada urgente de imágenes íntimas.
- Asociaciones de defensa de los derechos digitales, para las acciones colectivas.
Conviene saber
El derecho de acceso es la herramienta más poderosa y la menos utilizada: obliga a la empresa a revelar lo que sabe de usted, de dónde lo ha obtenido y a quién lo transmite. A menudo es el punto de partida de una solicitud de supresión eficaz. Y Francia castiga la difusión de imágenes íntimas incluso cuando la foto se envió voluntariamente a la pareja: consentir la foto no es consentir su difusión — como en España, donde el artículo 197.7 del Código Penal castiga lo mismo.
Fuentes y enlaces oficiales
- CNIL — sus derechos y la reclamación en línea — autoridad de control
- Ley n.º 78-17 de 6 de enero de 1978 — Informática y Libertades (texto consolidado) — Légifrance
- Código Penal francés — artículo 226-2-1 (difusión de imágenes de carácter sexual) — Légifrance
- Reglamento (UE) 2016/679 — Reglamento General de Protección de Datos (RGPD) — EUR-Lex
Enlaces verificados a fuentes oficiales o de referencia. Se abren en una pestaña nueva.