Artículo 23

Disposiciones generales sobre ejercicio de los derechos. Los derechos de los titulares de datos personales podrán ejercerse directamente por el titular de los datos o por medio de representante legal. Será nulo cualquier acto o convenio entre los responsables del tratamiento o custodios de la base de datos y los titulares de los datos que limiten esos derechos. El responsable del tratamiento establecerá protocolos sencillos, accesibles y gratuitos que permitan al titular de los datos ejercer sus derechos y al responsable del tratamiento dar respuesta en tiempo y forma. El responsable del tratamiento informará al titular de los datos sobre los medios a su disposición para ejercer los derechos que le correspondan. Los medios deberán ser fácilmente accesibles y el responsable del tratamiento no podrá denegar el derecho por el solo motivo de optar el titular de los datos por otro medio, siempre que no suponga un coste desproporcionado para el responsable del tratamiento. El solicitante deberá acreditar su identidad en el momento de la solicitud, así como los datos de contacto necesarios para enviarle la respuesta al ejercicio de su derecho. En el caso de ejercicio por medio de representante legal, deberá acompañarse a la solicitud la documentación que acredite la misma conforme al ordenamiento jurídico vigente. El custodio de la base de datos podrá tramitar, por cuenta del responsable del tratamiento, las solicitudes de ejercicio a los derechos formuladas por los afectados, si así se establece en el contrato o acto jurídico que les vincule. El responsable del tratamiento deberá dar respuesta al ejercicio de los derechos, incluso cuando no obrassen datos en sus bases de datos relacionados con el solicitante. La prueba del cumplimiento del deber de responder a la solicitud de ejercicio de los derechos formulado por el afectado recaerá sobre el responsable del tratamiento. Cuando las leyes aplicables a determinados tratamientos establezcan un régimen especial que afecte al ejercicio de los derechos, se atenderá lo dispuesto en aquellas, siempre que respeten los requisitos que se establecen en la Ley 81 de 2019 y en este decreto. Cada derecho deberá ejercitarse separadamente sin que el ejercicio de uno excluya a los demás.

Ejercicio de derechos de menores e incapaces. Los padres, madres, acudientes, tutores o quienes ejerzan la guarda y crianza de menores o incapaces podrán ejercitar en su nombre y representación los derechos de acceso, rectificación, cancelación, oposición, portabilidad o cualesquiera otros que pudieran corresponderles en el contexto de la Ley 81 de 2019 y el presente decreto.

Ejercicio del derecho de acceso del interesado. El titular de los datos tendrá derecho a obtener, del responsable del tratamiento, confirmación de si se están tratando o no datos personales que le conciernen. Si en efecto los datos están siendo tratados, el responsable del tratamiento le indicará lo siguiente: 1. Los fines del tratamiento. 2. Las categorías de datos personales de que se trate. 3. Los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales. 4. El plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo. 5. El derecho al ejercicio de la rectificación o cancelación de datos personales, o a oponerse a dicho tratamiento, o a la portabilidad de los datos. 6. Si los datos personales no se han obtenido del interesado, cualquier información disponible sobre su origen. 7. La existencia de decisiones automatizadas, incluida la elaboración de perfiles a que se refiere la Ley 81 de 2019, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el titular.

Identificación de la información solicitada. Cuando el responsable del tratamiento trate una gran cantidad de datos relativos al titular y éste ejercite su derecho de acceso sin especificar si se refiere a todos o a una parte de los datos, el responsable podrá solicitarle, antes de facilitar la información, que el afectado especifique los datos o actividades de tratamiento a los que se refiere la solicitud. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que éste solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos.