Un cliente te escribe: «Quiero saber qué datos tenéis de mí». Otro: «Borradme de todas vuestras listas». Un antiguo trabajador pide copia de su expediente. Son solicitudes cada vez más frecuentes y, cuando no se atienden bien, son la causa número uno de reclamaciones ante la AEPD. La buena noticia es que responder correctamente es sencillo si sabes qué hacer.
En resumen
- Las personas pueden ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad.
- Tienes un mes para responder, ampliable dos meses más en casos complejos, avisando dentro del primer mes.
- Es gratuito y debes responder siempre, aunque no tengas datos o no puedas atender la petición.
- Si dudas de la identidad del solicitante, puedes pedirle información adicional.
- Guarda prueba de la solicitud y de tu respuesta: te corresponde demostrar que contestaste.
Los derechos, uno a uno
Acceso (artículo 15 del RGPD)
La persona puede saber si tratas sus datos y, en ese caso, obtener una copia y la información sobre para qué los usas, de dónde salen, a quién se comunican y durante cuánto tiempo los conservarás. La copia no puede afectar a los derechos de otras personas: si en un documento aparecen terceros, hay que proteger sus datos.
Rectificación (artículo 16)
Corregir los datos inexactos o completar los incompletos. Puedes pedir que aporte lo que justifique el cambio cuando sea necesario.
Supresión (artículo 17)
El conocido «derecho al olvido». Procede, por ejemplo, cuando los datos ya no son necesarios, cuando se retira el consentimiento o cuando se tratan de forma ilícita. No es absoluto: si una ley te obliga a conservarlos (facturas, por ejemplo) o los necesitas para defenderte de reclamaciones, no se borran, sino que se bloquean (artículo 32 de la LOPDGDD). En la respuesta, explica qué has suprimido y qué conservas bloqueado y por qué.
Oposición (artículo 21)
La persona puede oponerse a determinados tratamientos. En publicidad, la regla es tajante:
«Cuando el interesado se oponga al tratamiento con fines de mercadotecnia directa, los datos personales dejarán de ser tratados para dichos fines» (artículo 21.3 del RGPD).
Limitación (artículo 18)
Congelar el uso de los datos mientras se resuelve una discusión, por ejemplo sobre si son exactos, o cuando la persona necesita que los conserves para una reclamación.
Portabilidad (artículo 20)
Recibir los datos que la persona te ha facilitado en un formato estructurado y de uso común (por ejemplo, un archivo CSV), o que los transmitas a otra empresa. Solo aplica cuando el tratamiento se basa en el consentimiento o en un contrato y se hace por medios automatizados.
Decisiones automatizadas (artículo 22)
Derecho a no ser objeto de decisiones basadas únicamente en un tratamiento automatizado que produzcan efectos jurídicos o afecten de forma significativa a la persona, y a pedir la intervención de una persona.
El plazo: un mes
«El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22 [...] en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes» (artículo 12.3 del RGPD).
Si necesitas la prórroga, debes avisar a la persona dentro del primer mes y explicarle por qué. Y si decides no atender la solicitud, también tienes que responder en ese mes, explicando los motivos e informando de que puede reclamar ante la AEPD (artículo 12.4 del RGPD).
Gratis y por el canal que sea
El ejercicio de los derechos es gratuito (artículo 12.5 del RGPD). Solo cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente por repetitivas, puedes cobrar un canon razonable o negarte, y te tocará demostrarlo. En el caso del acceso, la LOPDGDD concreta que se considera repetitivo pedirlo más de una vez en seis meses, salvo que haya causa legítima (artículo 13.3).
Puedes ofrecer un formulario o una dirección específica, y es recomendable. Pero si el cliente te escribe a otro correo o te lo pide en la tienda, la solicitud vale igual: asegúrate de que tu equipo sabe reconocerla y a quién pasarla.
¿Y si no sé si es quien dice ser?
Si tienes dudas razonables sobre la identidad, puedes pedir información adicional para confirmarla (artículo 12.6 del RGPD). Pide solo lo necesario: si el correo coincide con el que tienes registrado, normalmente es suficiente. No exijas una fotocopia del DNI por sistema. Si actúa un representante, puedes pedir que lo acredite.
Paso a paso para responder bien
- Registra la solicitud: fecha de entrada, quién la hace y qué pide.
- Comprueba la identidad si hay dudas razonables.
- Busca los datos en todos los sitios: programa de gestión, correo, papel, copias, proveedores (tus encargados deben ayudarte).
- Decide qué procede y si hay alguna excepción.
- Responde por escrito, en lenguaje claro, antes de que acabe el mes.
- Ejecuta lo acordado (borrar, bloquear, corregir) y avisa a los proveedores que tengan esos datos.
- Guarda la prueba: la LOPDGDD deja claro que demostrar que respondiste es cosa tuya.
Errores que acaban en reclamación
- No contestar porque «no tenemos datos suyos». Hay que responder igualmente diciéndolo.
- Contestar tarde o a medias.
- Seguir enviando publicidad después de una oposición.
- Borrar lo que una ley obliga a conservar, o conservar sin bloquear lo que debía suprimirse.
- Pedir más documentos de los necesarios para identificar.
Si vas a enviar publicidad a personas que no te han dado su consentimiento, recuerda además que la LOPDGDD obliga a consultar antes los sistemas de exclusión publicitaria, como la Lista Robinson (artículo 23).
En sectores donde las solicitudes son frecuentes, como las clínicas (copias de la historia clínica) o las inmobiliarias (contactos y bases de datos de clientes), tener un procedimiento escrito evita muchos problemas. Dentro de nuestro servicio de protección de datos te damos los modelos y te ayudamos con cada solicitud.
¿Lo vemos juntos?
Te preparamos el procedimiento, los modelos de respuesta y el registro de solicitudes, y te acompañamos cuando llegue una. Para empresas de toda España.