Derechos de los interesados: gestión de solicitudes RGPD en Málaga

Qué son los derechos de los interesados y por qué afectan a cualquier empresa

El RGPD reconoce a las personas una serie de facultades para saber qué ocurre con su información y, en las condiciones previstas por la normativa, acceder a ella, corregirla, limitar su uso, solicitar su eliminación o oponerse a determinados tratamientos. Para una empresa, el cumplimiento no termina al publicar una política de privacidad: debe existir un procedimiento real para recibir, analizar y contestar las peticiones.

Una solicitud puede proceder de un cliente, antiguo cliente, empleado, candidato, proveedor individual, usuario de la web o persona grabada por una cámara. El hecho de que el negocio sea pequeño no elimina la obligación de atenderla. Lo determinante es qué datos trata, con qué finalidad y quién decide sobre ese tratamiento.

En esta página explicamos el recorrido completo de una solicitud, con especial atención a los plazos, las excepciones y los errores operativos más habituales en pymes y profesionales de Málaga.

Quién tiene que responder: responsable, encargado y delegado de protección de datos

La obligación principal corresponde al responsable del tratamiento: la empresa o entidad que determina para qué y cómo se usan los datos. Un proveedor informático, una plataforma de reservas o una asesoría que actúe como encargado puede ayudar a localizar o extraer la información, pero no sustituye la responsabilidad de la empresa.

El contrato del artículo 28 RGPD debe prever la asistencia del encargado para responder solicitudes cuando corresponda. Por eso conviene identificar de antemano quién puede recuperar datos del correo, del CRM, de las copias de seguridad y de los sistemas externos. Puedes ampliar este aspecto en proveedores y encargados del tratamiento.

Si la organización dispone de Delegado de Protección de Datos (DPD), puede intervenir en el procedimiento y ser un punto de contacto, pero su existencia no convierte al DPD en el responsable del tratamiento ni exime a la organización de cumplir.

Derecho de información y derechos de ejercicio: no son lo mismo

Los artículos 13 y 14 RGPD obligan a facilitar información sobre el tratamiento cuando se recogen los datos o cuando se obtienen por otras vías, con las excepciones legales pertinentes. Los artículos 15 a 22, en cambio, regulan derechos que la persona puede ejercitar posteriormente. Una casilla que diga “he leído la política de privacidad” no sirve por sí sola para tramitar una solicitud de acceso o supresión.

En la política de privacidad, en las cláusulas de formularios y en las comunicaciones pertinentes debe indicarse quién es el responsable y cómo ejercer estos derechos mediante vías fáciles de utilizar. Una empresa puede ofrecer correo electrónico o formulario específico, pero no puede rechazar una petición solo porque haya llegado por otro medio razonable. Para webs y canales de contacto, consulta también RGPD para páginas web y servicios digitales.

Cómo reconocer y registrar una solicitud que llega por correo, teléfono o WhatsApp

Muchas solicitudes no incluyen la palabra RGPD. Un mensaje como “quiero saber qué información tenéis sobre mí”, “corregid mi teléfono”, “no quiero más publicidad” o “borrad mi ficha” puede activar obligaciones de atención de derechos. El equipo de recepción y administración debe saber identificarlas aunque no utilicen formularios oficiales.

Es útil disponer de un único registro interno donde se anote fecha de recepción, canal, identidad verificada cuando proceda, derecho solicitado, tratamientos afectados, persona asignada, plazo y respuesta enviada. Los mensajes por teléfono deben reconducirse de forma segura a un medio que permita documentar correctamente la petición, sin crear barreras artificiales.

El registro no tiene que ser una herramienta compleja; puede ser un sistema de tickets o una hoja controlada con accesos restringidos. Sí debe permitir demostrar que se actuó dentro de plazo y que la contestación correspondía a la petición real.

Verificar la identidad sin pedir el DNI indiscriminadamente

Una respuesta a una solicitud de acceso puede revelar información muy sensible. Por ello la empresa debe asegurarse de que la entrega se hace a la persona correcta. Pero la copia del DNI no es obligatoria de forma general para ejercer derechos: la AEPD indica que solo deben pedirse datos adicionales cuando existan dudas razonables sobre la identidad.

Por ejemplo, si una persona autenticada solicita corregir un dato en su zona privada, puede existir un medio suficiente para verificarla. Si un tercero escribe desde una dirección desconocida pidiendo un historial completo, sí procede comprobar más cuidadosamente su identidad antes de responder. Debe elegirse la verificación menos intrusiva que resulte adecuada al riesgo.

También hay que proteger la información de verificación: evitar acumular fotocopias de documentos innecesarias, no pedirlas por defecto por correo ordinario y eliminar esos justificantes cuando dejen de ser necesarios conforme a la política aplicable.

Solicitudes mediante representantes, menores y personas fallecidas

El interesado puede actuar personalmente o mediante representante legal o voluntario. Cuando otra persona firma la solicitud, conviene verificar tanto su identidad como la representación: un simple “soy familiar” no demuestra por sí solo que pueda acceder a datos confidenciales de un adulto.

En solicitudes relativas a menores deben valorarse la edad, la madurez, la representación legal, la naturaleza de los datos y, en su caso, los derechos e intereses propios del menor. La protección de datos no equivale a entregar automáticamente toda la información a cualquier progenitor o familiar que la reclame.

El RGPD no protege como tales los datos de personas fallecidas, pero el artículo 3 de la LOPDGDD contempla determinadas posibilidades de acceso, rectificación y supresión por personas vinculadas y herederos, con límites y excepciones. Los supuestos de historia clínica y documentación sanitaria pueden tener además reglas específicas.

Plazo de respuesta: un mes y posible ampliación de otros dos

La regla general es clara: el responsable debe responder en el plazo de un mes desde la recepción de la solicitud. Si la complejidad o el número de solicitudes lo justifican, puede ampliar ese plazo hasta otros dos meses, pero debe informar al interesado de la ampliación y de sus motivos dentro del primer mes. No se trata de una prórroga automática.

La empresa debería fijar una fecha interna de revisión anterior al vencimiento, especialmente si depende de varias aplicaciones o de proveedores externos. Si la respuesta no puede darse todavía en su totalidad, hay que analizar qué información puede facilitarse y qué pasos faltan, sin utilizar respuestas genéricas como sustituto de la obligación.

Incluso si el responsable decide no actuar, debe comunicar su decisión motivada, a más tardar dentro del plazo aplicable, e informar de la posibilidad de reclamar ante la autoridad de control y acudir a la vía judicial.

Gratuidad, peticiones repetitivas y solicitudes manifiestamente excesivas

Atender los derechos es, como regla general, gratuito. No procede cobrar una tarifa por buscar datos, enviar una primera copia o tramitar una solicitud ordinaria. El RGPD prevé excepciones cuando el responsable demuestra que la solicitud es manifiestamente infundada o excesiva, especialmente por su carácter repetitivo.

En esas circunstancias puede cobrarse un canon razonable basado en costes administrativos o negarse a actuar, pero la carga de justificar la decisión corresponde al responsable. Una petición difícil, extensa o molesta para la organización no se convierte automáticamente en excesiva.

Si se solicitan copias adicionales de los datos en el marco del derecho de acceso, el artículo 15 contempla específicamente un posible canon razonable por esas copias adicionales. Es importante no mezclar esta regla con el coste de la primera respuesta o con una supuesta tarifa fija por derechos.

Qué responder cuando no existen datos o no es posible identificar el tratamiento

Si una persona solicita acceso y la empresa confirma que no trata datos personales relativos a ella, debe responder de forma clara indicando esa circunstancia, en lugar de ignorar el mensaje. Antes de afirmarlo, conviene revisar los tratamientos plausibles: base de clientes, correos, CRM, históricos pertinentes, candidatos o plataformas externas.

Si el responsable no puede identificar a la persona con los datos disponibles, deberá valorar si puede pedir la información adicional estrictamente necesaria, atendiendo al artículo 11 RGPD. No debe usar la falta de identificación como excusa automática ni inventar registros para satisfacer la solicitud.

La contestación conviene guardarla en el registro de gestión de derechos, incluyendo el criterio seguido. El hecho de no encontrar información también es una decisión que debe poder explicarse.

Derecho de acceso: qué datos y explicaciones debe facilitar la empresa

El derecho de acceso (artículo 15) permite saber si una organización trata datos personales de la persona y, en caso afirmativo, acceder a ellos y a información complementaria. No basta normalmente con contestar “sí, tenemos tus datos” o enviar exclusivamente una ficha de contacto.

La respuesta debe contemplar, según proceda, finalidades, categorías de datos, destinatarios o categorías de destinatarios, conservación, origen cuando no se obtuvieron de la persona, posibles transferencias y garantías, derechos disponibles e información sobre decisiones automatizadas. Debe facilitarse una copia de los datos personales objeto de tratamiento respetando los derechos y libertades de terceros.

Ejemplo: ante una solicitud de un antiguo cliente hay que revisar sus datos en el sistema de gestión, los tratamientos y los registros pertinentes, y determinar la forma segura de entrega. La copia no equivale necesariamente a remitir sin filtro todos los documentos internos completos que lo mencionan, especialmente si contienen datos de otras personas.

Acceso a correos, historiales y documentos que incluyen datos de terceros

Las solicitudes de acceso pueden afectar a mensajes, observaciones profesionales, incidencias y expedientes con información de varias personas. En esos casos el responsable debe identificar qué constituye dato personal del solicitante y cómo facilitarlo sin revelar indebidamente información de terceros, secretos empresariales u otros intereses protegidos.

Puede ser necesario ocultar identificadores ajenos, preparar extractos o elaborar una copia adaptada, siempre que no se vacíe injustificadamente el contenido del derecho. Tampoco debe confundirse el derecho de acceso RGPD con otros derechos de acceso regulados por normativa laboral, sanitaria, societaria o administrativa.

Una buena práctica es que la revisión la realice personal autorizado, con apoyo jurídico si hay conflictos, y quede registrada la razón de cualquier ocultación relevante. El objetivo es responder con precisión, no entregar masivamente archivos que generen una nueva exposición de datos.

Derecho de rectificación: corregir datos inexactos o incompletos

El artículo 16 permite solicitar la corrección de datos personales inexactos y, atendiendo a la finalidad, completar datos incompletos. En una empresa puede afectar a un domicilio, un número de teléfono, una fecha o un dato profesional introducido erróneamente en un expediente.

La rectificación no significa que pueda reescribirse cualquier hecho controvertido a voluntad del solicitante. Si un informe contiene una valoración profesional o un registro de una operación ya realizada, debe distinguirse entre corregir un dato objetivamente inexacto y conservar trazabilidad histórica, incorporando aclaraciones cuando corresponda.

La modificación debe trasladarse a los sistemas afectados y comunicarse a los destinatarios a quienes se hubieran revelado los datos cuando resulte exigible conforme al artículo 19, salvo que sea imposible o requiera un esfuerzo desproporcionado.

Derecho de supresión: cuándo hay que eliminar y cuándo existen excepciones

La supresión (artículo 17), conocida también como derecho al olvido en determinados contextos, permite solicitar el borrado de datos cuando, por ejemplo, ya no son necesarios para su finalidad, se retira un consentimiento sin otra base legal, prospera una oposición aplicable o el tratamiento es ilícito.

Solicitar la supresión no significa que la empresa pueda o deba borrar todo inmediatamente. Puede haber información que deba conservarse para cumplir obligaciones legales, acreditar operaciones o defender reclamaciones. La respuesta debe diferenciar qué datos se eliminan, cuáles se conservan, con qué fundamento y durante qué plazo o conforme a qué criterio.

Ejemplo: un cliente pide que se elimine su newsletter y su historial de facturas. La empresa puede tener que cesar los envíos comerciales y, al mismo tiempo, conservar cierta información contable o fiscal exigida legalmente. Son finalidades distintas que requieren decisiones distintas.

Bloqueo de datos en la LOPDGDD y diferencia con la limitación

En España, el artículo 32 de la LOPDGDD regula el bloqueo de datos en determinados supuestos de rectificación o supresión: los datos quedan identificados y reservados, con medidas técnicas y organizativas para impedir su tratamiento salvo los accesos previstos legalmente, por ejemplo para la exigencia de responsabilidades durante los plazos de prescripción.

No debe confundirse ese bloqueo legal con el derecho a la limitación del tratamiento del artículo 18 RGPD. La limitación se solicita por el interesado en condiciones concretas y tiene efectos propios. La organización necesita decidir qué regla se aplica en cada caso y configurar sus sistemas de forma coherente.

Por ejemplo, marcar una ficha como “inactiva” pero dejar todos sus datos accesibles a comerciales puede no equivaler a un bloqueo correcto. La configuración técnica, los permisos y el registro de accesos importan tanto como la política escrita.

Derecho al olvido en buscadores: alcance y límites para empresas

El derecho al olvido suele aparecer en relación con buscadores de Internet y la desindexación de resultados vinculados al nombre de una persona. No es una herramienta para borrar automáticamente cualquier información publicada o eliminar un artículo legítimo de una página de terceros.

Si una empresa recibe una petición sobre datos que publicó en su propia web, debe analizar si procede corregir, retirar o mantener el contenido según la finalidad y las excepciones aplicables. Si la solicitud se dirige a un motor de búsqueda, intervienen otras decisiones específicas de desindexación.

Las publicaciones comerciales antiguas, listados de personal, imágenes o referencias nominativas pueden requerir una revisión particular de actualidad, legitimidad y proporcionalidad. Es importante registrar qué parte del tratamiento controla realmente la organización y no prometer la eliminación de copias ajenas sobre las que no tiene poder efectivo.

Derecho de oposición: interés legítimo, interés público y publicidad

El derecho de oposición (artículo 21) opera, entre otros supuestos, cuando el tratamiento se basa en interés público o en interés legítimo y la persona invoca motivos relativos a su situación particular. En esos casos, la empresa debe dejar de tratar los datos salvo que acredite motivos legítimos imperiosos prevalentes o una necesidad vinculada a reclamaciones.

Para marketing directo existe una regla distinta y particularmente clara: si una persona se opone a que sus datos se traten con esa finalidad, deben dejar de utilizarse para ese marketing. No procede contestar que la campaña es “legítima” y seguir enviando publicidad.

En la práctica conviene mantener una lista de exclusión mínima y segura para no volver a contactar comercialmente por error. Esa lista no equivale a seguir utilizando el historial completo del cliente para fines publicitarios.

Derecho a la limitación del tratamiento: suspender usos concretos

El artículo 18 RGPD permite solicitar la limitación en supuestos específicos: mientras se verifica la exactitud de los datos, mientras se estudia determinada oposición, cuando el tratamiento es ilícito y el interesado prefiere limitarlo en vez de suprimirlo, o cuando necesita datos para defender reclamaciones pese a que el responsable ya no los necesite.

Limitar no significa necesariamente borrar. Durante la limitación, como regla general, la información puede conservarse, pero su utilización posterior queda restringida a los supuestos previstos por el RGPD. Antes de levantar la limitación, debe informarse al interesado.

Los sistemas de gestión deberían permitir identificar estos registros y evitar su uso ordinario, por ejemplo en envíos comerciales, análisis o circulación interna. Una marca visible y permisos acordes son preferibles a confiar en que todos recuerden una instrucción verbal.

Derecho a la portabilidad: requisitos y límites reales

El derecho a la portabilidad (artículo 20) permite, cuando se cumplen sus requisitos, recibir los datos personales facilitados a un responsable en un formato estructurado, de uso común y lectura mecánica y transmitirlos a otro responsable. Se aplica cuando el tratamiento se basa en consentimiento o contrato y se realiza por medios automatizados.

No debe confundirse con el derecho general de acceso. La portabilidad no alcanza necesariamente a cualquier informe, conclusión interna, dato inferido o expediente en papel. Deben revisarse el origen de los datos, la base jurídica y los derechos de otras personas que pudieran resultar afectadas.

Cuando resulte técnicamente posible, el interesado puede solicitar transmisión directa entre responsables. El formato elegido debe ser útil para la finalidad, por ejemplo CSV o JSON si realmente reflejan los datos a portar, pero no hay un formato universal obligatorio para todas las actividades.

Decisiones exclusivamente automatizadas y elaboración de perfiles

El artículo 22 RGPD protege, con las excepciones y garantías previstas, frente a decisiones basadas únicamente en un tratamiento automatizado que produzcan efectos jurídicos sobre la persona o le afecten significativamente de modo similar. No todo uso de una hoja Excel, un filtro de correo o una recomendación de software entra automáticamente en ese supuesto.

La atención debe centrarse en situaciones como decisiones relevantes de acceso a servicios, selección o valoración que se produzcan sin intervención humana significativa. Hay que comprobar fundamento, información facilitada, garantías y, cuando proceda, las vías para obtener intervención humana, expresar el punto de vista e impugnar la decisión.

Si se utilizan sistemas de IA o perfiles en recursos humanos y atención al cliente, conviene evaluar su alcance desde el diseño, revisar la calidad de datos y documentar el papel real de las personas que supervisan el sistema.

Retirar el consentimiento no equivale a pedir supresión de todos los datos

Cuando un tratamiento se basa en el consentimiento, la persona puede retirarlo en cualquier momento y debe poder hacerlo con facilidad comparable a la utilizada para prestarlo. La retirada no afecta a la licitud del tratamiento efectuado antes de retirarlo.

Es importante distinguir retirada de consentimiento, oposición a publicidad, baja de un servicio y supresión de datos. Una persona puede dejar de recibir comunicaciones comerciales mientras sigue siendo cliente; también puede retirar el consentimiento de una herramienta opcional sin que desaparezcan obligaciones contractuales o legales.

En cada caso la empresa debe identificar qué finalidad queda afectada y actualizar la configuración del CRM, la newsletter, los formularios o las cookies. Puedes consultar nuestra página de web, formularios y servicios digitales para estos canales.

Comunicar rectificaciones, supresiones y limitaciones a destinatarios

El artículo 19 RGPD obliga, con las excepciones previstas, a comunicar a los destinatarios a los que se revelaron datos las rectificaciones, supresiones o limitaciones del tratamiento realizadas. Además, si el interesado lo solicita, el responsable debe informarle sobre esos destinatarios.

Para cumplirlo es fundamental saber dónde han ido los datos: gestoría, sistema de reservas, plataforma de email, almacenamiento cloud, CRM o proveedor informático. Cada proveedor no tiene automáticamente el mismo papel jurídico y el procedimiento debe adaptarse a esa diferencia.

La empresa debería comprobar que el contrato y las instrucciones operativas permiten localizar, corregir o retirar datos en los sistemas del proveedor. En servicios complejos, la trazabilidad evita que una solicitud se cierre en el CRM mientras continúan copias operativas innecesarias en otra aplicación.

Derechos RGPD de trabajadores y antiguos empleados

La relación laboral no elimina los derechos de protección de datos. Un trabajador puede pedir acceso a los datos personales que la empresa trata sobre él, solicitar correcciones o cuestionar tratamientos concretos. La respuesta debe considerar al mismo tiempo las obligaciones laborales, el deber de confidencialidad y los derechos de otras personas.

Ejemplos habituales son datos de contacto inexactos, información mantenida tras finalizar el contrato, registros de acceso, geolocalización de vehículos corporativos o determinadas imágenes de seguridad. No todas esas peticiones se resuelven con una eliminación inmediata: algunas relaciones y documentos están sujetos a deberes legales de conservación.

Conviene coordinar recursos humanos, dirección y soporte técnico, y documentar los criterios de uso de dispositivos. La formación RGPD del personal ayuda a que nadie envíe por error información laboral a la persona equivocada.

Solicitudes relativas a datos de salud y categorías especiales

Clínicas, centros sanitarios y otros negocios que tratan información sobre salud necesitan extremar las precauciones al atender derechos. Una solicitud de acceso puede afectar a datos especialmente protegidos; debe comprobarse la identidad, utilizar canales seguros y aplicar la normativa sectorial que corresponda.

La supresión no puede valorarse ignorando las obligaciones de conservación de documentación clínica, las normas sobre historia sanitaria o posibles responsabilidades profesionales. Tampoco sería correcto denegar de forma genérica todos los derechos por tratarse de información médica.

En centros de masajes y bienestar es importante revisar qué datos de salud se recogen realmente y con qué legitimación. La respuesta a una solicitud debe referirse al tratamiento específico y a la finalidad declarada, con apoyo de personal autorizado y, cuando sea necesario, asesoramiento especializado.

Clientes y facturas: cómo responder cuando existe obligación de conservar

Un caso frecuente es el cliente que solicita borrar todos sus datos después de finalizar una compra. La empresa debe revisar por separado las finalidades: publicidad, atención al cliente, gestión comercial, facturación, garantías, obligaciones fiscales o posibles responsabilidades.

Si los datos de contacto ya no son necesarios para marketing, puede corresponder retirar esa finalidad. Pero una factura o un asiento contable puede estar sujeto a obligaciones legales de conservación. En lugar de negar la solicitud de forma global, conviene indicar qué datos se suprimen, cuáles deben seguir conservándose, por qué y con qué restricciones de uso.

Los plazos exactos de conservación no deben improvisarse ni generalizarse como un número universal. Dependen de la normativa aplicable, del tipo de documento y de posibles responsabilidades o procedimientos abiertos.

Derechos sobre imágenes de videovigilancia y protección de terceros

La imagen identificable es un dato personal y el ejercicio de derechos puede afectar a grabaciones de cámaras. Sin embargo, hay particularidades: el derecho de acceso no implica entregar indiscriminadamente una grabación completa que muestre a empleados, clientes o personas ajenas a la solicitud.

La empresa debe comprobar si dispone de las imágenes, si están dentro del periodo de conservación y qué información es posible facilitar salvaguardando los derechos de terceros. En ciertos casos puede requerirse ocultar imágenes ajenas o proporcionar una respuesta documentada adaptada al supuesto. Si solo hay visionado en directo y no se conservan imágenes, también debe contestarse adecuadamente.

La gestión de estas peticiones debe encajar con la finalidad y las medidas descritas en nuestra página sobre videovigilancia y RGPD para empresas.

Derechos desde la web, newsletter, CRM y plataformas de reservas

Una petición puede entrar desde el formulario de contacto, un enlace de baja en el correo, un mensaje de WhatsApp o el panel de una plataforma de reservas. Es habitual que distintos servicios guarden copias parciales de la información, por lo que no basta con cambiar un estado en la web si el CRM sigue ejecutando una campaña.

La empresa debería diseñar un mapa de tratamientos que permita saber qué herramienta controla cada finalidad y quién puede aplicar una rectificación o supresión de forma coherente. Los botones de baja deben funcionar realmente y los formularios no deberían exigir información innecesaria para gestionar una solicitud.

Cuando un proveedor de newsletter mantiene registros mínimos de exclusión, hay que evaluar esa conservación limitada en función de su finalidad: evitar nuevos envíos no deseados, no continuar enviando promociones.

Copias de seguridad y conservación técnica ante una solicitud de supresión

Las copias de seguridad son esenciales para recuperar información tras una incidencia, pero pueden contener datos que ya no aparecen en la base operativa. Una solicitud de supresión obliga a revisar el ciclo de vida de los datos y cómo se gestionan las restauraciones, sin comprometer de forma desproporcionada la integridad de las copias.

Es conveniente disponer de plazos de rotación, accesos restringidos, procedimientos para impedir la reintroducción operativa de datos eliminados y criterios documentados sobre conservación residual cuando proceda. No basta con afirmar “lo borramos del ordenador” si continúa activo en todas las herramientas del negocio.

El análisis debe coordinarse con las medidas técnicas y organizativas, y con los contratos de los proveedores de backup o alojamiento cuando intervengan.

Enviar respuestas por un canal seguro y prevenir nuevas brechas

El ejercicio de derechos puede convertirse paradójicamente en una fuente de brechas si el responsable envía documentación a un destinatario equivocado. Antes de enviar historiales, datos laborales o copias extensas, hay que comprobar dirección, identidad, permisos y, según el riesgo, utilizar medios cifrados o acceso autenticado con caducidad.

Evita adjuntar expedientes enteros sin revisión. Una exportación puede incluir otras personas, campos ocultos, notas internas, metadatos o datos especialmente sensibles. Las entregas deben ser comprensibles y proporcionadas, y conservarse evidencia de qué se facilitó y a quién.

Si se produce una divulgación indebida durante la respuesta, puede existir una brecha de datos personales que deba evaluarse por separado, con sus obligaciones de registro y eventual notificación.

Cómo redactar una respuesta completa, clara y motivada

Una respuesta útil debería identificar la solicitud y el derecho, confirmar su recepción y resolución, explicar de manera comprensible lo que se ha hecho y, cuando proceda, facilitar los datos o indicar los motivos específicos de una limitación o negativa. Debe estar escrita para el destinatario real, no como una copia descontextualizada de artículos legales.

Si parte de la información permanece por obligación legal, la comunicación debe identificar esa excepción con claridad sin revelar más datos de los necesarios. Si hay varios derechos o tratamientos afectados, puede resolverse cada uno por separado para evitar confusiones.

Cuando se deniega actuar, hay que informar del derecho a reclamar ante la autoridad de control y de acudir a los tribunales. El tono profesional importa: una explicación concreta y verificable reduce conflictos y demuestra que se analizó el caso individual.

Registro interno y evidencias para demostrar que se respondió

El principio de responsabilidad proactiva exige poder demostrar el cumplimiento. Para cada petición conviene conservar una trazabilidad proporcionada de la solicitud, la fecha, las verificaciones necesarias, los sistemas consultados, las decisiones, las comunicaciones con proveedores y el resultado final.

No se trata de guardar indefinidamente copias completas de todos los datos solicitados. El propio expediente de derechos es un tratamiento que requiere finalidad, acceso restringido, seguridad y un plazo de conservación justificado.

Un registro sencillo con identificador, derecho, responsable interno, fecha límite, estado y evidencia de respuesta suele resultar mucho más útil que una carpeta de correos sin orden. La documentación enlaza con responsabilidad proactiva y evidencias de cumplimiento.

Qué ocurre si la persona reclama ante la AEPD

Cuando una persona ha ejercitado un derecho ante el responsable y no obtiene respuesta en el plazo legal, o considera que la respuesta es insatisfactoria, puede reclamar ante la Agencia Española de Protección de Datos. El procedimiento y la valoración dependerán de los hechos y de la documentación presentada.

Para una empresa, tener un registro de solicitudes, plazos y decisiones permite responder de forma mucho más ordenada a un requerimiento. Una contestación fuera de plazo, un formulario que bloquea el ejercicio o una entrega de información a la persona equivocada pueden convertirse en problemas independientes del tratamiento de origen.

Las consecuencias administrativas no responden a una “multa fija” automática: se valoran las circunstancias de cada caso. Nuestra página de sanciones RGPD y prevención desarrolla esta cuestión.

Procedimiento operativo en seis pasos para atender una solicitud

1. Recibir y registrar. Guardar canal, fecha, contenido y persona que la gestionará.
2. Identificar el derecho y el tratamiento. Aclarar, si es necesario, qué información y finalidad están afectadas sin crear obstáculos.
3. Verificar identidad cuando proceda. Elegir un medio proporcional al riesgo y revisar la representación, si existe.
4. Buscar y evaluar. Localizar datos en sistemas internos y proveedores, estudiar plazos, bases jurídicas, terceros y excepciones.
5. Resolver y comunicar. Aplicar cambios que correspondan, facilitar la información de forma segura y comunicar una respuesta motivada dentro de plazo.
6. Documentar y revisar. Guardar evidencia proporcionada, actualizar controles y detectar qué ha fallado para evitar nuevos incidentes.

Este procedimiento debe adaptarse a la realidad de cada entidad. En una clínica, un comercio y una empresa tecnológica la búsqueda de datos y los riesgos son diferentes, aunque los derechos de las personas sean los mismos.

Errores frecuentes que conviene prevenir

• No contestar porque “no tenemos nada”. El derecho debe gestionarse igualmente si la solicitud es válida.
• Exigir siempre copia del DNI. La verificación tiene que ser proporcionada a las dudas reales.
• Confundir oposición a marketing con baja de cliente. Son procesos distintos.
• Borrar facturas sin evaluar obligaciones legales. La supresión admite excepciones y conservación restringida.
• Prometer portabilidad de cualquier dato. Tiene requisitos específicos.
• Entregar copias con datos de terceros visibles. Puede generar una nueva vulneración de privacidad.
• Olvidar los proveedores. La rectificación debe llegar a los sistemas pertinentes.
• Responder sin prueba de envío. La empresa debe poder acreditar que cumplió.

La prevención combina procedimiento, formación y herramientas. No exige convertir cada solicitud en un expediente jurídico complejo, pero sí aplicar un análisis cuidadoso y coherente.

Cómo ayudamos desde RGPD Málaga a gestionar los derechos de los interesados

Ayudamos a empresas y profesionales a identificar los canales por los que reciben solicitudes, diseñar un procedimiento de atención, preparar modelos adaptables de respuesta y coordinar a quienes intervienen: administración, dirección, recursos humanos, web, soporte informático y proveedores.

La revisión incluye el inventario de tratamientos, la gestión de plazos, la verificación proporcional de identidad, la conservación y el envío seguro de información. Cuando existen datos especiales, conflictos de derechos o sistemas complejos, analizamos cada caso antes de tomar decisiones que puedan ser irreversibles.

El objetivo es que la organización responda bien, dentro de plazo y con evidencias, no que acumule documentos que nadie utilice. Si necesitas implantar este procedimiento, puedes solicitar una revisión de cumplimiento RGPD o un asesoramiento especializado.

Normativa y fuentes oficiales para consultar los derechos

La información de esta página se apoya en el texto del RGPD, la LOPDGDD y los materiales públicos de la AEPD. La aplicación concreta de cada derecho depende de las características del tratamiento y de la normativa sectorial que resulte aplicable.

• RGPD — Reglamento (UE) 2016/679, artículos 12 a 22.
• LOPDGDD — Ley Orgánica 3/2018, artículos 3, 12 a 18 y 32.
• AEPD — Conoce tus derechos.
• AEPD — Plazos de respuesta.
• AEPD — Verificación de identidad y copia del DNI.