El Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos y garantía de los derechos digitales (LOPDGDD) transformaron el ejercicio de derechos por parte de las personas físicas en un vector de riesgo directo para las empresas. Ya no basta con publicar un aviso de privacidad. Cuando un empleado, un cliente o un proveedor presenta una solicitud de acceso, rectificación o supresión, la organización dispone de un plazo tasado para responder y, si no lo cumple, se expone a una investigación de la Agencia Española de Protección de Datos (AEPD). Hemos observado que la mayoría de las empresas medianas no dispone de un procedimiento interno que funcione en la práctica.
El RGPD establece un catálogo de derechos que el interesado puede ejercer frente al responsable del tratamiento. Son seis derechos principales: acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad de los datos. Cada uno activa obligaciones distintas en la empresa.
El derecho de acceso obliga al responsable a confirmar si trata datos del solicitante y, en caso afirmativo, a facilitar una copia de los datos junto con información sobre las finalidades, las categorías de datos, los destinatarios y los plazos de conservación. El volumen de información que debe entregarse es mayor de lo que muchos responsables de privacidad anticipan.
El derecho de supresión – coloquialmente conocido como "derecho al olvido" – no es absoluto. Procede cuando los datos ya no son necesarios para la finalidad que justificó su recogida, cuando el interesado retira su consentimiento o cuando se opone al tratamiento y no existen intereses legítimos prevalentes. Sin embargo, cede frente a obligaciones legales de conservación: una empresa no puede suprimir datos que la normativa tributaria o laboral le obliga a conservar durante un período determinado.
El derecho de portabilidad es especialmente relevante en entornos tecnológicos. Obliga a entregar los datos en un formato estructurado, de uso común y de lectura mecánica. En nuestra experiencia asesorando a empresas de software y plataformas digitales, este derecho genera dificultades técnicas que no se anticipan en el diseño del sistema.
La limitación del tratamiento permite al interesado solicitar que sus datos no se traten mientras se resuelve una controversia sobre su exactitud o sobre la licitud del tratamiento. Para la empresa, esto supone mantener los datos "congelados" y evitar cualquier operación sobre ellos hasta que la situación se aclare.
La oposición, por último, es el derecho que más frecuentemente se ejerce en contextos de marketing directo y elaboración de perfiles. Cuando el interesado se opone, el responsable debe cesar en ese tratamiento específico salvo que acredite intereses legítimos que prevalezcan sobre los del solicitante.
¿Qué exige todo esto a la empresa en términos operativos? Exige, como mínimo: un canal habilitado para recibir solicitudes, un procedimiento de verificación de identidad, un registro de las solicitudes recibidas y respondidas, y una cadena de responsabilidad interna clara. Sin estos elementos, la adaptación RGPD se convierte en declaración formal sin sustancia real.
La verificación de identidad es el primer paso del procedimiento y, con frecuencia, el más conflictivo. La empresa no puede entregar datos personales a quien no sea el titular o quien actúe en su representación acreditada. Pero tampoco puede exigir documentación desproporcionada que disuada el ejercicio legítimo del derecho.
La regla de proporcionalidad es clara: el nivel de verificación debe ser adecuado al riesgo que entraña la comunicación. Si el interesado solicita confirmar si la empresa trata su dirección de correo electrónico, bastará con una comunicación desde esa misma dirección. Si solicita acceso completo a su historial médico o financiero, la empresa puede requerir un medio de verificación más robusto.
En la práctica, el canal habitual es el correo electrónico dirigido al delegado de protección de datos (DPD) o al área de privacidad. Cuando la solicitud llega por un canal no habilitado – por ejemplo, a través del equipo de atención al cliente – la empresa debe redirigirla al procedimiento correcto sin que ello implique consumir el plazo de respuesta. La fecha de recepción a efectos del cómputo del plazo es la de la primera comunicación, aunque llegue por un canal inadecuado.
Hemos asistido a empresas que, al carecer de un procedimiento interno documentado, respondieron a solicitudes sin verificar la identidad del solicitante y entregaron datos a terceros no autorizados. Este error configura una brecha de confidencialidad que debe notificarse a la AEPD en el plazo de 72 horas desde que el responsable tiene conocimiento de ella.
El plazo general de respuesta es de un mes desde la recepción de la solicitud. Este plazo puede prorrogarse dos meses adicionales cuando la solicitud sea compleja o el volumen de solicitudes simultáneas sea elevado. En ese caso, el responsable debe comunicar la prórroga al interesado dentro del primer mes, indicando los motivos.
Si la empresa decide no atender la solicitud – porque el derecho no procede en ese supuesto concreto – debe comunicarlo también dentro del plazo de un mes, indicando las razones de la denegación y la posibilidad de presentar reclamación ante la AEPD o ante los órganos judiciales competentes. No responder equivale a desestimar la solicitud sin justificación, lo que constituye una infracción autónoma.
¿Cuándo empieza a correr el plazo? Desde el día en que la empresa recibe la solicitud, con independencia de quién la reciba dentro de la organización. Por eso es imprescindible que todos los departamentos que tienen contacto con clientes, empleados o proveedores sepan que cualquier solicitud relativa a datos personales debe canalizarse inmediatamente al área de privacidad.
La gestión de estos plazos se complica cuando la empresa tiene varios responsables de tratamiento – por ejemplo, en un grupo empresarial – o cuando los datos del interesado están distribuidos en múltiples sistemas. En esos casos, el plazo no se interrumpe por la complejidad técnica interna. Es la empresa quien debe organizar su arquitectura de datos para poder responder en tiempo y forma.
El derecho de portabilidad añade una dimensión adicional: no basta con responder en plazo, sino que la entrega debe hacerse en formato estructurado y de lectura mecánica. En nuestra experiencia, las empresas que no han diseñado esta funcionalidad en sus sistemas incurren en demoras que superan el plazo legal incluso cuando existe voluntad de cumplir.
La Agencia Española de Protección de Datos ha publicado criterios de interpretación claros sobre cómo gestionar el ejercicio de derechos. En nuestra práctica, los errores más recurrentes que generan expedientes sancionadores son los siguientes.
Primero: no responder en plazo. Es la infracción más frecuente y la más sencilla de evitar. Un simple sistema de registro de solicitudes con alertas de vencimiento elimina este riesgo.
Segundo: denegarla sin motivación suficiente. La empresa puede rechazar una solicitud, pero debe explicar por qué. "Sus datos son necesarios para la prestación del servicio" no es motivación suficiente si no se concreta la base jurídica y la finalidad.
Tercero: confundir la solicitud de portabilidad con la de acceso. Son derechos distintos con consecuencias técnicas diferentes. Responder a una portabilidad como si fuera un acceso – entregando un PDF con los datos en lugar de un archivo en formato exportable – no satisface el derecho ejercido.
Cuarto: exigir documentación desproporcionada. Pedir fotocopia del DNI para confirmar si se trata el correo electrónico del solicitante es desproporcionado y puede ser constitutivo de obstaculización del ejercicio de derechos.
Quinto: no documentar la respuesta. Aunque se responda correctamente, si no hay registro de la solicitud, del proceso de verificación y de la respuesta emitida, la empresa no podrá acreditar el cumplimiento ante la AEPD en una inspección.
La creencia de que con una cláusula de privacidad en la web ya se cumple el RGPD es uno de los mitos más extendidos entre las empresas que se inician en la adaptación RGPD. Esa cláusula informa al interesado de sus derechos, pero no los atiende. El procedimiento operativo es lo que hace efectivo el cumplimiento.
El procedimiento de atención de derechos no debe concebirse como una obligación aislada. Forma parte de un programa de compliance de datos más amplio que incluye el registro de actividades de tratamiento, la evaluación de impacto en la protección de datos (cuando resulta obligatoria), los contratos con los encargados del tratamiento y el protocolo de gestión de brechas de seguridad.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud. En todos esos sectores, la atención de derechos es el punto en el que el programa de cumplimiento se vuelve visible para el interesado. Es, en sentido estricto, la interfaz externa del compliance.
Un programa bien diseñado integra el procedimiento de derechos con el canal de denuncias interno – exigido por la normativa de compliance penal para empresas de cierto tamaño – y con la gestión de los contratos de encargado de tratamiento. Si el responsable recibe una solicitud de supresión pero los datos también están en manos de varios encargados externos, el procedimiento interno debe prever cómo trasladar la solicitud a esos encargados y obtener confirmación de su ejecución.
El compliance penal y la protección de datos comparten una misma lógica: documentar las decisiones, asignar responsabilidades y crear trazabilidad. Una empresa que tiene un sistema de compliance penal operativo está en mejor posición para implementar un programa de datos, porque los roles de supervisión interna ya existen.
El canal de denuncias que exige la normativa de compliance penal puede, además, ser el mismo canal a través del cual los empleados ejercen derechos frente a la empresa como empleadora. Esta convergencia reduce costes de implantación y simplifica la arquitectura de cumplimiento.
La AEPD puede iniciar un procedimiento sancionador de oficio o a raíz de una reclamación del interesado cuya solicitud no fue atendida. La cuantía de la sanción depende de la gravedad, la intencionalidad, las medidas adoptadas para mitigar el daño y, de forma relevante, de si la empresa tenía implantado un sistema de cumplimiento previo.
En términos de reducción de responsabilidad, contar con un programa documentado de atención de derechos es el argumento de descargo más eficaz ante la AEPD. No elimina la infracción si se produjo, pero acredita la diligencia del responsable y puede reducir significativamente la sanción.
El coste de implantar el procedimiento de forma anticipada es, en nuestra experiencia, notablemente inferior al coste de gestionar un expediente sancionador. Esto incluye el tiempo de los equipos internos, los honorarios de representación ante la AEPD y, en los casos más graves, el impacto reputacional.
¿Cuándo es el momento adecuado para implantar o revisar el procedimiento? La respuesta no depende del tamaño de la empresa sino de si trata datos personales de empleados, clientes o proveedores. Toda empresa que trata datos – lo que incluye prácticamente a todas – debe tener un procedimiento operativo en funcionamiento. Las empresas en proceso de transformación digital, fusión o apertura de nuevos mercados deben revisarlo específicamente porque los flujos de datos cambian y el procedimiento existente puede quedar obsoleto.
El asesoramiento temprano permite, además, diseñar el procedimiento de forma integrada con los sistemas tecnológicos de la empresa. Implantar un módulo de gestión de solicitudes en el sistema de recursos humanos o en el CRM es más sencillo y económico en la fase de diseño que a posteriori, cuando los sistemas ya están operativos y modificarlos implica costes de desarrollo adicionales.
Si su empresa ha recibido recientemente su primera solicitud de ejercicio de derechos, o si sabe que trata datos pero nunca ha diseñado este procedimiento, le recomendamos actuar antes de que llegue la segunda solicitud. El plazo no espera.
A modo de referencia, un programa mínimo para la atención de derechos en una empresa debe incluir los siguientes elementos. No es una lista exhaustiva, pero cubre los vectores de riesgo más frecuentes en los expedientes de la AEPD.
La gestión eficaz de estos elementos no requiere grandes recursos, pero sí requiere que alguien dentro de la organización sea el responsable operativo. En empresas sin Delegado de Protección de Datos obligatorio, ese rol debe asignarse explícitamente a una persona con autoridad suficiente para obtener información de todos los departamentos.
La atención de derechos es una de las obligaciones centrales de cualquier programa de cumplimiento en materia de datos. Está directamente conectada con la práctica de protección de datos y compliance de Velarde & Vidal, donde asesoramos sobre el diseño completo del programa, desde el registro de tratamientos hasta la gestión de brechas. Asimismo, cuando los datos se tratan a través de proveedores externos, la regulación de esa relación a través de los contratos de encargado de tratamiento es un elemento indispensable para garantizar que la solicitud de supresión o acceso puede ejecutarse en toda la cadena de tratamiento. Si gestiona además un canal interno de denuncias, puede consultar las preguntas frecuentes sobre canal de denuncias en entornos tecnológicos, donde tratamos la convergencia entre el canal y el sistema de gestión de derechos.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.