Tarde o temprano, si tratas datos personales, recibirás una solicitud de derecho de acceso. No hace falta que te pille por sorpresa: con un procedimiento claro, atenderla correctamente es sencillo.
Paso 1: verifica la identidad del solicitante
Antes de entregar cualquier dato, asegúrate de que quien pregunta es realmente la persona titular de esos datos. Lo más sencillo suele ser verificarlo a través de un correo electrónico o una cuenta ya conocidos y asociados a esa persona.
Paso 2: localiza todos los datos relevantes
Revisa todos los sistemas donde puedas tener información sobre esa persona: tu CRM, tu bandeja de correo, tu sistema de facturación, tus copias de seguridad. Una solicitud de acceso cubre todos los datos, no solo los más evidentes.
Paso 3: prepara un resumen claro
No basta con enviar un volcado de datos en bruto. Acompaña la copia de los datos con información sobre la finalidad del tratamiento, los destinatarios a los que se han comunicado, el plazo de conservación previsto y el origen de los datos, si no se obtuvieron directamente de la persona.
Paso 4: responde dentro de plazo
Tienes un mes desde la recepción de la solicitud para responder. Si el caso es complejo, puedes ampliar el plazo dos meses más, pero debes comunicarlo dentro del primer mes, explicando el motivo de la ampliación.
Paso 5: documenta la gestión
Guarda un registro de cuándo llegó la solicitud, qué información enviaste y en qué fecha. Este registro es tu mejor defensa si alguna vez la AEPD te pregunta cómo gestionaste la solicitud.
¿Qué pasa si no tienes datos de esa persona?
Aun así, debes responder confirmando que no tratas datos personales suyos. Ignorar la solicitud, incluso cuando la respuesta es negativa, es en sí mismo motivo de reclamación.
Prepárate con antelación
Ten preparada una plantilla de respuesta y una checklist interna de dónde buscar los datos. Así, cuando llegue una solicitud real, solo tendrás que seguir el proceso en lugar de improvisarlo.
Diferencia con otras solicitudes similares
No confundas el derecho de acceso con el derecho de portabilidad. El acceso te obliga a explicar qué datos tratas y por qué; la portabilidad, en cambio, exige entregar los datos en un formato estructurado y de uso común, para que la persona pueda trasladarlos a otro proveedor. Son derechos relacionados pero distintos, y conviene saber cuál se está ejerciendo antes de responder.
Cuando la solicitud es manifiestamente infundada
Si una misma persona repite la misma solicitud de acceso varias veces en poco tiempo sin motivo aparente, puedes considerarla excesiva y cobrar un coste razonable, o incluso negarte a atenderla, siempre documentando por qué llegas a esa conclusión.
Solicitudes recibidas por canales inesperados
Una solicitud de derecho de acceso es válida aunque llegue por un canal distinto al previsto, como un mensaje en redes sociales o un comentario en el blog. El plazo de un mes empieza a contar desde que la recibes, no desde que decides que es un canal apropiado, así que conviene tener un proceso interno para detectar estas solicitudes lleguen por donde lleguen.
Formar al equipo que atiende al público
Si varias personas gestionan la atención al cliente, todas deberían saber reconocer una solicitud de derecho de acceso aunque no use ese término exacto. Frases como «quiero saber qué datos tenéis de mí» son solicitudes de acceso válidas, aunque la persona nunca mencione el RGPD ni el nombre formal del derecho.
Sigue explorando
Términos relacionados: Derecho de acceso, Derecho de rectificación, Derecho de supresión.
Más artículos: RGPD para sitios web: guía completa con ejemplos prácticos, Derecho de oposición: qué es y cuándo puedes ejercerlo.
Más ejemplos: ejemplos por tipo de sitio web.
Fuente oficial: AEPD: conoce tus derechos.