Cómo atender derechos de acceso sin cometer errores

Una solicitud de acceso no es un correo más que puede quedarse en la bandeja de entrada. Cuando un cliente, trabajador, proveedor o usuario pide conocer qué datos personales trata su empresa, se activa una obligación concreta del RGPD. No responder, hacerlo tarde o entregar información incompleta puede acabar en reclamaciones ante la Agencia Española de Protección de Datos y, en determinados casos, en sanciones.

Saber cómo atender derechos de acceso permite proteger a la organización, reducir carga administrativa y demostrar que el cumplimiento de protección de datos funciona también en la práctica. El objetivo no es entregar documentos sin revisar, sino ofrecer una respuesta clara, completa y segura dentro del plazo legal.

Qué es el derecho de acceso y qué debe entregar la empresa

El derecho de acceso está regulado en el artículo 15 del Reglamento General de Protección de Datos. Permite a una persona confirmar si una organización trata sus datos personales y, cuando la respuesta es afirmativa, obtener acceso a esos datos y a determinada información sobre el tratamiento.

Por tanto, la respuesta no se limita a decir «sí, tenemos sus datos». La empresa debe facilitar una copia de los datos objeto de tratamiento y explicar, de forma comprensible, para qué los utiliza, qué categorías de datos trata, quién puede recibirlos, cuánto tiempo se conservarán o con qué criterio se fija ese plazo, y de dónde proceden cuando no se obtuvieron directamente del interesado.

También deben indicarse los derechos que puede ejercer la persona, incluida la posibilidad de reclamar ante la autoridad de control. Si existen transferencias internacionales, decisiones automatizadas o elaboración de perfiles con efectos relevantes, esta información debe aparecer igualmente en la respuesta.

El contenido concreto depende del caso. Una academia, por ejemplo, puede tratar datos identificativos, matrícula, asistencia y comunicaciones. Una empresa con plantilla tendrá además información laboral, registros de formación o datos vinculados a la prevención de riesgos. Contestar bien exige localizar los datos reales que se están tratando, no copiar una respuesta genérica.

Cómo atender derechos de acceso paso a paso

Registre la solicitud desde el primer momento

La solicitud puede llegar por correo electrónico, formulario web, carta, presencialmente o incluso a través de redes sociales si la empresa utiliza ese canal para comunicarse. No es obligatorio que la persona cite el RGPD ni que emplee una fórmula jurídica determinada. Si manifiesta de forma clara que quiere saber qué datos tiene la entidad sobre ella, debe tratarse como una petición de acceso.

Registre la fecha de recepción, el canal utilizado, la identidad declarada del solicitante y el responsable interno que gestionará el expediente. Este control sencillo evita que la petición se pierda entre departamentos y permite acreditar la diligencia de la empresa si surge una reclamación.

Compruebe la identidad sin pedir información excesiva

La organización debe asegurarse de que responde a la persona correcta. Sin embargo, esta comprobación debe ser proporcional. Si la solicitud llega desde el correo electrónico que la persona ya tiene vinculado a su cuenta o contrato, normalmente bastará con esa verificación. Exigir una copia del DNI de forma automática puede ser excesivo y generar un nuevo riesgo de privacidad.

Cuando existan dudas razonables, solicite solo la información adicional imprescindible para confirmar la identidad. Si actúa un representante, será necesario comprobar su representación. En una comunidad de propietarios o una asociación, este punto resulta especialmente sensible: los datos de un vecino, socio o empleado no pueden entregarse a un tercero por una simple petición verbal.

Localice todos los tratamientos implicados

Aquí se producen muchos errores. Los datos personales no están únicamente en el programa de facturación. Pueden figurar en el CRM, cuentas de correo, expedientes en papel, sistemas de videovigilancia, plataformas de formación, archivos de selección de personal o aplicaciones de gestión laboral.

La empresa debe tener identificado qué tratamientos realiza y quién interviene en ellos. Si un proveedor trata datos por cuenta de la organización, como una asesoría, una empresa de software o un servicio de alojamiento, conviene establecer un procedimiento para que facilite la información necesaria sin retrasar la respuesta al interesado.

No se trata de revisar indiscriminadamente cada documento de la empresa. Hay que aplicar un criterio razonable, documentar las búsquedas realizadas y atender al alcance de la petición. Si el solicitante concreta un periodo, un servicio o una categoría de datos, esa delimitación puede hacer la gestión más ágil y precisa.

Prepare una respuesta comprensible y segura

La información debe facilitarse en un formato conciso, transparente y fácil de entender. Si la solicitud se presenta por medios electrónicos, lo habitual es responder por esa misma vía, siempre que sea seguro. Un archivo protegido con contraseña enviada por un canal distinto puede ser adecuado cuando contiene datos sensibles o un volumen elevado de información.

Antes de enviar una copia, revise que no incluya datos personales de terceras personas, secretos empresariales o información protegida por otros derechos. El derecho de acceso no permite entregar sin filtro correos internos completos, contratos de otros clientes ni expedientes de compañeros de trabajo. Cuando sea posible, deben anonimizarse o suprimirse los datos ajenos sin vaciar de contenido la respuesta.

La primera copia es gratuita. Solo en caso de solicitudes de copias adicionales puede cobrarse un canon razonable basado en los costes administrativos. Esta regla no justifica retrasar la atención ni imponer obstáculos al ejercicio del derecho.

Respete el plazo y deje evidencia

La respuesta debe emitirse, como regla general, en el plazo máximo de un mes desde la recepción de la solicitud. Si la petición es especialmente compleja o existen muchas solicitudes, el plazo puede ampliarse hasta dos meses adicionales. Pero la persona debe ser informada de esa prórroga y de sus motivos dentro del primer mes.

Conserve evidencia de la solicitud, las comprobaciones de identidad, las áreas consultadas, la información entregada y la fecha de respuesta. Este expediente es esencial para demostrar cumplimiento. Si la persona reclama, no basta con afirmar que se atendió su petición: debe poder acreditarse.

Cuándo puede limitarse o rechazarse una solicitud

El RGPD permite actuar frente a solicitudes manifiestamente infundadas o excesivas, especialmente cuando son repetitivas. En esas situaciones, la empresa puede cobrar un canon razonable o negarse a actuar. La carga de demostrar que la solicitud es abusiva recae sobre el responsable del tratamiento.

No conviene utilizar esta excepción como salida rápida ante una petición incómoda. Que un antiguo trabajador solicite acceso a sus datos después de un conflicto laboral no convierte automáticamente la petición en excesiva. Tampoco lo es una solicitud amplia si la empresa no ha organizado previamente sus tratamientos y localizarlos requiere trabajo.

Hay límites adicionales cuando la entrega afecta a derechos y libertades de otras personas, a deberes de confidencialidad o a información que no forma parte de los datos personales del solicitante. Cada caso requiere valoración. Una negativa total debe ser excepcional, estar razonada y comunicar la posibilidad de reclamar ante la AEPD.

Errores que elevan el riesgo de sanción

El error más habitual es ignorar la solicitud porque llega a un empleado que no sabe qué hacer. Por eso, recepción, administración, recursos humanos y atención al cliente deben conocer un circuito interno básico. Otra incidencia frecuente es responder con una política de privacidad estándar, sin aportar la copia de los datos ni la información concreta exigida por el artículo 15.

También genera problemas entregar demasiado. Remitir una exportación sin revisar puede revelar datos de terceros, notas internas irrelevantes o información que exige protección reforzada. La respuesta correcta equilibra transparencia y confidencialidad.

Por último, muchas empresas incumplen por falta de organización: no tienen inventario de tratamientos actualizado, desconocen qué proveedores intervienen o no conservan prueba de haber contestado. El derecho de acceso se atiende mucho mejor cuando la adaptación al RGPD no es solo un documento archivado, sino un sistema operativo con responsables, registros y procedimientos.

Un procedimiento preparado cuesta menos que una reclamación

Para autónomos y pymes, la gestión de estas solicitudes no tiene por qué ser complicada, pero sí debe estar definida antes de recibir la primera petición. Un protocolo claro, modelos de respuesta adaptados y una revisión de los tratamientos reales reducen errores, tiempos muertos y exposición a sanciones.

Consultoría Rosario Polo ayuda a empresas y profesionales a integrar la atención de derechos en su cumplimiento RGPD y LOPDGDD, con un enfoque práctico: identificar tratamientos, preparar procedimientos y acompañar la respuesta cuando aparece una solicitud real. No espere a que un correo urgente le obligue a improvisar. Ordenar hoy la gestión de datos es una forma directa de proteger su negocio mañana.