Cómo crear un protocolo de ejercicio de derechos RGPD

Una solicitud de acceso, supresión o rectificación no debe acabar en el correo genérico de la empresa sin que nadie sepa quién responde. Crear un protocolo de ejercicio de derechos RGPD permite atender estas peticiones con orden, dentro de plazo y dejando pruebas de que la organización ha actuado correctamente. Para una pyme, un autónomo o una asociación, no es burocracia innecesaria: es una medida concreta para evitar reclamaciones, conflictos con clientes y sanciones.

El Reglamento General de Protección de Datos reconoce a las personas un control efectivo sobre su información. Cuando un cliente, trabajador, proveedor, socio o usuario pide ejercer uno de sus derechos, la empresa debe saber identificar la petición, comprobar quién la formula, analizarla y contestar de forma comprensible. Improvisar suele llevar a dos fallos costosos: no responder a tiempo o entregar datos a quien no corresponde.

Qué debe cubrir un protocolo de ejercicio de derechos RGPD

El protocolo es el documento interno que establece cómo recibe, gestiona, resuelve y acredita la empresa las solicitudes vinculadas a los derechos de protección de datos. Debe ser coherente con los tratamientos reales de la organización: clientes, personal, videovigilancia, formularios web, facturación, selección de candidatos, comunicaciones comerciales o proveedores.

No basta con indicar en la política de privacidad que las personas pueden dirigirse a un correo electrónico. Hay que definir qué sucede desde que llega la solicitud hasta que se envía la respuesta. También debe quedar claro quién toma decisiones cuando la petición afecta a datos que se conservan por una obligación legal, a información de terceros o a sistemas gestionados por un proveedor tecnológico.

El RGPD regula, entre otros, los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento, portabilidad y el derecho a no ser objeto de decisiones individuales automatizadas. No todas las empresas aplicarán cada caso con la misma frecuencia, pero el procedimiento debe preverlos todos. Un comercio puede recibir una petición de baja comercial; una comunidad de propietarios, una solicitud sobre imágenes de videovigilancia; una empresa con plantilla, peticiones relativas a expedientes laborales.

Paso 1: defina canales visibles y una entrada única

La persona interesada debe poder presentar su solicitud sin obstáculos. El correo de contacto indicado en la información de privacidad suele ser el canal más práctico, aunque también pueden admitirse formularios, atención presencial o correo postal. Lo relevante es que todos los canales terminen en un punto de control único.

Designe una dirección de correo, una persona responsable o un departamento que registre inmediatamente las solicitudes. Si hay delegado de protección de datos, este debe participar conforme a sus funciones de asesoramiento y supervisión, pero la responsabilidad de responder sigue siendo de la empresa responsable del tratamiento.

Evite exigir formularios complejos o condiciones que no aparecen en la normativa. Puede facilitar un modelo para ordenar la información, pero no convertirlo en una barrera. Si la petición llega por redes sociales o a un empleado, el protocolo debe obligar a remitirla al canal designado el mismo día.

Paso 2: registre cada solicitud y controle el plazo

El plazo general de respuesta es de un mes desde la recepción de la solicitud. Si la petición es especialmente compleja o concurren varias solicitudes de la misma persona, puede ampliarse hasta dos meses adicionales. Esa ampliación no se comunica al final: hay que informar a la persona interesada dentro del primer mes, explicando los motivos.

El registro interno es una de las piezas más valiosas del protocolo. Permite demostrar diligencia ante una reclamación y evita que una petición quede olvidada en una bandeja de entrada. Debe reflejar, como mínimo, la fecha de recepción, identidad del solicitante, derecho invocado, sistemas o áreas afectadas, responsable de gestión, actuaciones realizadas, fecha de respuesta y resultado.

No es necesario crear una herramienta costosa para ello. Una pyme puede utilizar un registro interno seguro y con accesos limitados. Lo que no es aceptable es gestionar solicitudes de forma verbal o sin ninguna evidencia documental.

Paso 3: verifique la identidad sin recopilar más datos de los necesarios

Antes de facilitar información personal o suprimir datos, hay que confirmar que quien solicita el derecho es realmente el interesado o una persona autorizada. Este punto exige equilibrio. Una identificación insuficiente puede provocar una brecha de datos; pedir siempre una copia completa del DNI, aunque no exista duda razonable, supone recoger información excesiva.

El protocolo debe indicar qué comprobación procede según el canal y el riesgo. Si la solicitud se realiza desde un área privada ya autenticada, quizá sea suficiente. Si llega desde una dirección de correo que no permite relacionarla con el interesado, puede pedirse información adicional proporcionada. Cuando actúe un representante, debe acreditarse la representación.

La solicitud no empieza a tramitarse a ciegas, pero tampoco puede bloquearse con exigencias desproporcionadas. Documentar por qué se pidió información adicional protege a la empresa si surge una controversia.

Paso 4: localice los datos y analice los límites aplicables

Responder bien no consiste en pulsar un botón. La persona responsable debe consultar las áreas implicadas y los encargados del tratamiento cuando corresponda: programa de facturación, gestoría laboral, plataforma de correo, alojamiento web, sistema de videovigilancia o proveedor de gestión comercial.

Por eso el protocolo debe incluir un mapa de interlocutores internos y externos, con instrucciones claras para que colaboren con rapidez. Si un proveedor trata datos por cuenta de la empresa, el contrato de encargo debe prever su apoyo para atender derechos. De lo contrario, el plazo de un mes puede vencer mientras cada parte espera instrucciones de la otra.

Además, hay que valorar las excepciones. El derecho de supresión no obliga a borrar datos que deban mantenerse por una obligación fiscal, laboral, mercantil o para formular, ejercer o defender reclamaciones. En esos casos, puede proceder bloquear o restringir el uso de la información para la finalidad que justifica su conservación. El derecho de acceso tampoco permite entregar datos personales de terceros sin aplicar las medidas necesarias para protegerlos.

Paso 5: responda con claridad y entregue solo lo que proceda

La respuesta debe ser concisa, comprensible y adaptada a la solicitud. Si se estima un derecho de acceso, explique qué datos se tratan, con qué finalidades, de dónde proceden, a quién se comunican, cuánto tiempo se conservan y cuáles son los derechos disponibles. Cuando se facilite una copia, revise antes que no incluya datos de otras personas ni información ajena a la petición.

Si se rectifican, eliminan o limitan datos, deje constancia de las operaciones realizadas y comunique el cambio a los destinatarios cuando sea exigible. Si el derecho no puede atenderse total o parcialmente, la respuesta debe explicar el motivo jurídico de forma concreta, no con una frase genérica. También debe informar de la posibilidad de reclamar ante la autoridad de control y de acudir a la vía judicial.

Con carácter general, la gestión es gratuita. Solo ante solicitudes manifiestamente infundadas o excesivas, especialmente por su carácter repetitivo, el RGPD permite cobrar un canon razonable o negarse a actuar. Es una excepción que debe analizarse y justificarse con prudencia, no una fórmula para desincentivar peticiones legítimas.

Responsables, formación y revisión: donde suelen aparecer los fallos

Un buen documento pierde valor si nadie sabe aplicarlo. La dirección debe designar responsables operativos y suplentes, fijar qué áreas intervienen y establecer una vía de escalado para casos sensibles. Recursos humanos, administración, atención al cliente y quienes gestionan la web o las cámaras deben saber reconocer una solicitud de derechos aunque el interesado no utilice términos jurídicos.

Conviene formar al personal con ejemplos reales. “Quiero que borren mis datos”, “no me envíen más publicidad” o “díganme qué información tienen sobre mí” son peticiones que activan el procedimiento. La formación evita respuestas informales, retrasos y mensajes contradictorios.

Revise el protocolo cuando cambien los tratamientos, se implante un nuevo programa, se contrate a un proveedor relevante o se produzca una incidencia. También es recomendable hacer una prueba interna anual: simular una solicitud de acceso permite detectar si el registro, los plazos y la localización de datos funcionan de verdad.

Cuándo conviene pedir apoyo especializado

Las organizaciones con múltiples bases de datos, videovigilancia, campañas comerciales, personal o tratamientos especialmente sensibles necesitan un análisis más detallado. El protocolo debe integrarse con el registro de actividades de tratamiento, las cláusulas informativas, los contratos con encargados y, cuando proceda, la función del delegado de protección de datos.

Consultoría Rosario Polo ayuda a adaptar este procedimiento a la operativa real de cada negocio, evitando documentos estándar que no sirven cuando llega una solicitud concreta. El objetivo es que la empresa tenga criterios claros, plantillas de respuesta y evidencias suficientes para actuar con seguridad.

La próxima solicitud no tiene por qué convertirse en un problema. Si su empresa puede identificarla, registrarla y responderla dentro de plazo, habrá transformado una obligación legal en una prueba visible de profesionalidad y respeto hacia las personas cuyos datos gestiona.