Tabla de contenidos
Una solicitud de acceso rara vez llega anunciada y casi nunca como formulario. Llega por correo, a veces como una frase en el mostrador, y desde ese momento corre un plazo
El art. 15 del RGPD da a cualquier persona el derecho a saber si tratas datos suyos y cuáles. La solicitud no tiene forma obligatoria, no necesita motivación y no tiene por qué contener la palabra «acceso». También «¿qué tenéis guardado sobre mí?» es una solicitud, si va en serio.
El trabajo que hay detrás depende menos del derecho que de tu archivo. La lista de lo que hay que incluir es abarcable y se prepara en una hora, si sabes dónde están los datos. Si están en cuatro sistemas, esa hora se convierte en un fin de semana. Este artículo describe el procedimiento; es una orientación, y sobre los casos discutidos deciden la Agencia Española de Protección de Datos o un asesoramiento jurídico.
1. Qué entra en la respuesta
El art. 15.1 exige dos cosas que se confunden a menudo. Primera, la confirmación de si se están tratando datos. Segunda, si es que sí, el acceso a esos datos y a ocho informaciones sobre el propio tratamiento:
- los fines del tratamiento,
- las categorías de datos tratados,
- los destinatarios o categorías de destinatarios, incluidos los de terceros países,
- el plazo previsto de conservación o, si no es posible, los criterios para determinarlo,
- la existencia de los derechos de rectificación, supresión, limitación y oposición,
- el derecho a presentar una reclamación ante una autoridad de control,
- el origen de los datos, si no los obtuviste de la propia persona,
- si existe decisión automatizada, incluida la elaboración de perfiles.
Los siete primeros son iguales para todas las solicitudes en un negocio pequeño: se escriben una vez y se reutilizan. Solo los datos en sí cambian de una persona a otra. Justo por eso compensa una plantilla: la parte fija es la mayor.
A eso se suma el art. 15.3: facilitas una copia de los datos objeto de tratamiento. Si la solicitud llega por vía electrónica, entregas la información en un formato electrónico de uso común, salvo que se pida otra cosa. Por copias adicionales puedes cobrar un canon razonable basado en los costes administrativos; por la primera, no.
Dar acceso no es una tarea jurídica, sino una cuestión de archivo.
2. El reloj: un mes, prorrogable en dos
El art. 12.3 fija el plazo: sin dilación indebida y, en cualquier caso, en el plazo de un mes desde la recepción de la solicitud. El mes corre desde que entra, no desde el día en que la reconociste como tal: buen motivo para no dejar semanas sin abrir el correo de la dirección general.
El plazo puede prorrogarse otros dos meses si es necesario por la complejidad y el número de solicitudes. Esa prórroga no ocurre sola: tienes que informar de ella dentro del primer mes e indicar los motivos del retraso. Quien comunica la prórroga en el tercer mes no ha prorrogado el plazo, lo ha incumplido.
Si no vas a atender una solicitud, el asunto no termina en silencio. El art. 12.4 exige informar sin dilación, a más tardar en un mes, de los motivos y de dos vías: la reclamación ante una autoridad de control y la tutela judicial. Siempre hay respuesta, también la denegatoria.
El acceso es gratuito conforme al art. 12.5. Solo ante solicitudes manifiestamente infundadas o excesivas —en particular por repetitivas— puedes cobrar un canon razonable o negarte a actuar, y la carga de demostrarlo es tuya. La segunda solicitud de la misma persona medio año después todavía no es excesiva.
3. ¿Quién pregunta exactamente?
El acceso se entrega a la persona interesada y a nadie más. Un acceso dado a la persona equivocada es en sí mismo una violación de datos, y además una que has causado tú. Por eso la comprobación de identidad va antes que la respuesta.
El art. 12.6 te permite pedir información adicional para confirmar la identidad cuando tengas dudas razonables. El considerando 64 añade que hay que usar todas las medidas razonables, en particular en servicios en línea. Dos límites importan:
- Las dudas tienen que ser razonables. Si la solicitud llega desde la dirección de correo que lleva años en tu fichero, por regla general no hay motivo para exigir un documento de identidad.
- La comprobación no puede volverse recogida de datos. El considerando 64 dice expresamente que no deben conservarse datos solo para poder atender posibles solicitudes. Una copia del DNI que te quedas después invierte la finalidad de la norma.
En la práctica funciona algo sencillo: responde por el canal por el que esa persona te consta. Si la solicitud viene de una dirección desconocida, pregunta de vuelta por el teléfono o el domicilio que tengas registrados. No es una traba y se explica en una frase.
Si alguien pregunta por otra persona —familiares, un despacho de abogados, una tutela—, necesitas acreditación de la representación. Sin ella no respondes denegando, sino preguntando, y el plazo sigue corriendo.
Artículos relacionados
4. Qué no entra en la respuesta
El fallo más frecuente no es el acceso escaso, sino el demasiado generoso. El art. 15.4 dice que el derecho a obtener copia no afectará negativamente a los derechos y libertades de otros. De ahí sale una lista de excepciones que repasas antes de enviar.
| Caso | Qué haces |
|---|---|
| Cita compartida con una segunda persona | entregar los datos propios y ocultar el nombre de la segunda |
| Nota interna sobre una persona del equipo | el contenido relativo a quien pregunta sí, la valoración de personal no |
| Hilo de correo con terceros en copia | eliminar las direcciones de terceros |
| Recomendación hecha por otra persona | indicar el origen hasta donde se pueda, y anotar la ponderación |
Importa la dirección de la excepción: no te permite denegar el acceso entero porque en algún sitio aparezca un nombre ajeno. Te permite retener el punto que afecta a derechos de terceros. El resto sale.
Y algo más que no entra: la justificación. El art. 12.1 exige una forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. Un acceso que empieza con tres párrafos sobre por qué la conservación es necesaria cumple eso peor que una relación escueta.
5. Cuatro sistemas, una respuesta
Vamos con el trabajo de verdad. El acceso abarca todos los datos que tratas sobre esa persona, no los de un sistema. En un negocio pequeño típico están en al menos cuatro sitios: la agenda, el fichero de clientes, las facturas y la comunicación, es decir, correos y mensajes.
A eso se suman los sitios callados: la hoja de la newsletter, el formulario de la web, la herramienta de reservas, el programa de facturación de la gestoría, el cuaderno de recepción. Cada uno por separado es inofensivo. Juntos plantean la pregunta que hace penoso un acceso: ¿sabes con seguridad que no te has dejado ninguno?
Ahí está el motivo más honesto para llevar citas, fichero y facturas en un mismo sistema: no el ahorro de tiempo diario, sino que esa pregunta tenga respuesta. Donde todo está en un sitio, el acceso es una exportación. Donde está repartido, es una búsqueda de final incierto. Para un salón lo enseña el software para salones, y para un taller el software de taller.
Al margen de la herramienta ayuda una lista que escribas antes: una línea por lugar donde hay datos de clientes, con una palabra sobre cómo se busca allí. Esa misma lista responde después a la pregunta de qué se traslada de verdad al cambiar de software. Y es casi idéntica al registro del art. 30 del RGPD, así que no la escribes dos veces.
El procedimiento es corto: reconocer la solicitud, anotar la entrada, comprobar la identidad, repasar todos los lugares, quitar datos ajenos y responder en lenguaje claro, dentro de un mes y, si hace falta, con prórroga motivada de dos. La preparación que marca la diferencia es la lista de lugares. Qué datos pueden estar ahí lo aclara Qué datos de clientes puedes guardar; qué pasa después con ellos, la política de supresión en una página.
Datos de clientes en un sitio, no en cuatro listas
Con todo en un sistema, atender una solicitud lleva minutos y se borra lo que debe borrarse. Alojado en Alemania.
