Establecer un proceso para los derechos de los interesados (acceso, supresión, oposición)

Clientes, visitantes del sitio web, candidatos o antiguos socios comerciales pueden solicitar en cualquier momento información sobre sus datos almacenados o exigir su supresión. Para que una solicitud así no se convierta en un estrés improvisado, las empresas necesitan un procedimiento sólido y repetible.

En resumen: Los arts. 12 a 22 RGPD otorgan a los interesados derechos de acceso, rectificación, supresión, limitación, portabilidad de los datos y oposición. Las empresas deben responder a las solicitudes, en principio, de forma gratuita y en el plazo de un mes. Quien no cumpla esta obligación, o la cumpla con retraso, se arriesga a reclamaciones ante la autoridad de control y a multas de hasta 20 M€ o el 4 % de la facturación anual mundial.

¿Qué derechos tienen los interesados según el RGPD?

Los interesados tienen frente a cualquier empresa que trate sus datos personales seis derechos centrales derivados de los arts. 12 a 22 RGPD. Entre ellos se encuentran el derecho de acceso para saber qué datos se tratan, el derecho de rectificación de datos erróneos, el derecho de supresión, el derecho a la limitación del tratamiento, el derecho a la portabilidad de los datos y el derecho de oposición a determinados tratamientos. Estos derechos se aplican con independencia de que se trate de clientes, visitantes del sitio web, candidatos u otros interesados, y con independencia de que exista actualmente una relación comercial. Para su empresa esto significa que toda solicitud entrante relativa a alguno de estos derechos debe reconocerse, asignarse al departamento correcto y responderse dentro de plazo, sea cual sea el canal por el que llegue.

¿Cómo establecer el proceso para las solicitudes de los interesados?

Un proceso sólido para los derechos de los interesados consta de cinco elementos, que van desde la primera solicitud hasta la resolución documentada. Es importante que el procedimiento no dependa de una sola persona que lo lleve en la cabeza, sino que esté definido de modo que funcione también en caso de vacaciones, enfermedad o cambio de personal.

1. Definir un punto central de entrada y la responsabilidad para las solicitudes de los interesados.
2. Definir la verificación de la identidad del solicitante (sin recogida adicional innecesaria de datos).
3. Definir para cada derecho (acceso, supresión, oposición…) un procedimiento estándar con control de plazos.
4. Garantizar respuestas en el plazo de un mes; prórroga solo de forma motivada y por dos meses.
5. Documentar las solicitudes y su resolución de forma a prueba de auditoría.

La solicitud de acceso conforme al art. 15 es, en la práctica, la más frecuente: una plantilla preparada para la carta de respuesta y la derivación interna ahorra un tiempo valioso llegado el caso y evita que el plazo transcurra sin que nadie lo advierta. Si su empresa ya está suficientemente preparada para este tipo de solicitudes o en qué puntos el procedimiento aún presenta lagunas puede comprobarse de forma estructurada en el marco de un Company Audit.

¿Qué plazo se aplica para la respuesta?

Para responder a las solicitudes de los interesados se aplica, en principio, un plazo de un mes. Este plazo de un mes corre desde la recepción de la solicitud en su empresa, y no solo desde que el departamento competente la conoce internamente: si una solicitud llega primero al buzón general de clientes y solo más tarde se deriva al departamento correcto, el plazo ya está corriendo igualmente. Solo en casos motivados, por ejemplo en solicitudes especialmente complejas o numerosas, puede prorrogarse el plazo por dos meses más. Las solicitudes deben tramitarse, en principio, de forma gratuita; por eso el control de plazos debería estar firmemente anclado en el proceso.

¿Qué amenaza en caso de infracción de los derechos de los interesados?

Quien no cumpla los derechos de los interesados, o los cumpla con retraso, se arriesga en primer lugar a una reclamación del interesado ante la autoridad de control competente. De una reclamación así puede surgir un procedimiento formal de revisión, al final del cual pueden imponerse multas de hasta 20 M€ o el 4 % de la facturación anual mundial. Además del riesgo económico, una gestión mal organizada de las solicitudes de los interesados afecta también a la confianza de clientes y socios comerciales en cuanto una solicitud queda sin respuesta o se demora innecesariamente. Un proceso bien documentado, con responsabilidad clara y control de plazos, reduce considerablemente este riesgo, porque cada solicitud puede tramitarse, en caso de duda, dentro de plazo y de forma demostrable.

Preguntas frecuentes

¿Quién puede presentar una solicitud de acceso, supresión u oposición?

En principio, cualquier interesado cuyos datos personales trate su empresa, es decir, clientes, visitantes del sitio web, candidatos o antiguos socios comerciales. Los derechos de los arts. 12 a 22 RGPD les corresponden con independencia de una relación comercial existente; también antiguos clientes o candidatos rechazados pueden, por tanto, presentar una solicitud.

¿Cuesta algo tramitar una solicitud de un interesado?

No, las solicitudes deben tramitarse, en principio, de forma gratuita. El esfuerzo interno de comprobación, búsqueda y respuesta corre a cargo de la empresa y se limita mejor mediante un procedimiento estandarizado y repetible.

¿Desde cuándo corre el plazo de un mes?

El plazo comienza con la recepción de la solicitud en su empresa, y no solo cuando el departamento competente se entera internamente. Por eso es importante un punto central de entrada para las solicitudes de los interesados, para que no se pierda tiempo en la derivación interna.

¿Debo comprobar la identidad del solicitante?

Sí, una comprobación de identidad forma parte de un proceso sólido, aunque sin recoger para ello datos adicionales innecesarios. El esfuerzo de comprobación debería ajustarse a la sensibilidad de los datos solicitados, para no gravar innecesariamente a los interesados ni responder a la ligera a solicitudes de personas no autorizadas.

¿Qué ocurre si una solicitud no se responde dentro de plazo?

El interesado puede dirigirse mediante una reclamación a la autoridad de control competente. Esto puede dar lugar a un procedimiento de revisión y, en su desarrollo posterior, a multas de hasta 20 M€ o el 4 % de la facturación anual mundial, por lo que es importante una documentación a prueba de auditoría de todas las solicitudes y respuestas.

Fuente: arts. 12 a 22 RGPD. Este artículo es información general y no sustituye el asesoramiento jurídico en cada caso concreto. Fecha: julio de 2026.