Cómo solicitar tus datos personales a una empresa (RGPD)

Los derechos ARCO+: qué son y cuándo usarlos

El RGPD establece un conjunto de derechos del interesado que se agrupan bajo la denominación ARCO+ (Acceso, Rectificación, Cancelación u Oposición, más los derechos ampliados incorporados en 2018):

• Derecho de acceso: saber qué datos personales tuyos trata la empresa, con qué finalidad, durante cuánto tiempo y a quién se los ha comunicado.
• Derecho de rectificación: corregir datos inexactos o desactualizados (por ejemplo, tu dirección, teléfono o datos bancarios incorrectos).
• Derecho de supresión (derecho al olvido): que la empresa borre tus datos cuando ya no son necesarios para la finalidad para la que fueron recogidos, o cuando has retirado el consentimiento.
• Derecho de oposición: impedir que la empresa use tus datos para determinadas finalidades, especialmente marketing directo o toma de decisiones automatizada.
• Derecho de limitación del tratamiento: pedir que la empresa pause el tratamiento de tus datos mientras se resuelve una disputa sobre su exactitud o sobre la base legal del tratamiento.
• Derecho a la portabilidad: recibir tus datos en un formato estructurado, de uso común y legible por máquina, para transmitirlos a otro responsable del tratamiento.

Cómo ejercer el derecho de acceso

El derecho de acceso es el punto de partida: antes de pedir que borren o rectifiquen datos, es útil saber exactamente qué tiene la empresa. Para ejercerlo:

• Identifica al responsable del tratamiento: es la empresa u organización que ha recogido tus datos. Su nombre y datos de contacto deben figurar en la política de privacidad de su web o en el contrato que firmaste.
• Envía la solicitud por un canal que deje constancia: email con acuse de recibo, formulario web (con captura de pantalla del resultado) o carta certificada. La empresa puede tener un formulario específico para ejercicio de derechos.
• Incluye en la solicitud: nombre completo, copia de tu DNI (o documento de identidad), derecho que ejerces y, opcionalmente, el detalle de qué tratamiento concreto te interesa.
• La empresa tiene un mes para responder. Si amplían el plazo (hasta 3 meses en total), deben notificártelo antes de que venza el primer mes.

Derecho de rectificación: corregir datos incorrectos

Si la empresa tiene datos incorrectos o desactualizados sobre ti, puedes ejercer el derecho de rectificación. La solicitud debe ser concreta: indica exactamente qué dato es incorrecto y cuál es el dato correcto, aportando documentación si es necesario (por ejemplo, justificante de cambio de domicilio, certificado de matrimonio para cambio de apellido, etc.).

La empresa también debe informar de la rectificación a todos los terceros a quienes haya comunicado esos datos, a menos que sea imposible o exija un esfuerzo desproporcionado.

Derecho de supresión: cuándo es posible y cuándo no

Puedes solicitar la supresión de tus datos cuando:

• Ya no son necesarios para la finalidad para la que fueron recogidos.
• Has retirado el consentimiento que constituía la base legal del tratamiento.
• Los datos se tratan de forma ilícita.
• Deben suprimirse para el cumplimiento de una obligación legal.

La supresión puede ser denegada legítimamente cuando:

• El tratamiento es necesario para el cumplimiento de una obligación legal (por ejemplo, la empresa debe conservar facturas 5 años por la normativa fiscal).
• Los datos son necesarios para la formulación, ejercicio o defensa de reclamaciones judiciales.

Plazos de respuesta y qué hacer si no responden

Si la empresa no responde en el plazo de un mes (o en el plazo ampliado notificado), o si su respuesta es insatisfactoria o incorrecta, puedes:

• Reclamación ante la AEPD: presenta una reclamación gratuita ante la Agencia Española de Protección de Datos (aepd.es). La AEPD abrirá un expediente y puede sancionar a la empresa con multas de hasta 20 millones de euros o el 4% de la facturación global anual del grupo.
• Acción judicial: puedes también ejercer una acción judicial directamente ante los tribunales civiles o acudir al procedimiento abreviado de tutela de derechos fundamentales.

La AEPD es la vía más eficaz y accesible en la práctica, ya que el procedimiento es gratuito, online y no requiere abogado en la fase de reclamación inicial.

Casos especiales: datos en redes sociales y buscadores

El RGPD también aplica a datos que aparecen en redes sociales y en los resultados de buscadores como Google:

• Google y otros buscadores: puedes ejercer el derecho al olvido directamente ante el motor de búsqueda para que desindexen URLs con información personal desactualizada, irrelevante o cuya publicación fue incorrecta. Google tiene un formulario específico para estas solicitudes.
• Redes sociales: cada plataforma tiene sus propios formularios de ejercicio de derechos. Si no responden, la AEPD puede intervenir si la plataforma tiene presencia en la UE o trata datos de ciudadanos europeos.

Preguntas frecuentes

¿Cuánto tiempo tiene la empresa para responder a mi solicitud RGPD?

Un mes desde la recepción de la solicitud. En casos complejos, pueden ampliarlo dos meses más, pero deben notificártelo antes de que venza el primer mes.

¿Puede la empresa cobrarme por responder a mi solicitud de datos?

En general, no. El ejercicio de derechos RGPD es gratuito. Solo puede cobrar una tarifa razonable si las solicitudes son repetitivas, infundadas o excesivas.

¿Qué diferencia hay entre el derecho de acceso y el derecho de supresión?

El acceso te permite saber qué datos tiene la empresa. La supresión te permite pedir que los borren cuando ya no son necesarios o has retirado el consentimiento.

¿Qué hago si la empresa no responde en el plazo?

Presenta una reclamación gratuita ante la Agencia Española de Protección de Datos (AEPD) a través de su sede electrónica. La AEPD tiene potestad sancionadora.