Qualsevol persona les dades de la qual tracti la teva empresa pot escriure't per accedir-hi, corregir-les, demanar que les esborris o negar-se a un ús concret. No és un tràmit opcional ni una cortesia: són drets reconeguts en el RGPD i la teva organització té l'obligació d'atendre'ls, per norma general en el termini d'un mes. Aquesta guia explica, un per un, què permet cada dret, quan s'aplica, quins límits té i com es respon a la pràctica des del costat de l'empresa.
És el detall operatiu de cada dret. Si busques una visió general de tots ells i de com encaixen en la relació entre l'interessat i la teva organització, comença per la guia de drets dels interessats davant de l'empresa.
En 15 segons
- Accés (art. 15): saber quines dades tens d'una persona i per a què les uses.
- Rectificació (art. 16): corregir dades inexactes o completar les incompletes.
- Supressió o «dret a l'oblit» (art. 17): esborrar les dades, tret d'excepcions legals.
- Oposició (art. 21): aturar un tractament concret; davant del màrqueting, sense condicions.
- Termini de resposta: un mes des de la recepció (art. 12), prorrogable dos mesos en casos complexos.
Dret d'accés (art. 15 RGPD)
El dret d'accés permet a qualsevol persona saber si la teva empresa tracta les seves dades i, en cas afirmatiu, obtenir-ne una còpia juntament amb informació sobre com les uses. És el punt de partida de la resta de drets: sense accés, l'interessat no pot saber si necessita rectificar, oposar-se o demanar la supressió.
Quan algú exerceix l'accés, la teva organització ha de facilitar-li una còpia de les seves dades personals i, a més, informar-lo de:
- Les finalitats del tractament i les categories de dades que gestiones sobre aquesta persona.
- Els destinataris als quals has comunicat o comunicaràs les seves dades, inclosos els d'altres països.
- El termini previst de conservació o els criteris per determinar-lo.
- L'existència de la resta de drets (rectificació, supressió, oposició, limitació) i del dret a reclamar davant l'autoritat de control.
- L'origen de les dades quan no s'hagin obtingut directament de l'interessat.
- L'existència, si escau, de decisions automatitzades, inclosa l'elaboració de perfils.
Límits del dret d'accés
La primera còpia és gratuïta. L'empresa pot cobrar un cànon raonable per còpies addicionals, basat en els costos administratius. Existeix a més un límit important: el dret a obtenir còpia no pot afectar negativament els drets i les llibertats de tercers (art. 15.4 RGPD). Si un document conté dades d'altres persones, es facilita de manera que es protegeixin aquestes dades alienes —per exemple, anonimitzant o separant la informació de tercers— en lloc de negar l'accés per complet.
Dret de rectificació (art. 16 RGPD)
El dret de rectificació permet a l'interessat corregir les dades inexactes que tinguis sobre ell i completar les que estiguin incompletes, fins i tot mitjançant una declaració addicional. És, probablement, el dret més senzill d'atendre i també un dels més freqüents: un canvi de domicili, un telèfon que ja no és correcte, un nom mal escrit.
Des del costat de l'empresa, atendre una rectificació ben feta implica dues coses. La primera, actualitzar la dada en tots els sistemes on figuri, no només al CRM principal: si la dada errònia s'ha replicat en un full de càlcul, en l'eina de facturació o en la plataforma d'email, la correcció ha d'arribar a tots. La segona, quan aquestes dades s'hagin comunicat a tercers, informar aquests destinataris de la rectificació, tret que resulti impossible o exigeixi un esforç desproporcionat.
Convé no confondre «rectificar» amb «el que el client prefereixi». La rectificació es refereix a dades objectivament inexactes. Una valoració interna, un històric d'incidències o una dada correcta que a l'interessat simplement no li agrada no es «rectifiquen»: per a aquests supòsits, la via pot ser l'oposició o la supressió, amb els seus propis requisits.
Dret de supressió o «dret a l'oblit» (art. 17 RGPD)
El dret de supressió —conegut popularment com a «dret a l'oblit»— permet a l'interessat demanar que s'eliminin les seves dades personals. És el dret que més malentesos genera, en les dues direccions: ni l'empresa està obligada a esborrar tot el que se li demani, ni pot negar-se en bloc a fer-ho.
Quan procedeix la supressió
L'art. 17 RGPD enumera els supòsits en què procedeix l'esborrat. Els més habituals en el dia a dia d'una empresa són:
- Les dades ja no són necessàries per als fins per als quals es van recollir.
- L'interessat retira el consentiment en què es basava el tractament i no existeix una altra base jurídica que l'empari.
- L'interessat s'oposa al tractament i no prevalen motius legítims per continuar-lo.
- Les dades s'han tractat de manera il·lícita.
- S'han de suprimir per complir una obligació legal.
Quan NO procedeix: els límits de l'oblit
Aquí hi ha la clau per a una empresa. L'art. 17.3 estableix que la supressió no procedeix quan el tractament és necessari, entre d'altres, per complir una obligació legal, per formular, exercir o defensar reclamacions, o per raons d'interès públic. El cas més quotidià és el de la conservació obligatòria: una empresa no pot esborrar les factures d'un client que ho sol·licita, perquè la normativa mercantil i fiscal l'obliga a conservar-les durant uns terminis determinats.
La resposta correcta, per tant, gairebé mai no és «ho esborro tot» ni «no esborro res». És un anàlisi dada per dada: se suprimeix el que ja no té base jurídica i es bloqueja el que s'hagi de conservar per llei —mantenint-ho a disposició només de jutges, tribunals o administracions durant el termini legal— per destruir-ho després de manera segura.
El «dret a l'oblit» té a més una vessant molt coneguda davant dels cercadors d'internet: la possibilitat de sol·licitar que certs resultats associats al nom d'una persona deixin d'aparèixer a les cerques. La LOPDGDD també recull de manera expressa el dret a l'oblit en cerques d'internet i en serveis de xarxes socials. És un àmbit diferent del de la supressió davant de la teva pròpia base de dades, però comparteix el mateix fonament de l'art. 17 RGPD.
"L'error més comú no és negar-se a esborrar, és esborrar de cop. Una empresa que suprimeix sense pensar pot quedar-se sense la factura que necessitava per defensar-se d'una reclamació dos anys després. L'oblit ben fet distingeix el que ja no toca guardar del que la llei obliga a conservar."
Mario P. Talamillo · Soci director, Certix®
Dret d'oposició (art. 21 RGPD)
El dret d'oposició permet a l'interessat demanar que es deixin de tractar les seves dades per a una finalitat concreta. No busca corregir ni esborrar: busca frenar un ús. El seu abast depèn molt de en quina base jurídica s'apoia el tractament al qual s'oposa.
Oposició per motius personals
Quan el tractament es basa en l'interès legítim de l'empresa o en una missió d'interès públic, l'interessat pot oposar-s'hi al·legant motius relacionats amb la seva situació particular. L'empresa deixa de tractar aquestes dades tret que acrediti motius legítims imperiosos que prevalguin sobre els interessos de l'interessat, o que el tractament sigui necessari per formular o defensar reclamacions. És a dir, no és automàtic: cal ponderar.
Oposició al màrqueting directe: sense condicions
Davant de la publicitat i el màrqueting directe, l'oposició és incondicional. Si una persona demana deixar de rebre comunicacions comercials, la teva empresa ha de cessar sense necessitat que justifiqui res (art. 21.2 i 21.3 RGPD). No es poden demanar motius, ni oferir «alternatives», ni demorar el cessament. A la pràctica, això es tradueix en enllaços de baixa que funcionin de debò, en la baixa efectiva del contacte en totes les eines d'enviament i a deixar constància de la data per no reincidir.
Limitació (art. 18) i portabilitat (art. 20)
Al costat dels quatre drets anteriors, el RGPD reconeix altres dos que convé conèixer perquè apareixen amb freqüència en les sol·licituds.
Dret de limitació (art. 18 RGPD)
La limitació és una mena de «pausa». L'interessat no demana esborrar ni corregir: demana que les seves dades es marquin i es deixin de tractar temporalment, conservant-les però sense usar-les, mentre es resol una situació. Procedeix, entre altres supòsits, quan l'interessat ha impugnat l'exactitud d'una dada (durant el temps que l'empresa triga a verificar-la) o quan s'ha oposat a un tractament i està pendent comprovar si prevalen els motius de l'empresa. Durant la limitació, les dades només es poden tractar amb el consentiment de l'interessat o per a reclamacions.
Dret de portabilitat (art. 20 RGPD)
La portabilitat permet a l'interessat rebre les dades que ell mateix ha facilitat en un format estructurat, d'ús comú i lectura mecànica (per exemple, CSV o JSON), i transmetre-les a un altre responsable. Té tres condicions acumulatives: només abasta les dades aportades pel mateix interessat, només quan el tractament es basa en el consentiment o en un contracte, i només quan es fa per mitjans automatitzats. Queden fora les dades inferides o les valoracions que hagi elaborat l'empresa.
Taula resum dels drets
| Dret | Article | Què permet | Límit principal |
|---|---|---|---|
| Accés | Art. 15 | Obtenir còpia de les seves dades i informació sobre el seu ús. | No perjudicar drets de tercers. |
| Rectificació | Art. 16 | Corregir dades inexactes i completar les incompletes. | Només dades objectivament inexactes. |
| Supressió (oblit) | Art. 17 | Eliminar les dades quan ja no hi ha base per tractar-les. | Obligació legal de conservar; reclamacions. |
| Limitació | Art. 18 | Pausar el tractament sense esborrar, de manera temporal. | Supòsits taxats a la norma. |
| Portabilitat | Art. 20 | Rebre i transmetre les seves dades en format reutilitzable. | Només dades aportades per ell; base de consentiment o contracte. |
| Oposició | Art. 21 | Frenar un tractament concret; màrqueting sense condicions. | Motius legítims imperiosos (tret del màrqueting). |
Com respon una empresa: checklist
Rebre una sol·licitud de drets no hauria de generar improvisació. El procés és sempre el mateix, amb independència del dret que s'exerceixi. El termini general de resposta és d'un mes des de la recepció (art. 12.3 RGPD), prorrogable dos mesos més en casos complexos, sempre avisant dins del primer mes.
- Registrar la data d'entrada. El termini d'un mes corre des que reps la sol·licitud, arribi per email, formulari, carta o el canal que sigui. Deixa constància del dia.
- Verificar la identitat de manera proporcionada. Si tens dubtes raonables, pots demanar informació addicional per confirmar que qui sol·licita és el titular (art. 12.6 RGPD), sense convertir-ho en una barrera desproporcionada.
- Identificar quin dret s'exerceix. De vegades l'interessat no l'anomena correctament; interpreta la petició pel seu contingut, no per l'etiqueta que faci servir.
- Localitzar totes les dades. Busca en tots els sistemes, no només al principal. Aquí el Registre d'Activitats de Tractament és l'eina que et diu on són les dades i qui les té.
- Aplicar la resposta correcta. Facilitar, corregir, suprimir, bloquejar, limitar o cessar segons el dret, analitzant els límits i les obligacions legals de conservació.
- Comunicar a tercers. Si les dades es van cedir a encarregats o destinataris, trasllada'ls la rectificació o supressió quan escaigui.
- Respondre per escrit i de manera gratuïta. Explica què s'ha fet. Si no atens la sol·licitud, informa dels motius i del dret a reclamar davant l'autoritat de control.
Com t'ajuda Certix
La majoria dels problemes amb els drets dels interessats no vénen de la mala fe, sinó de la manca d'un procediment. Una empresa que no sap on són les seves dades no pot respondre bé a un accés, i una que esborra per reflex pot incomplir les seves pròpies obligacions de conservació. Tot comença per tenir el mapa de tractaments ordenat, una cosa que es treballa amb el Registre d'Activitats de Tractament.
A Certix dissenyem el procediment d'atenció de drets a la mida de la teva organització: els canals de recepció, les plantilles de resposta, la verificació d'identitat i els criteris per decidir, dada per dada, què se suprimeix i què es conserva. I ho emmarquem en el conjunt de la normativa, que pots revisar a la nostra guia completa del RGPD.
Preguntes freqüents
Quant de temps té una empresa per respondre a un dret d'accés o rectificació?
El termini general és d'un mes des de la recepció de la sol·licitud (art. 12.3 RGPD). Es pot prorrogar dos mesos addicionals quan la sol·licitud sigui especialment complexa o s'acumulin moltes peticions, però la pròrroga s'ha de comunicar a l'interessat dins del primer mes explicant-ne els motius. La resposta és gratuïta amb caràcter general; només es pot cobrar o denegar quan la sol·licitud és manifestament infundada o excessiva, i la càrrega de provar-ho recau en l'empresa.
L'empresa es pot negar a esborrar les dades si el client ho demana?
En alguns casos sí. El dret de supressió de l'art. 17 RGPD no és absolut: no procedeix quan l'empresa necessita conservar les dades per complir una obligació legal (per exemple, la conservació fiscal o comptable de les factures), per formular o defensar-se davant de reclamacions, o quan una altra base jurídica empara el tractament. El correcte no és esborrar sense més ni negar-se en bloc, sinó analitzar dada per dada: suprimir el que ja no té base i bloquejar el que s'hagi de conservar per llei durant el termini legal abans de destruir-ho.
En què es diferencia el dret d'oposició del de supressió?
El dret d'oposició (art. 21 RGPD) permet demanar que es deixin de tractar les dades per a una finalitat concreta, especialment quan el tractament es basa en l'interès legítim o en una missió d'interès públic. La supressió (art. 17) va més enllà: busca eliminar les dades. A la pràctica, una oposició estimada sol derivar en la supressió o el bloqueig d'aquestes dades per a aquella finalitat. Davant del màrqueting directe, l'oposició és incondicional: n'hi ha prou amb sol·licitar-ho perquè l'empresa hagi de cessar l'enviament de publicitat.
Com es verifica que qui demana les seves dades és realment el titular?
L'art. 12.6 RGPD permet sol·licitar la informació addicional necessària per confirmar la identitat del sol·licitant quan hi hagi dubtes raonables. No significa exigir una fotocòpia del DNI de manera automàtica: la verificació ha de ser proporcionada. Sovint n'hi ha prou amb contrastar dades que ja consten al sistema o confirmar la petició des del correu o el canal que l'interessat ja tenia associat. Demanar documentació excessiva pot convertir-se en una barrera injustificada a l'exercici del dret.
En resum
Accés, rectificació, supressió i oposició no són quatre versions del mateix: cadascun respon a una necessitat diferent i s'atén d'una manera diferent. El que comparteixen és el marc de resposta —el termini d'un mes, la gratuïtat, la verificació proporcionada d'identitat— i el fet que cap no es resol bé per reflex. La supressió no és «esborrar-ho tot», l'oposició no sempre és automàtica i la rectificació no cobreix qualsevol dada que incomodi. Tenir un procediment clar converteix una sol·licitud potencialment conflictiva en un tràmit ordenat.
Lectures relacionades
- Drets dels interessats davant de l'empresa — la visió general de tots els drets i com encaixen.
- Guia completa del RGPD — el marc normatiu en què s'insereixen aquests drets.
- Registre d'Activitats de Tractament (RAT) — el mapa que permet localitzar les dades per respondre.
Aquest contingut és merament orientatiu i divulgatiu; no constitueix en cap cas assessorament jurídic especialitzat. L'aplicació de la normativa a cada cas concret requereix anàlisi individualitzada.
Sabries respondre avui a una sol·licitud d'accés o supressió?
A Certix dissenyem el procediment d'atenció de drets de la teva empresa a partir d'una anàlisi real de la teva activitat, sense plantilles genèriques.
Parlar amb un consultor