Quan un client escriu demanant "exercir els seus drets ARCO", moltes empreses no saben ni què està demanant exactament ni en quin termini han de contestar. La mateixa sigla és part del problema: ARCO pertany a una llei que ja no està en vigor. Aquesta guia aclareix què signifiquen realment aquests drets avui, quin és el catàleg correcte sota el RGPD i, sobretot, com ha d'una organització atendre una sol·licitud pas a pas, sense errors.
En 15 segons
- "Drets ARCO" és terminologia en desús: prové de la LOPD de 1999. El RGPD va ampliar i reanomenar el catàleg.
- Avui són set drets (arts. 15 a 22 RGPD): accés, rectificació, supressió, limitació, portabilitat, oposició i decisions automatitzades.
- El termini de resposta és d'un mes, ampliable a dos en casos complexos (art. 12 RGPD).
- L'exercici és gratuït, tret de sol·licituds manifestament infundades o excessives.
- Abans de respondre, cal verificar la identitat de qui sol·licita.
Què eren els drets ARCO i per què ja no s'anomenen així
ARCO és l'acrònim de quatre drets: Accés, Rectificació, Cancel·lació i Oposició. Va néixer amb l'antiga Llei Orgànica 15/1999 (LOPD), que va ser la norma espanyola de protecció de dades fins que el RGPD va començar a aplicar-se el maig de 2018. Durant gairebé dues dècades va ser la manera habitual de referir-se als drets dels ciutadans sobre les seves dades, i per això la sigla continua tan arrelada que moltes persones encara la fan servir.
El matís important per a una empresa és aquest: avui "drets ARCO" és terminologia en desús. Amb l'entrada en aplicació del Reglament (UE) 2016/679 (RGPD) i l'aprovació de la Llei Orgànica 3/2018 (LOPDGDD), el catàleg no només va canviar de nom, sinó que es va ampliar. La "cancel·lació" es va desdoblar i precisar, i van aparèixer drets nous que la LOPD de 1999 no contemplava. Continuar parlant dels "quatre drets ARCO" el 2026 és quedar-se curt: es deixen fora diverses facultats que l'interessat sí que pot exercir.
Per al posicionament i la cerca, la sigla continua sent útil —molta gent la tecleja—, però per a l'operativa real d'una organització el correcte és treballar amb el catàleg actualitzat. Aquest és el que cal conèixer quan arriba una sol·licitud.
El catàleg actual de drets del RGPD
El RGPD regula els drets dels interessats en els seus articles 15 a 22, i la LOPDGDD els desenvolupa i concreta per a Espanya en els seus articles 12 a 18. Són set drets. Els quatre clàssics continuen presents —amb la "cancel·lació" convertida en "supressió"— i s'hi sumen tres que no existien amb la denominació ARCO:
| Dret | Article RGPD | Què permet a l'interessat |
|---|---|---|
| Accés | Art. 15 | Saber si l'empresa tracta les seves dades i obtenir-ne una còpia, juntament amb informació sobre fins, categories, destinataris i terminis. |
| Rectificació | Art. 16 | Corregir dades inexactes i completar les que estiguin incompletes. |
| Supressió ("dret a l'oblit") | Art. 17 | Sol·licitar l'esborrament de les seves dades quan concorri algun dels supòsits previstos (ja no són necessàries, retira el consentiment, etc.). |
| Limitació del tractament | Art. 18 | Demanar que les seves dades es "congelin" temporalment —es conserven però no s'usen— mentre es resol, per exemple, una impugnació de la seva exactitud. |
| Portabilitat | Art. 20 | Rebre en un format estructurat i d'ús comú les dades que va facilitar, i transmetre-les a un altre responsable. Només aplica a tractaments basats en consentiment o contracte i realitzats per mitjans automatitzats. |
| Oposició | Art. 21 | Oposar-se al tractament per motius relacionats amb la seva situació particular. En màrqueting directe, l'oposició és incondicional. |
| Decisions automatitzades i perfils | Art. 22 | No ser objecte de decisions basades únicament en tractament automatitzat —inclosa l'elaboració de perfils— que produeixin efectes jurídics o l'afectin significativament. |
Hi ha un vuitè element que no és un dret autònom però convé tenir present: l'art. 19 RGPD obliga l'empresa a comunicar qualsevol rectificació, supressió o limitació a cada destinatari a qui s'hagin comunicat les dades, tret que resulti impossible o exigeixi un esforç desproporcionat. És a dir, atendre un dret no sempre s'esgota en la pròpia base de dades: pot arrossegar avisos a proveïdors o encarregats.
Convé desmuntar aquí un equívoc freqüent: cap d'aquests drets és absolut. El de supressió, per exemple, no obliga a esborrar si l'empresa ha de conservar les dades per complir una obligació legal —una factura té els seus propis terminis fiscals—. Respondre correctament no és dir sempre que sí, sinó saber quan el dret aplica i quan hi ha una base legal que el modula.
Termini de resposta, gratuïtat i identificació
Les regles comunes a tots els drets són a l'art. 12 RGPD, i són les que més s'incompleixen per desconeixement. Tres són especialment importants per a qualsevol empresa.
El termini: un mes, ampliable a dos
L'empresa disposa d'un mes des de la recepció de la sol·licitud per respondre. Aquest termini es pot ampliar en dos mesos addicionals quan les sol·licituds siguin especialment complexes o se n'acumulin diverses, però l'ampliació cal comunicar-la a l'interessat —amb els seus motius— dins del primer mes. El termini corre encara que l'empresa decideixi no atendre la sol·licitud: fins i tot en aquest cas cal contestar en un mes explicant per què i recordant la possibilitat de reclamar davant l'autoritat de control.
La gratuïtat
L'exercici dels drets és, per regla general, gratuït (art. 12.5 RGPD). No es pot condicionar la resposta a cap pagament ni establir traves que a la pràctica desincentivin l'interessat. L'excepció —sol·licituds infundades o excessives— s'explica més avall i és d'interpretació estricta.
La identificació del sol·licitant
Abans de lliurar dades o actuar-hi, l'empresa ha de verificar de manera raonable que qui sol·licita és l'interessat. Lliurar les dades d'una persona a un tercer que es fa passar per ella seria, en si mateix, una bretxa de confidencialitat. L'art. 12.6 RGPD permet demanar informació addicional per confirmar la identitat quan hi hagi dubtes fonamentats, però aquesta verificació ha de ser proporcionada: demanar una fotocòpia del DNI "per defecte" a tothom sol ser excessiu i contrari al principi de minimització.
Com respon la teva empresa, pas a pas
Quan arriba una sol·licitud —per correu, formulari web, carta o fins i tot de viva veu—, convé seguir sempre el mateix circuit intern. Aquesta llista funciona com a protocol bàsic de resposta:
Checklist: atendre una sol·licitud de drets
- Registra la data d'entrada. El termini d'un mes comença a comptar des d'aquell moment; anota el dia per no perdre'n el control.
- Identifica quin dret s'exerceix. No cal que l'interessat citi l'article ni faci servir la paraula correcta: si algú demana "que esborreu les meves dades", és una supressió (art. 17), encara que digui "cancel·lació".
- Verifica la identitat del sol·licitant de manera proporcionada, demanant dades addicionals només si hi ha dubtes fonamentats.
- Localitza les dades en tots els teus sistemes recolzant-te en el Registre d'Activitats de Tractament: quins tractaments afecta, en quin programari són i quins proveïdors les tenen.
- Valora si el dret aplica o si existeix una base legal que el modula (obligació de conservació fiscal, laboral, etc.).
- Executa l'acció: lliura la còpia, corregeix la dada, suprimeix, limita, exporta o oposa, segons correspongui.
- Propaga el canvi a encarregats i destinataris quan escaigui (art. 19 RGPD).
- Respon per escrit i documenta. Contesta a l'interessat dins del termini i guarda constància de la sol·licitud i del que has fet, com a prova de responsabilitat proactiva.
El pas que més empreses descuiden és el penúltim i l'últim: documentar. No n'hi ha prou de fer les coses bé; cal poder demostrar que es van fer. Conservar la sol·licitud rebuda, la verificació d'identitat i la resposta enviada és el que permet acreditar, si algun dia es pregunta, que l'organització va atendre el dret en termini i en forma.
"El problema gairebé mai és negar-se a atendre un dret. És no saber on són les dades de qui el demana. Una empresa que no té mapejats els seus tractaments respon tard, incompleta i sense poder demostrar el que va fer."
Mario P. Talamillo · Soci director, Certix®
Sol·licituds infundades o excessives
L'art. 12.5 RGPD contempla una vàlvula d'escapament per a casos abusius: quan les sol·licituds d'un mateix interessat siguin manifestament infundades o excessives, en particular pel seu caràcter repetitiu, l'empresa pot optar per cobrar un cànon raonable —limitat als costos administratius— o per negar-se a actuar.
Ara bé, aquesta excepció és d'interpretació estricta i convé manejar-la amb prudència:
- La càrrega de la prova recau en l'empresa. És l'organització qui ha de demostrar el caràcter infundat o excessiu, no l'interessat qui ha de justificar per què exerceix el seu dret.
- Repetir no equival a abusar. Que algú hagi exercit un dret fa mesos no converteix en excessiva una nova sol·licitud si les circumstàncies han canviat.
- Negar-se també exigeix resposta. Encara que es rebutgi la sol·licitud, cal contestar dins del termini explicant el motiu i recordant la via de reclamació davant l'autoritat de control.
A la pràctica, invocar aquesta excepció a la lleugera genera més risc que atendre la sol·licitud. Només té sentit quan el patró d'abús és evident i està documentat.
Com Certix t'ajuda a gestionar-les
Atendre bé una sol·licitud de drets no depèn de tenir una plantilla de resposta desada, sinó que l'organització sàpiga on són les seves dades i qui les tracta. Aquest coneixement no s'improvisa el dia que arriba el correu: es construeix abans, amb un mapa de tractaments correcte i un circuit intern clar de qui rep, qui verifica i qui executa.
A Certix treballem precisament aquesta base. Partim d'una anàlisi real de la teva activitat, deixem documentats els teus tractaments i establim el protocol de resposta a drets com a part del sistema de protecció de dades, no com un annex aïllat. Quan arriba una sol·licitud, el teu equip sap què fer, en quin termini i com documentar-ho.
Pots aprofundir en el marc normatiu amb la nostra guia completa del RGPD i la guia de la LOPDGDD, o parlar directament amb nosaltres sobre com deixar preparada la gestió de drets a la teva empresa.
Preguntes freqüents
Els drets ARCO segueixen existint amb el RGPD?
La sigla ARCO (Accés, Rectificació, Cancel·lació i Oposició) prové de l'antiga LOPD de 1999 i avui és terminologia en desús. El RGPD i la LOPDGDD van ampliar i reanomenar aquest catàleg: accés (art. 15), rectificació (art. 16), supressió o dret a l'oblit (art. 17), limitació (art. 18), portabilitat (art. 20), oposició (art. 21) i el dret a no ser objecte de decisions automatitzades (art. 22). Quan una empresa rep una sol·licitud ha de respondre conforme a aquest catàleg actual, més ampli que les quatre lletres originals.
Quin termini té la meva empresa per respondre a una sol·licitud de drets?
L'art. 12 RGPD fixa un termini general d'un mes des de la recepció de la sol·licitud, ampliable en dos mesos addicionals quan siguin especialment complexes o nombroses. Si s'amplia, cal informar l'interessat de l'ampliació i els seus motius dins del primer mes. Encara que l'empresa decideixi no atendre la sol·licitud, ho ha de comunicar igualment en un mes, explicant les raons i indicant la possibilitat de reclamar davant l'autoritat de control.
Pot la meva empresa cobrar per atendre una sol·licitud de drets?
Com a regla general, no: l'exercici dels drets és gratuït (art. 12.5 RGPD). Només quan les sol·licituds d'un mateix interessat siguin manifestament infundades o excessives, en particular per repetitives, l'empresa pot cobrar un cànon raonable pels costos administratius o negar-se a actuar. En aquest cas, és l'empresa qui ha de demostrar el caràcter infundat o excessiu de la sol·licitud.
He d'identificar qui exerceix el dret abans de donar-li les seves dades?
Sí. Abans de facilitar informació o actuar sobre les dades cal verificar de manera raonable que qui sol·licita és l'interessat, per no lliurar dades personals a un tercer. L'art. 12.6 RGPD permet demanar informació addicional per confirmar la identitat quan hi hagi dubtes fonamentats, però aquesta verificació ha de ser proporcionada i no es pot convertir en una barrera per desanimar l'exercici del dret.
En resum
Parlar de "drets ARCO" el 2026 és parlar amb el vocabulari d'una llei derogada. El catàleg vigent és més ampli —set drets entre els articles 15 i 22 del RGPD— i ve acompanyat de regles de tramitació molt concretes: termini d'un mes, gratuïtat i verificació d'identitat. Per a una empresa, atendre'ls bé no és qüestió de tenir una plantilla, sinó de saber on són les seves dades i disposar d'un circuit clar per respondre en termini i deixar-ho documentat. Aquesta és la feina que convé tenir feta abans que arribi la primera sol·licitud.
Lectures relacionades
- Guia completa del RGPD — el marc on es regulen els drets dels interessats.
- Guia de la LOPDGDD — com la llei espanyola desenvolupa i concreta aquests drets.
- Registre d'Activitats de Tractament (RAT) — el mapa de dades que sosté tota resposta a una sol·licitud.
Aquest contingut és merament orientatiu i divulgatiu; no constitueix en cap cas assessorament jurídic especialitzat. L'aplicació de la normativa a cada cas concret requereix anàlisi individualitzada.
Sabria la teva empresa respondre demà a una sol·licitud de drets?
A Certix deixem preparat el protocol d'atenció de drets a partir d'una anàlisi real dels teus tractaments, perquè responguis en termini i amb constància.
Parlar amb un consultor