Calquera persoa cuxos datos trate a túa empresa pode escribirche para acceder a eles, corrixilos, pedir que os borres ou negarse a un uso concreto. Non é un trámite opcional nin unha cortesía: son dereitos recoñecidos no RGPD e a túa organización ten a obriga de atendelos, por norma xeral no prazo dun mes. Esta guía explica, un por un, que permite cada dereito, cando aplica, que límites ten e como se responde na práctica desde o lado da empresa.
É o detalle operativo de cada dereito. Se buscas unha visión xeral de todos eles e de como encaixan na relación entre o interesado e a túa organización, empeza pola guía de dereitos dos interesados fronte á empresa.
En 15 segundos
- Acceso (art. 15): saber que datos tes dunha persoa e para que os usas.
- Rectificación (art. 16): corrixir datos inexactos ou completar os incompletos.
- Supresión ou «dereito ao esquecemento» (art. 17): borrar os datos, salvo excepcións legais.
- Oposición (art. 21): parar un tratamento concreto; fronte ao marketing, sen condicións.
- Prazo de resposta: un mes desde a recepción (art. 12), prorrogable dous meses en casos complexos.
Dereito de acceso (art. 15 RGPD)
O dereito de acceso permite a calquera persoa saber se a túa empresa trata os seus datos e, en caso afirmativo, obter unha copia deles xunto con información sobre como os usas. É o punto de partida do resto de dereitos: sen acceso, o interesado non pode saber se necesita rectificar, opoñerse ou pedir a supresión.
Cando alguén exerce o acceso, a túa organización debe facilitarlle unha copia dos seus datos persoais e, ademais, informalo de:
- Os fins do tratamento e as categorías de datos que manexas sobre esa persoa.
- Os destinatarios aos que comunicaches ou vas comunicar os seus datos, incluídos os doutros países.
- O prazo previsto de conservación ou os criterios para determinalo.
- A existencia do resto de dereitos (rectificación, supresión, oposición, limitación) e do dereito a reclamar ante a autoridade de control.
- A orixe dos datos cando non se obtivesen directamente do interesado.
- A existencia, no seu caso, de decisións automatizadas, incluída a elaboración de perfís.
Límites do dereito de acceso
A primeira copia é gratuíta. A empresa pode cobrar un canon razoable por copias adicionais, baseado nos custos administrativos. Existe ademais un límite importante: o dereito a obter copia non pode afectar negativamente aos dereitos e liberdades de terceiros (art. 15.4 RGPD). Se un documento contén datos doutras persoas, facilítase de forma que se protexan eses datos alleos —por exemplo, anonimizando ou separando a información de terceiros— en lugar de negar o acceso por completo.
Dereito de rectificación (art. 16 RGPD)
O dereito de rectificación permite ao interesado corrixir os datos inexactos que teñas sobre el e completar os que estean incompletos, incluso mediante unha declaración adicional. É, probablemente, o dereito máis sinxelo de atender e tamén un dos máis frecuentes: un cambio de domicilio, un teléfono que xa non é correcto, un nome mal escrito.
Desde o lado da empresa, atender unha rectificación ben feita implica dúas cousas. A primeira, actualizar o dato en todos os sistemas onde figure, non só no CRM principal: se o dato erróneo se replicou nunha folla de cálculo, na ferramenta de facturación ou na plataforma de email, a corrección debe alcanzalos a todos. A segunda, cando eses datos se comunicasen a terceiros, informar eses destinatarios da rectificación, salvo que resulte imposible ou esixa un esforzo desproporcionado.
Convén non confundir «rectificar» con «o que o cliente prefira». A rectificación refírese a datos obxectivamente inexactos. Unha valoración interna, un histórico de incidencias ou un dato correcto que ao interesado simplemente non lle gusta non se «rectifican»: para eses supostos, a canle pode ser a oposición ou a supresión, cos seus propios requisitos.
Dereito de supresión ou «dereito ao esquecemento» (art. 17 RGPD)
O dereito de supresión —coñecido popularmente como «dereito ao esquecemento»— permite ao interesado pedir que se eliminen os seus datos persoais. É o dereito que máis malentendidos xera, nas dúas direccións: nin a empresa está obrigada a borrar todo o que se lle pida, nin pode negarse en bloque a facelo.
Cando procede a supresión
O art. 17 RGPD enumera os supostos nos que procede o borrado. Os máis habituais no día a día dunha empresa son:
- Os datos xa non son necesarios para os fins para os que se recolleron.
- O interesado retira o consentimento no que se baseaba o tratamento e non existe outra base xurídica que o ampare.
- O interesado opónse ao tratamento e non prevalecen motivos lexítimos para continualo.
- Os datos trateáronse de forma ilícita.
- Deben suprimirse para cumprir unha obriga legal.
Cando NON procede: os límites do esquecemento
Aquí está a clave para unha empresa. O art. 17.3 establece que a supresión non procede cando o tratamento é necesario, entre outros, para cumprir unha obriga legal, para formular, exercer ou defender reclamacións, ou por razóns de interese público. O caso máis cotián é o da conservación obrigatoria: unha empresa non pode borrar as facturas dun cliente que o solicita, porque a normativa mercantil e fiscal lle obriga a conservalas durante uns prazos determinados.
A resposta correcta, por tanto, case nunca é «bórroo todo» nin «non borro nada». É unha análise dato por dato: suprímese o que xa non ten base xurídica e bloquéase o que deba conservarse por lei —manténdoo a disposición só de xuíces, tribunais ou administracións durante o prazo legal— para destruílo despois de forma segura.
O «dereito ao esquecemento» ten ademais unha vertente moi coñecida fronte aos buscadores de internet: a posibilidade de solicitar que certos resultados asociados ao nome dunha persoa deixen de aparecer nas buscas. A LOPDGDD tamén recolle de forma expresa o dereito ao esquecemento en buscas de internet e en servizos de redes sociais. É un ámbito distinto ao da supresión fronte á túa propia base de datos, pero comparte o mesmo fundamento do art. 17 RGPD.
"O erro máis común non é negarse a borrar, é borrar de golpe. Unha empresa que suprime sen pensar pode quedar sen a factura que necesitaba para defenderse dunha reclamación dous anos despois. O esquecemento ben feito distingue o que xa non toca gardar do que a lei obriga a conservar."
Mario P. Talamillo · Socio director, Certix®
Dereito de oposición (art. 21 RGPD)
O dereito de oposición permite ao interesado pedir que se deixe de tratar os seus datos para unha finalidade concreta. Non busca corrixir nin borrar: busca frear un uso. O seu alcance depende moito de en que base xurídica se apoie o tratamento ao que se opón.
Oposición por motivos persoais
Cando o tratamento se basea no interese lexítimo da empresa ou nunha misión de interese público, o interesado pode opoñerse alegando motivos relacionados coa súa situación particular. A empresa deixa de tratar eses datos salvo que acredite motivos lexítimos imperiosos que prevalezan sobre os intereses do interesado, ou que o tratamento sexa necesario para formular ou defender reclamacións. É dicir, non é automático: hai que ponderar.
Oposición ao marketing directo: sen condicións
Fronte á publicidade e o marketing directo, a oposición é incondicional. Se unha persoa pide deixar de recibir comunicacións comerciais, a túa empresa debe cesar sen necesidade de que xustifique nada (art. 21.2 e 21.3 RGPD). Non cabe pedir motivos, nin ofrecer «alternativas», nin demorar o cesamento. Na práctica, isto tradúcese en ligazóns de baixa que funcionen de verdade, na baixa efectiva do contacto en todas as ferramentas de envío e en deixar constancia da data para non reincidir.
Limitación (art. 18) e portabilidade (art. 20)
Xunto aos catro dereitos anteriores, o RGPD recoñece outros dous que convén coñecer porque aparecen con frecuencia nas solicitudes.
Dereito de limitación (art. 18 RGPD)
A limitación é unha especie de «pausa». O interesado non pide borrar nin corrixir: pide que os seus datos se marquen e se deixen de tratar temporalmente, conservándoos pero sen usalos, mentres se resolve unha situación. Procede, entre outros supostos, cando o interesado impugnou a exactitude dun dato (durante o tempo que a empresa tarda en verificalo) ou cando se opuxo a un tratamento e está pendente comprobar se prevalecen os motivos da empresa. Durante a limitación, os datos só poden tratarse co consentimento do interesado ou para reclamacións.
Dereito de portabilidade (art. 20 RGPD)
A portabilidade permite ao interesado recibir os datos que el mesmo facilitou nun formato estruturado, de uso común e lectura mecánica (por exemplo, CSV ou JSON), e transmitilos a outro responsable. Ten tres condicións acumulativas: só alcanza aos datos achegados polo propio interesado, só cando o tratamento se basea no consentimento ou nun contrato, e só cando se realiza por medios automatizados. Quedan fóra os datos inferidos ou as valoracións que elaborase a empresa.
Táboa resumo dos dereitos
| Dereito | Artigo | Que permite | Límite principal |
|---|---|---|---|
| Acceso | Art. 15 | Obter copia dos seus datos e información sobre o seu uso. | Non prexudicar dereitos de terceiros. |
| Rectificación | Art. 16 | Corrixir datos inexactos e completar os incompletos. | Só datos obxectivamente inexactos. |
| Supresión (esquecemento) | Art. 17 | Eliminar os datos cando xa non hai base para tratalos. | Obriga legal de conservar; reclamacións. |
| Limitación | Art. 18 | Pausar o tratamento sen borrar, de forma temporal. | Supostos tasados na norma. |
| Portabilidade | Art. 20 | Recibir e transmitir os seus datos en formato reutilizable. | Só datos achegados por el; base de consentimento ou contrato. |
| Oposición | Art. 21 | Frear un tratamento concreto; marketing sen condicións. | Motivos lexítimos imperiosos (salvo marketing). |
Como responde unha empresa: checklist
Recibir unha solicitude de dereitos non debería xerar improvisación. O proceso é sempre o mesmo, con independencia do dereito que se exerza. O prazo xeral de resposta é dun mes desde a recepción (art. 12.3 RGPD), prorrogable dous meses máis en casos complexos, sempre avisando dentro do primeiro mes.
- Rexistrar a data de entrada. O prazo dun mes corre desde que recibes a solicitude, chegue por email, formulario, carta ou a canle que sexa. Deixa constancia do día.
- Verificar a identidade de forma proporcionada. Se tes dúbidas razoables, podes pedir información adicional para confirmar que quen solicita é o titular (art. 12.6 RGPD), sen convertelo nunha barreira desproporcionada.
- Identificar que dereito se exerce. Ás veces o interesado non o nomea correctamente; interpreta a petición polo seu contido, non pola etiqueta que use.
- Localizar todos os datos. Busca en todos os sistemas, non só no principal. Aquí o Rexistro de Actividades de Tratamento é a ferramenta que che di onde están os datos e quen os ten.
- Aplicar a resposta correcta. Facilitar, corrixir, suprimir, bloquear, limitar ou cesar segundo o dereito, analizando os límites e as obrigas legais de conservación.
- Comunicar a terceiros. Se os datos se cederon a encargados ou destinatarios, trasládalles a rectificación ou supresión cando proceda.
- Responder por escrito e de forma gratuíta. Explica que se fixo. Se non atendes a solicitude, informa dos motivos e do dereito a reclamar ante a autoridade de control.
Como Certix te axuda
A maioría dos problemas cos dereitos dos interesados non veñen da mala fe, senón da falta dun procedemento. Unha empresa que non sabe onde están os seus datos non pode responder ben a un acceso, e unha que borra por reflexo pode incumprir as súas propias obrigas de conservación. Todo empeza por ter o mapa de tratamentos ordenado, algo que se traballa co Rexistro de Actividades de Tratamento.
En Certix deseñamos o procedemento de atención de dereitos á medida da túa organización: as canles de recepción, os modelos de resposta, a verificación de identidade e os criterios para decidir, dato por dato, que se suprime e que se conserva. E enmarcámolo no conxunto da normativa, que podes revisar na nosa guía completa do RGPD.
Preguntas frecuentes
Canto tempo ten unha empresa para responder a un dereito de acceso ou rectificación?
O prazo xeral é dun mes desde a recepción da solicitude (art. 12.3 RGPD). Pode prorrogarse dous meses adicionais cando a solicitude sexa especialmente complexa ou se acumulen moitas peticións, pero a prórroga debe comunicarse ao interesado dentro do primeiro mes explicando os motivos. A resposta é gratuíta con carácter xeral; só cabe cobrar ou negarse cando a solicitude é manifestamente infundada ou excesiva, e a carga de probalo recae na empresa.
Pode a empresa negarse a borrar os datos se o cliente o pide?
Nalgúns casos si. O dereito de supresión do art. 17 RGPD non é absoluto: non procede cando a empresa necesita conservar os datos para cumprir unha obriga legal (por exemplo, a conservación fiscal ou contable das facturas), para formular ou defenderse fronte a reclamacións, ou cando outra base xurídica ampara o tratamento. O correcto non é borrar sen máis nin negarse en bloque, senón analizar dato por dato: suprimir o que xa non ten base e bloquear o que deba conservarse por lei durante o prazo legal antes da súa destrución.
En que se diferencia o dereito de oposición do de supresión?
O dereito de oposición (art. 21 RGPD) permite pedir que se deixe de tratar os datos para unha finalidade concreta, especialmente cando o tratamento se basea no interese lexítimo ou nunha misión de interese público. A supresión (art. 17) vai máis alá: busca eliminar os datos. Na práctica, unha oposición estimada adoita derivar na supresión ou o bloqueo deses datos para esa finalidade. Fronte ao marketing directo, a oposición é incondicional: abonda con solicitalo para que a empresa deba cesar o envío de publicidade.
Como se verifica que quen pide os seus datos é realmente o titular?
O art. 12.6 RGPD permite solicitar a información adicional necesaria para confirmar a identidade do solicitante cando existan dúbidas razoables. Non significa esixir unha fotocopia do DNI de forma automática: a verificación debe ser proporcionada. Moitas veces abonda con contrastar datos que xa constan no sistema ou confirmar a petición desde o correo ou a canle que o interesado xa tiña asociada. Pedir documentación excesiva pode converterse nunha barreira inxustificada ao exercicio do dereito.
En resumo
Acceso, rectificación, supresión e oposición non son catro versións do mesmo: cada un responde a unha necesidade distinta e atéendese dunha forma distinta. O que comparten é o marco de resposta —o prazo dun mes, a gratuidade, a verificación proporcionada de identidade— e o feito de que ningún se resolve ben por reflexo. A supresión non é «borrar todo», a oposición non sempre é automática e a rectificación non cobre calquera dato que incomode. Ter un procedemento claro converte unha solicitude potencialmente conflitiva nun trámite ordenado.
Lecturas relacionadas
- Dereitos dos interesados fronte á empresa — a visión xeral de todos os dereitos e como encaixan.
- Guía completa do RGPD — o marco normativo no que se inseren estes dereitos.
- Rexistro de Actividades de Tratamento (RAT) — o mapa que permite localizar os datos para responder.
Este contido é meramente orientativo e divulgativo; non constitúe en ningún caso asesoramento xurídico especializado. A aplicación da normativa a cada caso concreto require análise individualizada.
Sabrías responder hoxe a unha solicitude de acceso ou supresión?
En Certix deseñamos o procedemento de atención de dereitos da túa empresa a partir dunha análise real da túa actividade, sen modelos xenéricos.
Falar cun consultor